Il 21 luglio 2026 Alibaba ha pubblicato un avviso di sicurezza su CVE-2026-16723, una vulnerabilità RCE critica con punteggio CVSS 9.0 che colpisce FastJson dalla versione 1.2.68 alla 1.2.83. Il giorno successivo, il 22 luglio, ThreatBook ha osservato exploitation attiva nel campo. Imperva conferma exploitation attempts in corso contro organizzazioni statunitensi nei settori finanziario, sanitario, informatico, retail e business, con volumi minori a Singapore e in Canada. La combinazione è preoccupante: una libreria con 25.600 stelle e 6.400 fork, non più mantenuta, con un difetto che non richiede AutoType abilitato né gadget chain sul classpath, eseguibile con un semplice POST JSON.
- CVE-2026-16723 colpisce FastJson 1.2.68-1.2.83 con CVSS 9.0; la linea 1.x è archiviata e una patch è improbabile.
- L'exploitation richiede deployment Spring Boot fat-JAR (java -jar), senza necessità di AutoType o gadget esterni.
- Exploitation attempts attivi confermati dal 22 luglio 2026 da parte di ThreatBook e Imperva, prevalentemente contro target USA.
- La migrazione a FastJson2 o l'attivazione della SafeMode sono le opzioni indicate; la fonte non specifica se eliminino completamente la superficie d'attacco.
Come funziona il bypass: la risoluzione dei tipi prima del controllo
Il difetto risiede nella logica di risoluzione dei tipi di FastJson 1.x. Il parser effettua lookup di risorse controllate dall'attaccante prima che le restrizioni AutoType vengano applicate. Secondo l'avviso di Alibaba citato da BleepingComputer, "l'unico prerequisito di deployment è che il target esegua come Spring Boot executable fat-jar (cioè lanciato via java -jar xxx.jar)". Questa architettura specifica è ciò che espone la superficie d'attacco.
Imperva, citata da SecurityWeek, ha identificato un meccanismo ulteriore: FastJson 1.x può trattare la presenza di un'annotazione @JSONType come segnale di fiducia durante la risoluzione dei tipi. Questo comportamento consente il caricamento di classi e l'esecuzione di codice remoto senza le tradizionali catene di gadget che caratterizzano le vulnerabilità di deserializzazione Java. Le condizioni tecniche di riproduzione si basano sull'advisory Alibaba e sulla ricerca FearsOff; non sono disponibili fonti primarie indipendenti per la verifica cross-source.
La portata è ristretta ma significativa: le versioni 1.2.60 e precedenti, così come i deployment non fat-JAR, non sono vulnerabili. Questa precisione ha valore operativo per i team che devono classificare il rischio nei propri asset.
Il traffico d'attacco: impersonatori di browser e strumenti automatizzati
Imperva ha caratterizzato il traffico malevolo: la maggior parte proviene da impersonatori di browser, con circa il 30% generato da strumenti in Ruby e Go. Gli exploitation attempts non richiedono autenticazione, interazione utente né librerie gadget esterne. Come ha dichiarato Imperva a SecurityWeek, "gli attacchi sono attualmente diretti quasi interamente contro organizzazioni con sede negli Stati Uniti, con pochi attacchi a Singapore e in Canada, anche se questa tendenza probabilmente continuerà a espandersi a livello globale". La natura è opportunistica e unattributed: nessun gruppo threat actor specifico è stato identificato, e l'assenza di vittime nominali confermate impedisce stime di impatto tangibile.
Un elemento di attrito interpretativo emerge dal record NVD di CVE-2026-16723. Il CISA-ADP ha aggiunto il 23 luglio 2026 una valutazione SSVC con exploitation:"none", automatable:"no" e technicalImpact:"total". Questo contrasta con le affermazioni di Alibaba, ThreatBook e Imperva su exploitation attiva. La discrepanza resta irrisolta: il dossier non chiarisce se rifletta tempistiche di assessment, definizioni operative diverse o un gap informativo nel CISA-ADP. CVE-2026-16723 non risulta nel catalogo KEV di CISA al 25 luglio 2026.
