{"id":1760,"date":"2026-07-25T15:22:03","date_gmt":"2026-07-25T15:22:03","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/25\/vulnerabilidad-fastjson-1-x-rce-dirigida-a-ataques-sin-parches-disponibles-cyberdefensa-mx\/"},"modified":"2026-07-25T15:22:03","modified_gmt":"2026-07-25T15:22:03","slug":"vulnerabilidad-fastjson-1-x-rce-dirigida-a-ataques-sin-parches-disponibles-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/25\/vulnerabilidad-fastjson-1-x-rce-dirigida-a-ataques-sin-parches-disponibles-cyberdefensa-mx\/","title":{"rendered":"Vulnerabilidad Fastjson 1.x RCE dirigida a ataques sin parches disponibles \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Las firmas de seguridad ThreatBook e Imperva dicen que los atacantes est\u00e1n apuntando a una falla cr\u00edtica en Fastjson, la biblioteca JSON de Alibaba para Java. En las aplicaciones Spring Boot afectadas, una solicitud JSON maliciosa puede ejecutar c\u00f3digo sin autenticaci\u00f3n, con los privilegios del proceso Java.<\/p>\n

Seguimiento como CVE-2026-16723<\/code>la vulnerabilidad tiene una puntuaci\u00f3n CVSS de 9,0 asignada por Alibaba. La cadena confirmada requiere Fastjson 1.2.68 a 1.2.83, un fat-JAR ejecutable de Spring Boot, una ruta accesible en la red que env\u00eda JSON controlado por el atacante a un analizador afectado y SafeMode dejado en su valor predeterminado deshabilitado. AutoType puede permanecer deshabilitado y no se requiere ning\u00fan gadget de classpath.<\/p>\n

Hasta el 25 de julio, Alibaba no hab\u00eda lanzado una versi\u00f3n fija de Fastjson 1.x. Las organizaciones que no pueden migrar inmediatamente deben habilitar SafeMode con -Dfastjson.parser.safeMode=true<\/code> o usar com.alibaba:fastjson:1.2.83_noneautotype<\/code>. Alibaba enumera la migraci\u00f3n a Fastjson2 como la soluci\u00f3n a largo plazo.<\/p>\n

Alibaba public\u00f3 su aviso<\/a> el 21 de julio tras la divulgaci\u00f3n responsable por parte de Kirill Firsov<\/a> de FearsOff Ciberseguridad. Los mantenedores describieron la vulnerabilidad como que no requiere \u00abactivaci\u00f3n de AutoType\u00bb ni \u00abning\u00fan dispositivo classpath\u00bb. Verificaron la cadena en Spring Boot 2.x, 3.xy 4.x con JDK 8, 11, 17 y 21.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Firsov rastre\u00f3 el problema hasta la ruta de resoluci\u00f3n de tipos de Fastjson. Un atacante controlado @type<\/code> El valor se puede convertir en una b\u00fasqueda de recursos de clase. En un fat-JAR Spring Boot compatible, una ruta JAR anidada dise\u00f1ada puede recuperar el c\u00f3digo de bytes controlado por el atacante. Un @JSONType<\/code> La anotaci\u00f3n en ese recurso se puede tratar como una se\u00f1al de confianza, lo que permite que la clase pase las comprobaciones de tipo y la carga de Fastjson.<\/p>\n

Su an\u00e1lisis t\u00e9cnico<\/a> tambi\u00e9n describe una ruta JDK m\u00e1s nueva que descarga un JAR remoto y hace referencia a \u00e9l a trav\u00e9s de \/proc\/self\/fd<\/code>.<\/p>\n

El exploit depende del cargador fat-JAR ejecutable de Spring Boot. Alibaba enumera los JAR simples, los uber-JAR gen\u00e9ricos y las implementaciones de Tomcat o Jetty WAR como no afectadas. Los puntos de entrada accesibles incluyen JSON.parse<\/code>, JSON.parseObject(String)<\/code>y JSON.parseObject(String, Class)<\/code>. Vincular la entrada a una clase fija no es suficiente cuando un objeto contiene una Object<\/code> o Map<\/code> campo donde se puede anidar la carga \u00fatil.<\/p>\n

