Empresas de segurança ThreatBook e Imperva afirmam que atacantes estão mirando uma falha crítica no Fastjson, biblioteca JSON da Alibaba para Java. Em aplicações Spring Boot afetadas, uma requisição JSON maliciosa pode executar código sem autenticação, com os privilégios do processo Java.
Catalogada como CVE-2026-16723, a vulnerabilidade possui pontuação CVSS (Sistema de Pontuação de Vulnerabilidades Comuns) de 9,0 atribuída pela Alibaba. A cadeia confirmada exige Fastjson 1.2.68 a 1.2.83, um fat-JAR executável do Spring Boot, um caminho acessível pela rede que envie JSON controlado pelo atacante a um parser afetado, e o SafeMode mantido no padrão desativado. O AutoType pode permanecer desativado, e nenhum gadget de classpath é necessário.
Até 25 de julho, a Alibaba não havia lançado uma versão corrigida do Fastjson 1.x. Organizações que não conseguem migrar imediatamente devem ativar o SafeMode com -Dfastjson.parser.safeMode=true ou usar com.alibaba:fastjson:1.2.83_noneautotype. A Alibaba indica a migração para o Fastjson2 como solução de longo prazo.
A Alibaba publicou seu alerta em 21 de julho após a divulgação responsável feita por Kirill Firsov, da FearsOff Cybersecurity. Os mantenedores descreveram a vulnerabilidade como não exigindo "habilitação do AutoType" e "nenhum gadget de classpath". Eles verificaram a cadeia no Spring Boot 2.x, 3.x e 4.x com JDK (Kit de Desenvolvimento Java) 8, 11, 17 e 21.
Firsov atribuiu o problema ao caminho de resolução de tipos do Fastjson. Um valor @type controlado pelo atacante pode ser convertido em uma busca de recurso de classe. Em um fat-JAR do Spring Boot compatível, um caminho de JAR aninhado elaborado pode buscar bytecode controlado pelo atacante. Uma anotação @JSONType nesse recurso pode então ser tratada como um sinal de confiança, permitindo que a classe passe pelas verificações de tipo do Fastjson e seja carregada.
Sua análise técnica também descreve um caminho em JDKs mais recentes que baixa um JAR remoto e o referencia por meio de /proc/self/fd.
O exploit depende do carregador de fat-JAR executável do Spring Boot. A Alibaba lista JARs não-fat simples, uber-JARs genéricos e implantações WAR em Tomcat ou Jetty como não afetados. Os pontos de entrada acessíveis incluem JSON.parse, JSON.parseObject(String) e JSON.parseObject(String, Class). Vincular a entrada a uma classe fixa não é suficiente quando um objeto contém um campo Object ou Map onde o payload pode ser aninhado.
A ThreatBook afirmou em 22 de julho que sua plataforma havia capturado exploração em ambiente real após adicionar suporte de detecção dois dias antes. Os resultados de laboratório foram mais restritos: reproduziu execução completa de código em um fat-JAR do Spring Boot no JDK 8, enquanto seu teste com Tomcat embarcado produziu apenas o download de um JAR remoto ou falsificação de requisição do lado do servidor (SSRF).
A Imperva relatou atividade contra serviços financeiros, saúde, computação, varejo e outras organizações, principalmente nos Estados Unidos, com volumes menores em Singapura e Canadá. A empresa afirmou que impostores de navegador geraram a maioria das requisições, enquanto ferramentas em Ruby e Go representaram cerca de 30% no total.
Nenhum dos fornecedores publicou contagens de ataques, requisições brutas, evidências de execução, nomes de vítimas ou comprometimentos confirmados. Os relatórios deles estabelecem atividade de exploração observada, não prova de execução bem-sucedida de código contra um alvo do mundo real ou uma violação.
Uma avaliação CISA-ADP de 23 de julho, no entanto, marcou a exploração como inexistente. O The Hacker News confirmou em 25 de julho que a falha estava ausente do catálogo Known Exploited Vulnerabilities (Vulnerabilidades Exploradas Conhecidas) atual da CISA. As fontes disponíveis não explicam a divergência.
O The Hacker News também não encontrou nenhum artefato corrigido do Fastjson 1.x nas tags do projeto no GitHub ou no repositório Maven Central até 25 de julho. A versão 1.2.83 continua sendo o mais recente lançamento padrão da linha 1.x, enquanto a 1.2.83_noneautotype segue como o build restrito disponível.
As organizações devem inventariar dependências diretas e transitivas do Fastjson e inspecionar sistemas afetados em busca de valores @type suspeitos, URLs aninhadas de JAR, conexões de saída inesperadas, processos filhos, alterações de arquivos e web shells. O Fastjson2 não é afetado porque não utiliza o mesmo caminho de sondagem de recursos nem o caminho de confiança baseado em anotações.
O The Hacker News entrou em contato com a Alibaba para obter esclarecimentos sobre as versões afetadas e os planos de correção do Fastjson 1.x, e com a Imperva para detalhes sobre a atividade de exploração relatada. Atualizaremos a reportagem com qualquer resposta.
O Fastjson 1.2.83 era a atualização recomendada pela Alibaba para um bypass separado do AutoType divulgado em 2022. Esse lançamento final da linha 1.x agora está dentro do intervalo afetado pelo CVE-2026-16723.
