Allarme Fastjson 1.x: RCE che sta colpendo le tue app Spring Boot | Antonio Pedoto
Una vulnerabilità critica in Fastjson 1.x permette l'esecuzione di codice remoto su server Java. Scopri subito come proteggerti.
⚠️ Fastjson 1.x RCE: la vulnerabilità che sta mettendo a rischio le tue app Spring Boot
Hook d’impatto Nel primo trimestre del 2026 i server Java compromessi sono aumentati del 27 % rispetto allo stesso periodo del 2025. La principale causa? Una vulnerabilità di Remote Code Execution (RCE) nella libreria Fastjson 1.x, presente in migliaia di micro-servizi Spring Boot. Gli attaccanti non hanno nemmeno bisogno di credenziali: basta inviare un payload JSON appositamente costruito per ottenere l’esecuzione di comandi sul tuo server.
Il rischio in parole semplici Fastjson è una libreria open-source di Alibaba usata per trasformare oggetti Java in JSON e viceversa. La sua popolarità deriva da velocità e facilità d’uso, per cui è integrata di default in molti progetti Spring Boot.
La falla (CVE-2026-16723) si attiva quando l’applicazione accetta un JSON contenente la chiave speciale @type. Nelle versioni 1.x Fastjson instanzia automaticamente la classe indicata senza alcun controllo. Un attacker può quindi specificare una classe pericolosa (es. org.apache.commons.io.FileUtils) e passare parametri che, una volta creati, eseguono comandi di shell. Il risultato è l’esecuzione di codice arbitrario con i privilegi del processo Java (spesso l’utente tomcat o, peggio, root).
Con un CVSS di 9.0, la vulnerabilità è classificata come critica. Un singolo server compromesso può portare a furto di dati, ransomware o servire da trampolino per attacchi laterali nella rete aziendale.
Chi è a rischio? Sviluppatori che hanno incluso Fastjson 1.x nei loro progetti Spring Boot senza aggiornare la dipendenza. Aziende con servizi esposti a Internet o con firewall poco restrittivi. Applicazioni legacy che non seguono una politica di aggiornamento regolare.
3 azioni immediate (meno di 5 minuti) Disabilita la deserializzazione automatica Se il tuo framework non espone un'opzione di "safe mode", passa a com.alibaba.fastjson.parser.ParserConfig.getGlobalInstance().setAutoTypeSupport(false);. Blocca la chiave @type a livello di firewall API Aggiungi una regola WAF (ModSecurity, OWASP-Core-Rule-Set) che rilevi "@type" nei body JSON e la blocchi con 403. Per Nginx: if ($requestbody "@type") { return 403; } Isola il processo Java Esegui i container Docker o le VM con un utente non privilegiato (es. appuser) e rimuovi i permessi di root. Limita le capacità di rete (--cap-drop ALL) e monta solo i volumi strettamente necessari. Questo riduce l’impatto anche se l’attacco dovesse riuscire.
Nota: Queste misure non sostituiscono una migrazione a Fastjson 2.x, ma ti danno tempo prezioso per pianificare l’upgrade.
Perché devi agire ora Nessuna patch ancora rilasciata per la linea 1.x; la versione corretta è la 2.x, ma la migrazione richiede test e refactoring. Gruppi di threat actor (documentati da ThreatBook e Imperva) stanno già sfruttando la vulnerabilità in ambienti di produzione. Un server compromesso può diventare un punto di ingresso per attacchi a catena: backdoor, esfiltrazione di credenziali, ransomware, ecc.
Teaser: cosa troverai nell’approfondimento completo Nel nostro articolo dettagliato scoprirai: Guida passo-passo per migrare da Fastjson 1.x a 2.x senza rompere la tua pipeline CI/CD. Lista dei tool (OWASP ZAP, Burp Suite, Nmap) per verificare se il tuo endpoint è già vulnerabile. Checklist di sicurezza per micro-servizi Spring Boot (hardening JVM, logging, monitoraggio). Esempi reali di exploit (payload completi) e le relative contromisure forensi. Template di policy per bloccare @type via WAF e per configurare i container in modalità “least-privilege”.
Non lasciare che la tua applicazione diventi il prossimo bersaglio. Leggi l’articolo completo e proteggi la tua infrastruttura prima che gli attaccanti la prendano di mira.
---
🔒 Vuoi la guida completa per proteggerti?
L'approfondimento include: ✅ Checklist di sicurezza passo-passo 🔧 Tool gratuiti consigliati 📋 FAQ con risposte degli esperti 🛡️ Best practice per aziende e privati
[→ Leggi la Guida Completa alla Protezione]