Falha crítica no Fastjson 1.x permite execução remota de código em apps Spring Boot sem patch disponível

Uma vulnerabilidade crítica de execução remota de código no Fastjson 1.x, a amplamente utilizada biblioteca de serialização JSON da Alibaba para Java, está sendo ativamente explorada na natureza, de acordo com reportagem do The Hacker News. A falha, rastreada como CVE-2026-16723 e com pontuação CVSS de 9,0, afeta as versões 1.2.68 a 1.2.83 do Fastjson e permite que um invasor execute código arbitrário com os privilégios do processo Java — sem autenticação, sem exigir que o recurso AutoType do Fastjson esteja ativado e sem depender de classes gadget de terceiros que exploits anteriores do Fastjson geralmente exigiam.

Como funciona a cadeia de exploração

A vulnerabilidade atinge aplicações Spring Boot implantadas como "fat-JARs" executáveis — o formato JAR autossuficiente e completo que o Spring Boot normalmente gera para implantação. A exploração foi confirmada nas versões Spring Boot 2.x, 3.x e 4.x, rodando em JDK 8, 11, 17 e 21, cobrindo a esmagadora maioria dos ambientes Java que ainda usam Fastjson 1.x em produção.

O ataque funciona enviando uma requisição JSON manipulada contendo um valor @type modificado, que aciona a lógica de resolução de tipo do Fastjson para realizar uma busca por classe-recurso. Dentro de um fat-JAR compatível do Spring Boot, um caminho de JAR aninhado especialmente construído pode então buscar bytecode controlado pelo invasor. Uma anotação @JSONType acompanhante nesse recurso é tratada pelo Fastjson como um sinal de confiança, permitindo que a classe maliciosa contorne completamente as proteções de verificação de tipo do Fastjson e seja carregada na aplicação em execução. Como o exploit funciona sob a configuração padrão do Fastjson — SafeMode está desativado por padrão — qualquer serviço Spring Boot não corrigido e exposto à internet que use uma versão afetada do Fastjson é potencialmente explorável sem qualquer configuração especial por parte do invasor.

Sem patch, mas existem mitigações

Até 25 de julho de 2026, a Alibaba não lançou um patch oficial especificamente para o branch Fastjson 1.x. As equipes de segurança têm três opções práticas enquanto isso. A primeira é ativar o SafeMode diretamente via propriedade de sistema -Dfastjson.parser.safeMode=true, o que bloqueia o comportamento de resolução de tipo do qual o exploit depende. A segunda é migrar para a variante de pacote específica com.alibaba:fastjson:1.2.83_noneautotype, que remove completamente a funcionalidade relacionada ao AutoType. A terceira, e a opção que a Alibaba recomenda como solução de longo prazo, é migrar do Fastjson 1.x para o Fastjson2, a biblioteca sucessora mantida ativamente.

O que não é afetado

A cadeia de exploração específica exige o formato de implantação fat-JAR que o Spring Boot usa por padrão — JARs simples não fat-JAR, uber-JARs genéricos construídos com ferramentas como Maven Shade, e aplicações implantadas como arquivos WAR dentro do Tomcat ou Jetty não são vulneráveis a esse caminho de ataque específico, pois não expõem a busca por classe-recurso de JAR aninhado da qual o exploit depende. Isso reduz a população afetada, mas não elimina o risco: a implantação fat-JAR é a escolha padrão e mais comum de empacotamento para aplicações Spring Boot justamente por simplificar a implantação em um único arquivo executável.

Por que isso importa além de uma única biblioteca

O Fastjson tem um longo histórico de vulnerabilidades graves de desserialização que remonta a quase uma década, e o Fastjson 1.x ainda permanece amplamente implantado em sistemas Java de produção, apesar da própria recomendação da Alibaba de migrar para o Fastjson2. Organizações que executam implantações Spring Boot fat-JAR com Fastjson 1.x na faixa 1.2.68–1.2.83 devem tratar isso como uma prioridade de correção emergencial: ativar o SafeMode imediatamente como paliativo e tratar a migração para o Fastjson2 como urgente, e não opcional, já que a decisão da Alibaba de não corrigir o branch 1.x sugere que vulnerabilidades futuras nessa linha também provavelmente não serão corrigidas.