Des attaquants exploitent une RCE critique dans Fastjson 1.x sans correctif disponible

Des attaquants exploitent activement une vulnérabilité critique d’exécution de code à distance dans Fastjson 1.x, sans correctif disponible à ce jour, selon The Hacker News. Les sociétés de sécurité ThreatBook et Imperva indiquent que cette faille permet à des requêtes JSON non authentifiées d’exécuter du code avec les privilèges du processus Java dans des applications Spring Boot vulnérables. Le problème est suivi sous l’identifiant CVE-2026-16723 et affiche un score CVSS de 9.0 attribué par Alibaba.

Fastjson, la bibliothèque JSON pour Java d’Alibaba largement utilisée, sous-tend de nombreux services Spring Boot, ce qui accroît l’exposition immédiate, ajoute The Hacker News. ThreatBook et Imperva affirment déjà observer des attaques actives, et aucun correctif éditeur pour la branche 1.x n’a été publié. Surveillez la publication d’un avis officiel ou de correctifs par Alibaba, des recommandations de défense pour les déploiements Spring Boot, ainsi que des indicateurs de compromission partagés par ThreatBook et Imperva. [En cours de développement. Cet article sera mis à jour.]