ThreatBook dijo<\/a> el 22 de julio que su plataforma hab\u00eda capturado la explotaci\u00f3n en estado salvaje despu\u00e9s de agregar soporte de detecci\u00f3n dos d\u00edas antes. Sus resultados de laboratorio fueron m\u00e1s limitados: reprodujo la ejecuci\u00f3n completa del c\u00f3digo en un Spring Boot fat-JAR en JDK 8, mientras que su prueba Tomcat integrada produjo solo una b\u00fasqueda remota de JAR o una falsificaci\u00f3n de solicitudes del lado del servidor.<\/p>\n

Imperva reportado<\/a> actividad contra servicios financieros, atenci\u00f3n m\u00e9dica, inform\u00e1tica, comercio minorista y otras organizaciones, principalmente en los Estados Unidos, con vol\u00famenes m\u00e1s peque\u00f1os en Singapur y Canad\u00e1. Dijo que los imitadores de navegadores generaron la mayor\u00eda de las solicitudes, mientras que las herramientas Ruby y Go representaron alrededor del 30% en conjunto.<\/p>\n

\"\"<\/a><\/div>\n

Ninguno de los proveedores public\u00f3 recuentos de ataques, solicitudes sin procesar, evidencia de ejecuci\u00f3n, v\u00edctimas nombradas o compromisos confirmados. Sus informes establecen una actividad de explotaci\u00f3n observada, no pruebas de una ejecuci\u00f3n exitosa del c\u00f3digo contra un objetivo del mundo real o una infracci\u00f3n.<\/p>\n

un 23 de julio Evaluaci\u00f3n CISA-ADP<\/a> Sin embargo, marc\u00f3 la explotaci\u00f3n como none<\/code>. The Hacker News confirm\u00f3 el 25 de julio que la falla no estaba presente en el informe actual de CISA. Cat\u00e1logo de vulnerabilidades explotadas conocidas<\/a>. Las fuentes disponibles no explican el desajuste.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

The Hacker News tampoco encontr\u00f3 ning\u00fan artefacto Fastjson 1.x parcheado en el proyecto Etiquetas de GitHub<\/a> o Repositorio central de Maven<\/a> a partir del 25 de julio. La versi\u00f3n 1.2.83 sigue siendo la \u00faltima versi\u00f3n est\u00e1ndar 1.x, mientras que 1.2.83_noneautotype<\/code> sigue siendo la versi\u00f3n restringida disponible.<\/p>\n

Las organizaciones deben inventariar las dependencias Fastjson directas y transitivas e inspeccionar los sistemas afectados en busca de sospechas. @type<\/code> valores, URL JAR anidadas, conexiones salientes inesperadas, procesos secundarios, cambios de archivos y shells web. Fastjson2 no se ve afectado porque no utiliza la misma ruta de confianza basada en anotaciones o sondeo de recursos.<\/p>\n

The Hacker News se comunic\u00f3 con Alibaba para obtener aclaraciones sobre las versiones afectadas y los planes de parche Fastjson 1.x, y con Imperva para obtener detalles sobre la actividad de explotaci\u00f3n reportada. Actualizaremos la historia con cualquier respuesta.<\/p>\n

Fastjson 1.2.83 fue la actualizaci\u00f3n recomendada por Alibaba para una omisi\u00f3n de AutoType separada divulgada en 2022. Esa versi\u00f3n final 1.x ahora se encuentra dentro del rango afectado para CVE-2026-16723<\/code>.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Las firmas de seguridad ThreatBook e Imperva dicen que los atacantes est\u00e1n apuntando a una falla cr\u00edtica en Fastjson, la biblioteca JSON de Alibaba para Java. En las aplicaciones Spring Boot afectadas, una solicitud JSON maliciosa puede ejecutar c\u00f3digo sin autenticaci\u00f3n, con los privilegios del proceso Java. Seguimiento como CVE-2026-16723la vulnerabilidad tiene una puntuaci\u00f3n CVSS […]<\/p>\n","protected":false},"author":1,"featured_media":1379,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[4047,233,24,462,4048,4046,713,779,716,313],"class_list":["post-1760","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-1-x","tag-ataques","tag-cyberdefensa-mx","tag-dirigida","tag-disponibles","tag-fastjson","tag-parches","tag-rce","tag-sin","tag-vulnerabilidad"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1760","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1760"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1760\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/1379"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1760"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1760"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1760"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}