CVE-2026-25243: RCE en Redis 1.0.0–8.6.3
Plataforma
redis
Componente
redis
Corregido en
8.6.3
La vulnerabilidad CVE-2026-25243 afecta a Redis, un almacén de estructuras de datos en memoria, en versiones desde 1.0.0 hasta 8.6.3. Esta falla permite la ejecución remota de código (RCE) si un atacante autenticado puede usar el comando RESTORE con una carga útil serializada maliciosa. La actualización a la versión 8.6.3 es la solución recomendada para mitigar este riesgo.
Impacto y Escenarios de Ataque
Un atacante que explote esta vulnerabilidad podría obtener control total sobre el servidor Redis. Al proporcionar una carga útil serializada cuidadosamente elaborada al comando RESTORE, el atacante puede desencadenar accesos a memoria inválidos, lo que podría resultar en la ejecución de código arbitrario. Esto podría llevar a la exfiltración de datos sensibles almacenados en Redis, la modificación de la configuración del servidor, o incluso el uso del servidor como punto de apoyo para atacar otros sistemas en la red. La severidad de este impacto se agrava por la naturaleza crítica de Redis en muchas arquitecturas de aplicaciones modernas, donde se utiliza para almacenamiento en caché, gestión de sesiones y colas de mensajes.
Contexto de Explotación
La vulnerabilidad CVE-2026-25243 fue publicada el 5 de mayo de 2026. Actualmente, no se dispone de información sobre campañas de explotación activas. No se ha reportado su inclusión en KEV (Known Exploited Vulnerabilities) ni se ha asignado un puntaje EPSS (Exploit Prediction Scoring System). Se recomienda monitorear las fuentes de inteligencia de amenazas para detectar cualquier actividad relacionada con esta vulnerabilidad.
Inteligencia de Amenazas
Estado del Exploit
EPSS
0.09% (26% percentil)
Software Afectado
Clasificación de Debilidad (CWE)
Cronología
- Publicada
- Modificada
- EPSS actualizado
Mitigación y Workarounds
La solución principal es actualizar a la versión 8.6.3 de Redis, que corrige la vulnerabilidad. Si la actualización inmediata no es posible, se recomienda implementar una mitigación temporal restringiendo el acceso al comando RESTORE utilizando las reglas de control de acceso (ACL) de Redis. Configure las ACL para denegar el acceso al comando RESTORE a usuarios no confiables. Además, monitorear los logs de Redis en busca de patrones sospechosos relacionados con el comando RESTORE puede ayudar a detectar intentos de explotación. Después de la actualización, confirme la corrección ejecutando el comando INFO server y verificando que la versión del servidor sea 8.6.3 o superior.
Cómo corregirlotraduciendo…
Para mitigar este riesgo, actualice a la versión 8.6.3 o posterior de Redis. Si no es posible actualizar inmediatamente, restrinja el acceso al comando RESTORE utilizando reglas de control de acceso (ACL) para evitar que atacantes no autorizados exploten la vulnerabilidad. Consulte la documentación de Redis para obtener más detalles sobre la configuración de ACL.
Preguntas frecuentes
What is CVE-2026-25243 — RCE en Redis 1.0.0–8.6.3?
CVE-2026-25243 es una vulnerabilidad de ejecución remota de código (RCE) en Redis que afecta a versiones desde 1.0.0 hasta 8.6.3. Permite a un atacante autenticado ejecutar código arbitrario en el servidor Redis.
Am I affected by CVE-2026-25243 en Redis 1.0.0–8.6.3?
Si está utilizando una versión de Redis entre 1.0.0 y 8.6.3, es vulnerable a esta vulnerabilidad. Verifique la versión de su servidor Redis con el comando redis-cli info server.
How do I fix CVE-2026-25243 en Redis 1.0.0–8.6.3?
La solución recomendada es actualizar a la versión 8.6.3 de Redis. Si la actualización no es posible de inmediato, restrinja el acceso al comando RESTORE con ACL.
Is CVE-2026-25243 being actively exploited?
Actualmente, no se dispone de información sobre campañas de explotación activas, pero se recomienda monitorear las fuentes de inteligencia de amenazas.
Where can I find the official Redis advisory for CVE-2026-25243?
Consulte el sitio web oficial de Redis para obtener información y actualizaciones sobre esta vulnerabilidad: [https://redis.io/docs/](https://redis.io/docs/)
¿Tu proyecto está afectado?
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Pruébalo ahora — sin cuenta
Sube cualquier manifiesto (composer.lock, package-lock.json, lista de plugins WordPress…) o pega tu lista de componentes. Recibís un reporte de vulnerabilidades al instante. Subir un archivo es solo el primer paso: con una cuenta tenés monitoreo continuo, alertas en tu canal, multi-proyecto y reportes white-label.
Arrastra y suelta tu archivo de dependencias
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...