As empresas de segurança ThreatBook e Imperva afirmam que invasores estão explorando uma falha crítica no Fastjson, a biblioteca JSON da Alibaba para Java.
Em aplicações Spring Boot afetadas, uma solicitação JSON maliciosa pode executar código sem autenticação, com os privilégios do processo Java.
Identificada como
CVE-2026-16723
, a vulnerabilidade recebeu da própria Alibaba uma pontuação CVSS de 9,0.
A cadeia confirmada exige Fastjson nas versões 1.2.68 até 1.2.83, um arquivo executável fat-JAR do Spring Boot, um caminho acessível pela rede que envie JSON controlado pelo invasor para um parser afetado e o SafeMode definido com o valor padrão, desativado.
O AutoType pode continuar desativado, e não é necessário nenhum gadget no classpath.
Até 25 de julho, a Alibaba ainda não havia lançado uma versão corrigida do Fastjson 1.x.
Organizações que não puderem migrar de imediato devem ativar o SafeMode com -Dfastjson.parser.safeMode=true ou usar com.alibaba:fastjson:1.2.83_noneautotype.
A Alibaba aponta a migração para o Fastjson2 como a correção de longo prazo.
A Alibaba publicou seu alerta em 21 de julho, após divulgação responsável feita por Kirill Firsov, da FearsOff Cybersecurity.
Os mantenedores descreveram a vulnerabilidade como exigindo "no AutoType enablement" e "no classpath gadget".
Eles verificaram a cadeia no Spring Boot 2.x, 3.x e 4.x com JDK 8, 11, 17 e 21.
Firsov rastreou o problema até o caminho de resolução de tipos do Fastjson.
Um valor @type controlado pelo invasor pode ser transformado em uma consulta de recurso de classe.
Em um fat-JAR compatível do Spring Boot, um caminho aninhado de JAR elaborado pode buscar bytecode controlado pelo invasor.
Uma anotação @JSONType nesse recurso pode então ser tratada como sinal de confiança, permitindo que a classe passe nas verificações de tipo do Fastjson e seja carregada.
Sua análise técnica também descreve um caminho em JDKs mais novos que baixa um JAR remoto e o referencia por meio de /proc/self/fd.
O exploit depende do carregador executável fat-JAR do Spring Boot.
A Alibaba informa que JARs simples, sem o formato fat-JAR, uber-JARs genéricos e implantações WAR em Tomcat ou Jetty não são afetados.
Os pontos de entrada acessíveis incluem JSON.parse, JSON.parseObject(String) e JSON.parseObject(String, Class).
Vincular a entrada a uma classe fixa não é suficiente quando um objeto contém um campo Object ou Map, no qual o payload pode ser aninhado.
A ThreatBook informou em 22 de julho que sua plataforma capturou exploração em ambiente real após adicionar suporte de detecção dois dias antes.
Os resultados de laboratório foram mais limitados: a empresa reproduziu execução completa de código em um fat-JAR do Spring Boot no JDK 8, enquanto seu teste com Tomcat incorporado produziu apenas a busca de um JAR remoto ou uma solicitação do lado do servidor, conhecida como SSRF.
A Imperva relatou atividade contra os setores de serviços financeiros, saúde, computação, varejo e outras organizações, principalmente nos Estados Unidos, com volumes menores em Singapura e no Canadá.
Segundo a empresa, impersonadores de navegador geraram a maior parte das requisições, enquanto ferramentas em Ruby e Go responderam, somadas, por cerca de 30%.
Nenhum dos fornecedores publicou contagens de ataques, requisições brutas, evidências de execução, nomes de vítimas ou confirmações de comprometimento.
Os relatórios registram atividade de exploit observada, mas não provam execução bem-sucedida de código contra um alvo real nem indicam uma data breach.
Ainda assim, uma avaliação da CISA-ADP em 23 de julho marcou a exploração como inexistente.
As fontes disponíveis não explicam a divergência.
Não encontrou-se, até 25 de julho, nenhum artefato corrigido do Fastjson 1.x nas tags do GitHub do projeto nem no repositório Maven Central.
A versão 1.2.83 continua sendo o último lançamento padrão da linha 1.x, enquanto 1.2.83_noneautotype segue como a compilação restrita disponível.
As organizações devem inventariar dependências diretas e transitivas do Fastjson e inspecionar os sistemas afetados em busca de valores @type suspeitos, URLs de JAR aninhados, conexões de saída inesperadas, processos filhos, alterações em arquivos e web shells.
O Fastjson2 não é afetado porque não usa o mesmo caminho de sondagem de recursos nem a mesma lógica de confiança baseada em anotações.
O Fastjson 1.2.83 foi a atualização recomendada pela Alibaba para um desvio separado do AutoType revelado em 2022.
Agora, essa versão final da linha 1.x está dentro do intervalo afetado pela
CVE-2026-16723
.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...