CVE-2026-16723: RCE in fastjson, falla CRITICAL

CVE-2026-16723 è una falla Remote Code Execution (RCE) di gravità CRITICAL (CVSS 9,0) che colpisce fastjson nelle versioni da 1.2.68 a 1.2.83. La caratteristica più critica è che la falla è sfruttabile in configurazione standard, senza richiedere l'abilitazione di AutoType o la presenza di gadget chain nel classpath: questo significa che la maggior parte dei deployment sono potenzialmente esposti fin dall'installazione.

La vulnerabilità, pubblicata dal NVD il 23 luglio 2026, è stata segnalata con punteggio CVSS 9,0 (CRITICAL). I post su X indicano che, al 31 ottobre 2026, la comunità continua a discutere questo CVE; uno dei post più citati fa riferimento a un caso di sfruttamento su infrastrutture di alto profilo (informazione non verificata nei dati ufficiali). Non sono stati riportati nelle fonti ufficiali dettagli sulla correzione definitiva o sulla data di patch.

I team difensivi devono: 1) eseguire un inventario completo di fastjson in ambienti production, evidenziando tutte le istanze delle versioni 1.2.68-1.2.83; 2) consultare i canali ufficiali fastjson per identificare la versione corretta e il timing di patch; 3) pianificare un upgrade prioritario per le versioni interessate, considerando il valore CRITICAL del CVE; 4) monitorare log di accesso e comportamenti anomali per rilevare tentativi di sfruttamento fino a quando l'upgrade non sia completato.