Atacantes exploram RCE crítico no Fastjson 1.x sem patch disponível

Atacantes estão explorando ativamente uma vulnerabilidade crítica de execução remota de código no Fastjson 1.x, sem patch disponível até hoje, segundo The Hacker News. As empresas de segurança ThreatBook e Imperva relatam que a falha permite que requisições JSON não autenticadas executem código com os privilégios do processo Java em aplicações Spring Boot suscetíveis. O problema é rastreado como CVE-2026-16723 e possui uma pontuação CVSS de 9.0 atribuída pela Alibaba.

Fastjson, a biblioteca JSON para Java da Alibaba amplamente utilizada, sustenta muitos serviços Spring Boot, aumentando a exposição imediata, acrescenta The Hacker News. ThreatBook e Imperva dizem já observar direcionamento em ataques no mundo real, e nenhum patch do fornecedor para a linha 1.x foi lançado. Fique atento a um aviso oficial ou correções da Alibaba, orientações defensivas para implantações Spring Boot e a quaisquer indicadores de comprometimento compartilhados por ThreatBook e Imperva. [Em desenvolvimento. Este artigo será atualizado.]