Atacantes explotan un RCE crítico de Fastjson 1.x sin parche disponible

Los atacantes están explotando activamente una vulnerabilidad crítica de ejecución remota de código en Fastjson 1.x sin parche disponible a la fecha, según The Hacker News. Las firmas de seguridad ThreatBook e Imperva informan que la falla permite que solicitudes JSON no autenticadas ejecuten código con los privilegios del proceso de Java en aplicaciones Spring Boot susceptibles. El problema está rastreado como CVE-2026-16723 y lleva una puntuación CVSS de 9.0 asignada por Alibaba.

Fastjson, la biblioteca JSON para Java de amplio uso de Alibaba, sustenta muchos servicios de Spring Boot, lo que incrementa la exposición inmediata, añade The Hacker News. ThreatBook e Imperva dicen que ya observan actividad en la naturaleza y que no se ha publicado ningún parche del proveedor para la línea 1.x. Esté atento a un aviso oficial o correcciones de Alibaba, orientación defensiva para implementaciones de Spring Boot y a cualquier indicador de compromiso compartido por ThreatBook e Imperva. [En desarrollo. Este artículo se actualizará.]