Las firmas de seguridad ThreatBook e Imperva dicen que los atacantes están apuntando a una falla crítica en Fastjson, la biblioteca JSON de Alibaba para Java. En las aplicaciones Spring Boot afectadas, una solicitud JSON maliciosa puede ejecutar código sin autenticación, con los privilegios del proceso Java.
Seguimiento como CVE-2026-16723la vulnerabilidad tiene una puntuación CVSS de 9,0 asignada por Alibaba. La cadena confirmada requiere Fastjson 1.2.68 a 1.2.83, un fat-JAR ejecutable de Spring Boot, una ruta accesible en la red que envía JSON controlado por el atacante a un analizador afectado y SafeMode dejado en su valor predeterminado deshabilitado. AutoType puede permanecer deshabilitado y no se requiere ningún gadget de classpath.
Hasta el 25 de julio, Alibaba no había lanzado una versión fija de Fastjson 1.x. Las organizaciones que no pueden migrar inmediatamente deben habilitar SafeMode con -Dfastjson.parser.safeMode=true o usar com.alibaba:fastjson:1.2.83_noneautotype. Alibaba enumera la migración a Fastjson2 como la solución a largo plazo.
Alibaba publicó su aviso el 21 de julio tras la divulgación responsable por parte de Kirill Firsov de FearsOff Cybersecurity. Los mantenedores describieron la vulnerabilidad como que no requiere “activación de AutoType” ni “ningún dispositivo classpath”. Verificaron la cadena en Spring Boot 2.x, 3.xy 4.x con JDK 8, 11, 17 y 21.
Firsov rastreó el problema hasta la ruta de resolución de tipos de Fastjson. Un atacante controlado @type El valor se puede convertir en una búsqueda de recursos de clase. En un fat-JAR Spring Boot compatible, una ruta JAR anidada diseñada puede recuperar el código de bytes controlado por el atacante. Un @JSONType La anotación en ese recurso se puede tratar como una señal de confianza, lo que permite que la clase pase las comprobaciones de tipo y la carga de Fastjson.
Su análisis técnico también describe una ruta JDK más nueva que descarga un JAR remoto y hace referencia a él a través de /proc/self/fd.
El exploit depende del cargador fat-JAR ejecutable de Spring Boot. Alibaba enumera los JAR simples, los uber-JAR genéricos y las implementaciones de Tomcat o Jetty WAR como no afectadas. Los puntos de entrada accesibles incluyen JSON.parse, JSON.parseObject(String)y JSON.parseObject(String, Class). Vincular la entrada a una clase fija no es suficiente cuando un objeto contiene una Object o Map campo donde se puede anidar la carga útil.
ThreatBook dijo el 22 de julio que su plataforma había capturado la explotación en estado salvaje después de agregar soporte de detección dos días antes. Sus resultados de laboratorio fueron más limitados: reprodujo la ejecución completa del código en un Spring Boot fat-JAR en JDK 8, mientras que su prueba Tomcat integrada produjo solo una búsqueda remota de JAR o una falsificación de solicitudes del lado del servidor.
Imperva informó actividad en servicios financieros, atención médica, informática, comercio minorista y otras organizaciones, principalmente en los Estados Unidos, con volúmenes más pequeños en Singapur y Canadá. Dijo que los imitadores de navegadores generaron la mayoría de las solicitudes, mientras que las herramientas Ruby y Go representaron alrededor del 30% en conjunto.
Ninguno de los proveedores publicó recuentos de ataques, solicitudes sin procesar, evidencia de ejecución, víctimas nombradas o compromisos confirmados. Sus informes establecen una actividad de explotación observada, no pruebas de una ejecución exitosa del código contra un objetivo del mundo real o una infracción.
Sin embargo, una evaluación de CISA-ADP del 23 de julio señaló la explotación como none. The Hacker News confirmó el 25 de julio que la falla no estaba en el catálogo actual de vulnerabilidades explotadas conocidas de CISA. Las fuentes disponibles no explican el desajuste.
Hacker News tampoco encontró ningún artefacto Fastjson 1.x parcheado en las etiquetas GitHub del proyecto o en el repositorio central de Maven a partir del 25 de julio. La versión 1.2.83 sigue siendo la última versión estándar 1.x, mientras que 1.2.83_noneautotype sigue siendo la versión restringida disponible.
Las organizaciones deben inventariar las dependencias Fastjson directas y transitivas e inspeccionar los sistemas afectados en busca de sospechas. @type valores, URL JAR anidadas, conexiones salientes inesperadas, procesos secundarios, cambios de archivos y shells web. Fastjson2 no se ve afectado porque no utiliza la misma ruta de confianza basada en anotaciones o sondeo de recursos.
The Hacker News se comunicó con Alibaba para obtener aclaraciones sobre las versiones afectadas y los planes de parche Fastjson 1.x, y con Imperva para obtener detalles sobre la actividad de explotación reportada. Actualizaremos la historia con cualquier respuesta.
Fastjson 1.2.83 fue la actualización recomendada por Alibaba para una omisión de AutoType separada divulgada en 2022. Esa versión final 1.x ahora se encuentra dentro del rango afectado para CVE-2026-16723.