L'archivio del repository: la trappola della dipendenza unmaintained
Il 29 luglio 2026, quattro giorni dopo la scoperta dell'exploitation attiva, il proprietario ha archiviato il repository GitHub di FastJson 1.x. Con 25.600 stelle e 6.400 fork, la libreria resta tra le più referenziate per il parsing JSON in Java. Secondo Imperva, "FastJson 1.x is no longer actively maintained, so it's unlikely it will receive a security update". L'archiviazione del repository rende esplicito ciò che era già implicito: una patch è improbabile.
La scoperta responsabile è stata effettuata da Kirill Firsov di FearsOff Cybersecurity. L'advisory di Alibaba, pubblicato il 21 luglio 2026, rappresenta la fonte primaria di conoscenza tecnica, corroborata dai dati di telemetria di Imperva e dall'osservazione diretta di ThreatBook.
Cosa fare adesso
- Verificare la presenza di FastJson 1.2.68-1.2.83 in deployment Spring Boot lanciati via
java -jar: questa combinazione è l'unica superficie d'attacco confermata. - Attivare SafeMode con il flag
-Dfastjson.parser.safeMode=trueo utilizzare la build1.2.83_noneautotypese la migrazione immediata non è praticabile, consapevoli delle limitazioni funzionali. - Pianificare la migrazione a FastJson2: secondo l'avviso di Alibaba e i dati di telemetria, la linea 2.x è immune grazie a un modello allowlist-first che inverte la logica di trust.
"Questa vulnerabilità è sfruttabile nella configurazione predefinita di fastjson — non è richiesta l'abilitazione di AutoType, non è richiesto alcun gadget sul classpath." — Avviso di Alibaba, via SecurityWeek
Perché questa vulnerabilità rivela un problema sistemico
FastJson non è una libreria marginale. È stata una scelta architetturale standard in ecosistemi Java enterprise per anni, e la sua presenza in Spring Boot fat-JAR riflette pattern di deployment diffusi. L'archiviazione del repository 1.x senza percorso di transizione esplicito lascia una popolazione di sistemi esposti senza aggiornamento strutturale.
Il caso CVE-2026-16723 illustra una dinamica ricorrente: una libreria open source con ampia adozione che raggiunge end-of-life senza meccanismo di deprecazione visibile agli utenti finali. La combinazione di exploitation attempts attivi, assenza di patch attesa e vettore di attacco semplificato — nessun prerequisito di configurazione esotica — rende questa vulnerabilità un campanello d'allarme per le pratiche di gestione delle dipendenze transitive.
La fonte non specifica se SafeMode o la build noneautotype eliminino completamente la superficie d'attacco. La fonte non specifica se esista un percorso mitigativo valido oltre alla migrazione. Ciò che resta documentato è chiaro: exploitation attempts in corso, nessuna patch attesa, e una libreria archiviata.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://www.bleepingcomputer.com/news/security/hackers-target-us-firms-in-fastjson-rce-zero-day-attacks/
- https://thehackernews.com/2026/07/fastjson-1x-rce-vulnerability-targeted.html
- https://www.securityweek.com/unpatched-fastjson-vulnerability-exploited-in-attacks/
- https://cybersecuritynews.com/hackers-exploiting-fastjson-rce-0-day/
- https://nvd.nist.gov/vuln/detail/CVE-2026-16723
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- https://github.com/alibaba/fastjson/issues
- https://www.hendryadrian.com/hackers-target-us-firms-in-fastjson-rce-zero-day-attacks/
- https://www.rescana.com/post/active-exploitation-alert-critical-fastjson-cve-2026-16723-zero-day-rce-targeting-us-organizations-in-spring-boot-applic
- https://www.bleepingcomputer.com/
- https://www.bleepingcomputer.com/tutorials/