- O vulnerabilitate critica de tip RCE in biblioteca JSON Fastjson 1.x este activ exploatata in atacuri, fara ca un patch oficial sa fie disponibil.
Atacatorii exploateaza activ o vulnerabilitate critica de tip Remote Code Execution (RCE) in Fastjson, populara biblioteca JSON pentru Java dezvoltata de Alibaba. Conform rapoartelor venite de la firmele de securitate ThreatBook si Imperva, nu exista inca un patch oficial pentru aceasta breșa, iar impactul este maxim in aplicatiile Spring Boot care folosesc versiunea 1.x a bibliotecii.
Ce este CVE-2026-16723?
Vulnerabilitatea, inregistrata sub codul CVE-2026-16723, primeste un scor CVSS de 9.0 din partea Alibaba, ceea ce o claseaza drept critica. Problema consta in modul in care Fastjson parseaza cereri JSON special concepute: un atacator poate trimite un pachet JSON malitios care, fara autentificare, executa cod arbitrar cu privilegiile procesului Java. Desi lantul de exploatare necesita indeplinirea unor conditii specifice, cercetatorii confirma ca atacuri reale sunt deja in curs.
Cum functioneaza atacul?
Atacatorii vizeaza aplicatii care expun endpoint-uri JSON publice, in special cele construite cu Spring Boot si care utilizeaza Fastjson 1.x. Prin trimiterea unui obiect JSON atent structurat, se poate declansa deserializarea nesigura, ceea ce duce la executia de comanda la distanta. Exploatarea nu necesita autentificare prealabila, iar codul se executa in contextul serverului Java, oferind atacatorilor control asupra sistemului tinta.
De ce este periculoasa aceasta vulnerabilitate?
Fastjson este utilizat pe scara larga in aplicatii enterprise, iar versiunea 1.x este inca prezenta in multe sisteme mostenite. Absenta unui patch oficial inseamna ca singura masura de atenuare este actualizarea la versiunea 2.x (care nu este afectata) sau aplicarea de reguli firewall pentru a filtra cereri suspecte. Pana atunci, echipele de securitate trebuie sa monitorizeze atent traficul JSON si sa limiteze expunerea endpoint-urilor critice.
Ce inseamna pentru tine
Daca esti dezvoltator sau administrator de sisteme care ruleaza aplicatii Spring Boot cu Fastjson 1.x, iata ce ai de facut:
- Actualizeaza imediat la Fastjson 2.x – singura solutie permanenta, deoarece versiunea 1.x nu va primi patch.
- Mentine endpoint-urile JSON protejate – utilizeaza firewall-uri de aplicatie (WAF) pentru a bloca cereri JSON cu tipare cunoscute de atac.
- Implementeaza autentificare si autorizare – chiar daca exploitul nu necesita credentiale, limitarea accesului la API-uri reduce riscul.
Ramai vigilent si urmareste actualizarile oficiale de la Alibaba sau comunitatea Fastjson. Pana la aparitia unui patch, fiecare configuratie neprotejata este o poarta deschisa pentru atacatori.