CVE-2026-16723: Vulnerabilidad crítica RCE en Fastjson explotada activamente — sin parche disponible

• ID CVE: CVE-2026-16723, publicado el 23 de julio de 2026 .
• Puntuación CVSS: 9.0 (Crítica), vector CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H — basada en red, sin necesidad de privilegios, sin interacción del usuario, alcance modificado, alto impacto en confidencialidad/disponibilidad/integridad .
• Versiones afectadas: Fastjson 1.2.68 a 1.2.83 (la última versión estándar de la rama 1.x). No se ha lanzado ninguna compilación 1.x corregida por parte de Alibaba .
• Divulgación: Kirill Firsov, de FearsOff Cybersecurity, reveló la falla alrededor del 19 de julio de 2026. Desde entonces, se han publicado todos los detalles técnicos y un código de prueba de concepto funcional .

Características de la explotación

Esta vulnerabilidad rompe el molde de exploits anteriores de Fastjson en tres aspectos importantes:

• No requiere AutoType: A diferencia de RCEs anteriores en Fastjson, esta vulnerabilidad funciona con la configuración predeterminada de fábrica — no es necesario habilitar AutoType .
• No requiere gadgets en el classpath: El exploit no depende de ninguna clase gadget de terceros presente en el classpath .
• Sin autenticación ni interacción del usuario: Un atacante no autenticado puede enviar una carga útil JSON manipulada a través de la red y lograr RCE sin ninguna acción del usuario .

Configuración de despliegue afectada

El exploit no es universal en todos los usos de Fastjson. Requiere todas las condiciones siguientes :

1. Fastjson 1.2.68–1.2.83 en uso.
2. Aplicación desplegada como un fat-JAR ejecutable de Spring Boot.
3. SafeMode deshabilitado (que es el valor predeterminado).
4. JSON controlado externamente llega a un punto de entrada del analizador Fastjson (por ejemplo, JSON.parse, JSON.parseObject).

Los despliegues estándar que no son fat-JAR, los despliegues WAR en Tomcat/Jetty y los uber-JAR genéricos no están afectados .

Impacto confirmado: Spring Boot 2.x–4.x en JDK 8 a JDK 21. La vulnerabilidad está en la biblioteca Fastjson en sí, no en el JDK, por lo que todas las versiones de JDK compatibles que utilicen Fastjson vulnerable están en riesgo .

Explotación activa en el entorno real

• Objetivos observados: ThreatBook e Imperva han observado explotación activa dirigida principalmente a organizaciones con sede en EE. UU. .
• Sectores industriales atacados: Servicios financieros, salud, informática/tecnología y comercio minorista .
• Cronología: Los atacantes comenzaron a explotar la falla aproximadamente un día después de la divulgación (19–20 de julio de 2026) .
• IoC disponibles: Threadlinqs Intelligence rastrea 23 indicadores de compromiso y 9 reglas de detección (Splunk SPL, Microsoft KQL, Sigma) .

Mitigaciones recomendadas (sin parche disponible)

Dado que Alibaba no ha lanzado una versión Fastjson 1.x corregida, las organizaciones deben aplicar una de las siguientes soluciones alternativas :

1. Activar SafeMode: Establecer la propiedad del sistema JVM -Dfastjson.parser.safeMode=true. Esto deshabilita toda deserialización de clases arbitrarias .
2. Usar la compilación restringida: Reemplazar el artefacto estándar con com.alibaba:fastjson:1.2.83_noneautotype, una compilación especial que elimina por completo la compatibilidad con AutoType .
3. Migrar a Fastjson 2.x: Fastjson 2.x es arquitectónicamente inmune a este tipo de ataque y es la solución recomendada a largo plazo .

Orientación de detección adicional: Monitorear los registros en busca de valores @type sospechosos, URL de JAR anidadas en cargas útiles JSON y conexiones de red salientes inesperadas desde los servidores de aplicaciones .

Advertencias clave

• No existe una versión 1.x corregida a fecha del 26 de julio de 2026. Las tres mitigaciones anteriores son las únicas opciones disponibles .
• El exploit requiere el patrón de despliegue específico de Spring Boot fat-JAR; esto reduce el radio de explosión en el mundo real, pero aún deja expuesta una gran cantidad de aplicaciones empresariales Spring Boot .
• Algunos listados CVE tempranos (por ejemplo, cve.radio) indicaron inicialmente "no se ha reportado explotación pública", pero esa información ahora está desactualizada según informes confirmados de Imperva, ThreatBook y Threadlinqs .