【误差通告】Apache Fory PyFory反序列化战略绕过误差(CVE-2026-48207)
宣布时间 2026-05-28一、误差概述
Apache Fory是一款高性能跨语言序列化与反序列化框架，支持Java、Python等多种语言情形，旨在实现低延迟、高吞吐的数据交流与工具传输 。PyFory为其Python实现组件，支持Python-native工具序列化，普遍应用于漫衍式盘算、缓存、新闻传输及数据处置惩罚等场景 。
2026年5月28日，尊龙凯官网入口清静应急响应中心（VSRC）监测到Apache Fory PyFory反序列化战略绕过误差 。由于PyFory在Python-native模式下，ReduceSerializer在reduce-state恢复及全局名称剖析历程中未完整执行DeserializationPolicy校验逻辑，导致攻击者可结构恶意序列化数据绕过清静战略限制 。当应用启用非严酷模式并反序列化攻击者可控数据时，攻击者可能挪用危险类、函数或�？槭粜�，进而执行恣意代码、获取敏感数据或控制应用历程 。该误差可能导致营业系统遭受远程攻击，并带来数据泄露、营业中止及合规危害 。
二、影响规模
0.13.0 <= Apache Fory(pyfory) < 1.0.0
三、清静步伐
3.1 升级版本
官方已宣布修复补丁，以修复该误差 。
Apache Fory(pyfory) >= 1.0.0
下载链接：
https://fory.apache.org/download/
3.2 暂时步伐
暂无 。
3.3 通用建议
按期更新系统补丁，镌汰系统误差，提升服务器的清静性 。
增强系统和网络的会见控制，修改防火墙战略，关闭非须要的应用端口或服务，镌汰将危险服务（如SSH、RDP等）袒露到公网，镌汰攻击面 。
使用企业级清静产品，提升企业的网络清静性能 。
增强系统用户和权限管理，启用多因素认证机制和最小权限原则，用户和软件权限应坚持在最低限度 。
启用强密码战略并设置为按期修改 。
3.4 参考链接
https://nvd.nist.gov/vuln/detail/CVE-2026-48207/
https://www.openwall.com/lists/oss-security/2026/05/21/10
https://fory.apache.org/security/cve-2026-48207-pyfory-reduceserializer-deserializationpolicy-bypass
京公网安备11010802024551号