Allarme sicurezza: vulnerabilità critica Fastjson RCE sfruttata attivamente, patch assente

Caratteristiche dello sfruttamento

Questa vulnerabilità si differenzia dai precedenti exploit di Fastjson in tre modi importanti:

• Nessun AutoType richiesto: A differenza delle precedenti RCE di Fastjson, questa vulnerabilità funziona con la configurazione predefinita — non è necessario abilitare AutoType .
• Nessun gadget di classpath richiesto: L'exploit non dipende dalla presenza di classi gadget di terze parti nel classpath .
• Nessuna autenticazione, nessuna interazione utente: Un utente malintenzionato non autenticato può inviare un payload JSON manipolato sulla rete e ottenere RCE senza alcuna azione da parte dell'utente .

Configurazioni di distribuzione affette

L'exploit non è universale per tutti gli usi di Fastjson. Richiede tutte le seguenti condizioni :

1. Fastjson 1.2.68–1.2.83 in uso.
2. Applicazione distribuita come fat-JAR eseguibile di Spring Boot.
3. SafeMode disattivato (che è l'impostazione predefinita).
4. JSON controllato dall'esterno raggiunge un punto di ingresso del parser Fastjson (ad es., JSON.parse, JSON.parseObject).

Le distribuzioni standard non-fat JAR, le distribuzioni WAR su Tomcat/Jetty e gli uber-JAR generici non sono affetti .

Impatto confermato: Spring Boot 2.x–4.x su JDK 8 fino a JDK 21. La vulnerabilità risiede nella libreria Fastjson stessa, non nella JDK, quindi tutte le versioni JDK supportate che utilizzano Fastjson vulnerabile sono a rischio .

Sfruttamento attivo in natura

• Bersagli osservati: ThreatBook e Imperva hanno osservato sfruttamento attivo principalmente contro organizzazioni con sede negli Stati Uniti .
• Settori industriali sotto attacco: Servizi finanziari, sanità, informatica/tecnologia e vendita al dettaglio .
• Cronologia: Gli aggressori hanno iniziato a sfruttare la falla entro circa un giorno dalla divulgazione (19-20 luglio 2026) .
• IoC disponibili: Threadlinqs Intelligence tiene traccia di 23 indicatori di compromesso e 9 regole di rilevamento (Splunk SPL, Microsoft KQL, Sigma) .

Mitigazioni raccomandate (Nessuna patch disponibile)

Poiché Alibaba non ha rilasciato una release 1.x corretta di Fastjson, le organizzazioni devono applicare una delle seguenti soluzioni alternative :

1. Abilitare SafeMode — Impostare la proprietà di sistema JVM -Dfastjson.parser.safeMode=true. Questo disabilita tutta la deserializzazione di classi arbitrarie .
2. Utilizzare la build ristretta — Sostituire l'artefatto standard con com.alibaba:fastjson:1.2.83_noneautotype, una build speciale che rimuove completamente il supporto AutoType .
3. Migrare a Fastjson 2.x — Fastjson 2.x è architetturalmente immune a questa classe di attacco ed è la soluzione a lungo termine raccomandata .

Ulteriori indicazioni per il rilevamento: Monitorare i log per valori @type sospetti, URL JAR annidati nei payload JSON e connessioni di rete in uscita impreviste dai server applicativi .

Avvertenze chiave

• Non esiste una release 1.x corretta al 26 luglio 2026. Le tre mitigazioni sopra indicate sono le uniche opzioni disponibili .
• L'exploit richiede lo specifico modello di distribuzione Spring Boot fat-JAR — questo riduce il raggio d'esplosione nel mondo reale ma lascia comunque esposto un numero molto elevato di applicazioni Spring Boot aziendali .
• Alcuni elenchi CVE iniziali (ad es., cve.radio) hanno dichiarato "nessuno sfruttamento pubblico segnalato", ma queste informazioni sono ora obsolete alla luce dei rapporti confermati di Imperva, ThreatBook e Threadlinqs .