Publicado en

Alerta Crítica: Vulnerabilidad RCE en Fastjson 1.x bajo ataque y sin parche disponible

•Publicado enVulnerabilidades

La comunidad de ciberseguridad ha activado las alarmas ante el descubrimiento de una vulnerabilidad crítica en Fastjson, la popular biblioteca de Java desarrollada por Alibaba para el manejo de formatos JSON. El fallo, identificado como CVE-2026-16723, presenta un riesgo extremo para las empresas que utilizan aplicaciones basadas en Java, especialmente aquellas que emplean el framework Spring Boot.

¿En qué consiste la vulnerabilidad CVE-2026-16723?

Esta vulnerabilidad de ejecución remota de código (RCE) ha sido calificada con una puntuación CVSS de 9.0, lo que indica una severidad crítica. El problema radica en la forma en que Fastjson procesa la resolución de tipos. Un atacante puede enviar una solicitud JSON maliciosa diseñada específicamente para forzar a la aplicación a ejecutar código arbitrario en el servidor, todo esto sin necesidad de autenticación previa.

Según los informes de firmas de seguridad como ThreatBook e Imperva, el ataque aprovecha la estructura de los archivos «fat-JAR» de Spring Boot para cargar bytecode malicioso. Lo más preocupante es que la explotación puede ocurrir incluso si funciones de seguridad como AutoType están desactivadas, siempre que el SafeMode no haya sido habilitado explícitamente.

Impacto en el entorno empresarial

A diferencia de otras vulnerabilidades que requieren acceso interno, este fallo permite a un actor externo tomar el control del proceso de Java con los mismos privilegios que la aplicación afectada. Sectores como los servicios financieros, la salud y el comercio minorista ya han sido identificados como objetivos de ataques activos, principalmente en regiones como Estados Unidos, Singapur y Canadá.

El desafío: No hay parche oficial para la versión 1.x

A día de hoy, Alibaba no ha publicado una actualización de seguridad que corrija este fallo en la rama 1.x de Fastjson. Esto deja a las organizaciones en una posición de vulnerabilidad directa si no toman medidas de mitigación manuales. La recomendación a largo plazo del fabricante es la migración completa a Fastjson2, que no se ve afectada por esta ruta específica de explotación.

Medidas de mitigación recomendadas

Desde el departamento de ciberseguridad de Intedya, instamos a los responsables de IT a realizar un inventario inmediato de sus dependencias y aplicar las siguientes medidas:

  • Habilitar SafeMode: Configure el parámetro de inicio de Java con -Dfastjson.parser.safeMode=true. Esta es la defensa más efectiva de corto plazo.
  • Actualizar a versiones restringidas: Si no puede migrar a Fastjson2 inmediatamente, utilice la compilación específica com.alibaba:fastjson:1.2.83_noneautotype.
  • Monitoreo de tráfico: Inspeccione los registros en busca de valores sospechosos en el campo @type dentro de las solicitudes JSON y conexiones salientes inesperadas desde sus servidores de aplicaciones.
  • Plan de Migración: Inicie la transición a Fastjson2 o bibliotecas alternativas como Jackson o Gson, que cuentan con ciclos de actualización más robustos frente a este tipo de vectores.

La seguridad de las aplicaciones es un pilar fundamental de la continuidad de negocio. Ignorar bibliotecas de terceros en el ciclo de vida de desarrollo puede abrir puertas traseras difíciles de cerrar una vez que el atacante ha ganado persistencia en el sistema.

Fuentes