CVE-2026-16723: Vulnerabilidade Crítica RCE no Fastjson 1.x da Alibaba sob Exploração Ativa — Sem Patch Disponível

CVE-2026-16723 é uma vulnerabilidade crítica de execução remota de código (RCE) no Alibaba Fastjson 1.x, versões 1.2.68 a 1.2.83, com pontuação CVSS 9.0. Empresas de segurança confirmaram exploração ativa, e a Alibaba não lançou nenhuma versão corrigida do Fastjson 1.x até o final de julho de 2026 .

Visão Geral da Vulnerabilidade

• ID CVE: CVE-2026-16723, publicado em 23 de julho de 2026 .
• Pontuação CVSS: 9.0 (Crítico), vetor CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H — baseado em rede, sem privilégios necessários, sem interação do usuário, escopo alterado, alto impacto em confidencialidade/disponibilidade/integridade .
• Versões Afetadas: Fastjson 1.2.68 a 1.2.83 (a versão estável 1.x mais recente). Nenhum build corrigido do Fastjson 1.x foi lançado pela Alibaba .
• Divulgação: Kirill Firsov, da FearsOff Cybersecurity, divulgou a falha por volta de 19 de julho de 2026. Detalhes técnicos completos e um código de prova de conceito funcional foram publicados .

Características da Exploração

Esta vulnerabilidade quebra o padrão de explorações anteriores do Fastjson de três maneiras importantes:

• AutoType não é necessário: Diferente de RCEs anteriores no Fastjson, esta funciona com a configuração padrão — o AutoType não precisa estar ativado .
• Nenhum gadget de classpath necessário: O ataque não depende da presença de nenhuma classe gadget de terceiros no classpath .
• Sem autenticação, sem interação do usuário: Um atacante não autenticado pode enviar um payload JSON malicioso pela rede e conseguir RCE sem qualquer ação do usuário .

Configuração Afetada para Exploração

O ataque não é universal. Requer todas as seguintes condições :

1. Fastjson 1.2.68–1.2.83 em uso.
2. Aplicação implantada como um fat-JAR executável do Spring Boot.
3. SafeMode desabilitado (que é o padrão).
4. JSON controlado externamente alcança um ponto de entrada do parser Fastjson (ex.: JSON.parse, JSON.parseObject).

Implantações com JARs não-fat padrão, WARs em Tomcat/Jetty e uber-JARs genéricos não são afetadas .

Impacto confirmado: Spring Boot 2.x–4.x em JDK 8 até JDK 21. A vulnerabilidade está na biblioteca Fastjson, não no JDK, então todas as versões suportadas do JDK que usam o Fastjson vulnerável estão em risco .

Exploração Ativa no Mundo Real

• Alvos observados: ThreatBook e Imperva observaram exploração ativa mirando principalmente organizações nos EUA .
• Setores atacados: Serviços financeiros, saúde, computação/tecnologia e varejo .
• Linha do tempo: Atacantes começaram a explorar a falha aproximadamente um dia após a divulgação (19–20 de julho de 2026) .
• IOCs disponíveis: A Threadlinqs Intelligence monitora 23 indicadores de compromisso e 9 regras de detecção (Splunk SPL, Microsoft KQL, Sigma) .

Mitigações Recomendadas (Nenhum Patch Disponível)

Como a Alibaba não lançou uma versão corrigida do Fastjson 1.x, as organizações devem aplicar uma das seguintes soluções de contorno :

1. Ativar SafeMode — Configure a propriedade de sistema da JVM -Dfastjson.parser.safeMode=true. Isso desabilita toda desserialização de classes arbitrárias .
2. Usar o build restrito — Substitua o artefato padrão por com.alibaba:fastjson:1.2.83_noneautotype, uma versão especial que remove completamente o suporte a AutoType .
3. Migrar para Fastjson 2.x — O Fastjson 2.x é arquiteturalmente imune a este tipo de ataque e é a solução de longo prazo recomendada .

Orientação adicional de detecção: Monitore logs para valores @type suspeitos, URLs de JAR aninhados em payloads JSON e conexões de rede de saída inesperadas a partir de servidores de aplicação .

Principais Alertas

• Nenhuma versão corrigida do Fastjson 1.x existe até 26 de julho de 2026. As três mitigações acima são as únicas opções disponíveis .
• O ataque requer o padrão específico de implantação Spring Boot fat-JAR — isso reduz o raio de alcance, mas ainda deixa um número muito grande de aplicações Spring Boot empresariais expostas .
• Alguns registros iniciais do CVE (ex.: cve.radio) afirmaram "nenhuma exploração pública reportada", mas essa informação está desatualizada dados os relatos confirmados da Imperva, ThreatBook e Threadlinqs .