Allarme sicurezza: vulnerabilità critica Fastjson RCE sfruttata attivamente, patch assente

• ID CVE: CVE-2026-16723, pubblicato il 23 luglio 2026 .
• Punteggio CVSS: 9.0 (Critico), vettore CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H — accessibile in rete, nessun privilegio richiesto, nessuna interazione utente, scope modificato, impatto alto su riservatezza/disponibilità/integrità .
• Versioni affette: Fastjson 1.2.68 fino a 1.2.83 (l'ultima release standard 1.x). Nessuna build 1.x corretta è stata rilasciata da Alibaba .
• Divulgazione: Kirill Firsov di FearsOff Cybersecurity ha scoperto la falla intorno al 19 luglio 2026. I dettagli tecnici completi e un proof-of-concept funzionante sono stati pubblicati pubblicamente .

Caratteristiche dello sfruttamento

Questa vulnerabilità si differenzia dai precedenti exploit di Fastjson in tre modi importanti:

• Nessun AutoType richiesto: A differenza delle precedenti RCE di Fastjson, questa vulnerabilità funziona con la configurazione predefinita — non è necessario abilitare AutoType .
• Nessun gadget di classpath richiesto: L'exploit non dipende dalla presenza di classi gadget di terze parti nel classpath .
• Nessuna autenticazione, nessuna interazione utente: Un utente malintenzionato non autenticato può inviare un payload JSON manipolato sulla rete e ottenere RCE senza alcuna azione da parte dell'utente .

Configurazioni di distribuzione affette

L'exploit non è universale per tutti gli usi di Fastjson. Richiede tutte le seguenti condizioni :

1. Fastjson 1.2.68–1.2.83 in uso.
2. Applicazione distribuita come fat-JAR eseguibile di Spring Boot.
3. SafeMode disattivato (che è l'impostazione predefinita).
4. JSON controllato dall'esterno raggiunge un punto di ingresso del parser Fastjson (ad es., JSON.parse, JSON.parseObject).

Le distribuzioni standard non-fat JAR, le distribuzioni WAR su Tomcat/Jetty e gli uber-JAR generici non sono affetti .

Impatto confermato: Spring Boot 2.x–4.x su JDK 8 fino a JDK 21. La vulnerabilità risiede nella libreria Fastjson stessa, non nella JDK, quindi tutte le versioni JDK supportate che utilizzano Fastjson vulnerabile sono a rischio .

Sfruttamento attivo in natura

• Bersagli osservati: ThreatBook e Imperva hanno osservato sfruttamento attivo principalmente contro organizzazioni con sede negli Stati Uniti .
• Settori industriali sotto attacco: Servizi finanziari, sanità, informatica/tecnologia e vendita al dettaglio .
• Cronologia: Gli aggressori hanno iniziato a sfruttare la falla entro circa un giorno dalla divulgazione (19-20 luglio 2026) .
• IoC disponibili: Threadlinqs Intelligence tiene traccia di 23 indicatori di compromesso e 9 regole di rilevamento (Splunk SPL, Microsoft KQL, Sigma) .

Mitigazioni raccomandate (Nessuna patch disponibile)

Poiché Alibaba non ha rilasciato una release 1.x corretta di Fastjson, le organizzazioni devono applicare una delle seguenti soluzioni alternative :

1. Abilitare SafeMode — Impostare la proprietà di sistema JVM -Dfastjson.parser.safeMode=true. Questo disabilita tutta la deserializzazione di classi arbitrarie .
2. Utilizzare la build ristretta — Sostituire l'artefatto standard con com.alibaba:fastjson:1.2.83_noneautotype, una build speciale che rimuove completamente il supporto AutoType .
3. Migrare a Fastjson 2.x — Fastjson 2.x è architetturalmente immune a questa classe di attacco ed è la soluzione a lungo termine raccomandata .

Ulteriori indicazioni per il rilevamento: Monitorare i log per valori @type sospetti, URL JAR annidati nei payload JSON e connessioni di rete in uscita impreviste dai server applicativi .

Avvertenze chiave

• Non esiste una release 1.x corretta al 26 luglio 2026. Le tre mitigazioni sopra indicate sono le uniche opzioni disponibili .
• L'exploit richiede lo specifico modello di distribuzione Spring Boot fat-JAR — questo riduce il raggio d'esplosione nel mondo reale ma lascia comunque esposto un numero molto elevato di applicazioni Spring Boot aziendali .
• Alcuni elenchi CVE iniziali (ad es., cve.radio) hanno dichiarato "nessuno sfruttamento pubblico segnalato", ma queste informazioni sono ora obsolete alla luce dei rapporti confermati di Imperva, ThreatBook e Threadlinqs .