RedisTimeSeriesはRedisの時系列データモジュールです。バージョン1.12.14以前では、RESTOREコマンドを介して処理されるシリアライズされた値の検証が不十分であり、認証された攻撃者が悪意のあるペイロードを送信することで、リモートコード実行（RCE）を引き起こす可能性があります。この脆弱性はバージョン1.12.14で修正されており、早期のアップデートを推奨します。
影響と攻撃シナリオ
この脆弱性を悪用されると、攻撃者はRedisサーバー上で任意のコードを実行できるようになります。これにより、機密データの窃取、システムの改ざん、さらにはネットワーク全体への攻撃の踏み台として利用される可能性があります。攻撃者は、RESTOREコマンドに悪意のあるシリアライズされたペイロードを送信することで、メモリ破壊を引き起こし、コード実行を可能にします。この脆弱性は、Redisサーバーがインターネットに直接公開されている場合、特に深刻な影響を及ぼします。類似の脆弱性は、シリアライズ処理の不備から発生する可能性があり、他のアプリケーションでも注意が必要です。
悪用の状況
本脆弱性は、2026年5月5日に公開されました。現時点では、KEV（Kernel Exploitability Tracking）への登録状況は不明です。EPSS（Exploit Prediction Scoring System）スコアは、攻撃の可能性を評価するために使用されますが、現時点では評価されていません。公開されているPoC（Proof of Concept）は確認されていませんが、Redisサーバーがインターネットに公開されている場合、攻撃対象となり得るリスクがあります。NVD（National Vulnerability Database）およびCISA（Cybersecurity and Infrastructure Security Agency）の情報を定期的に確認し、最新の情報を入手することが重要です。
脅威インテリジェンス
エクスプロイト状況
EPSS
0.27% (50% パーセンタイル)
CVSS ベクトル
これらのメトリクスの意味は？
- Attack Vector
- ネットワーク — インターネット経由でリモートから悪用可能。物理・ローカルアクセス不要。
- Attack Complexity
- 低 — 特別な条件不要。安定して悪用可能。
- Privileges Required
- 低 — 有効なユーザーアカウントがあれば十分。
- User Interaction
- なし — 自動かつ無音の攻撃。被害者は何もしない。
- Scope
- 変化なし — 影響は脆弱なコンポーネントのみ。
- Confidentiality
- 高 — 機密性の完全喪失。全データが読み取り可能。
- Integrity
- 高 — 任意のデータの書き込み・変更・削除が可能。
- Availability
- 高 — 完全なクラッシュまたはリソース枯渇。完全なサービス拒否。
影響を受けるソフトウェア
弱点分類 (CWE)
タイムライン
- 公開日
- 更新日
- EPSS 更新日
緩和策と回避策
RedisTimeSeriesのバージョンを1.12.14以降にアップデートすることが最も効果的な対策です。アップデートが困難な場合は、RESTOREコマンドへのアクセスをACLルールで制限することで、攻撃のリスクを軽減できます。また、Redisサーバーへのネットワークアクセスを制限し、不要なポートを閉じることが重要です。WAF（Web Application Firewall）を導入し、悪意のあるRESTOREコマンドの実行を検知・ブロックすることも有効です。Redisサーバーのログを監視し、異常なRESTOREコマンドの実行を検知することも推奨されます。
修正方法翻訳中…
Actualice el módulo RedisTimeSeries a la versión 1.12.14 o superior para mitigar la vulnerabilidad. Restrinja el acceso al comando RESTORE con reglas ACL para limitar el impacto potencial en caso de que no pueda actualizar inmediatamente.
よくある質問
CVE-2026-25588 — RCE in RedisTimeSeriesとは何ですか？
CVE-2026-25588は、RedisTimeSeriesモジュールのRESTOREコマンドにおけるシリアライズされた値の検証不備により、認証された攻撃者がリモートコード実行を誘発できる脆弱性です。CVSSスコアは8.8（HIGH）です。
CVE-2026-25588 in RedisTimeSeriesに影響はありますか？
RedisTimeSeriesのバージョンが1.12.14以前の場合、影響を受けます。RESTOREコマンドへのアクセス制限や、バージョンアップを検討してください。
CVE-2026-25588 in RedisTimeSeriesを修正するにはどうすればよいですか？
RedisTimeSeriesのバージョンを1.12.14以降にアップデートしてください。アップデートが困難な場合は、RESTOREコマンドへのアクセスをACLルールで制限してください。
CVE-2026-25588は積極的に悪用されていますか？
現時点では、活発な攻撃キャンペーンの報告はありませんが、Redisサーバーがインターネットに公開されている場合、攻撃対象となり得るリスクがあります。
CVE-2026-25588に関する公式Redisアドバイザリはどこで入手できますか？
Redisの公式アドバイザリは、Redisのウェブサイトで確認できます。https://redis.io/docs/security/advisory/
今すぐ試す — アカウント不要
Upload any manifest (composer.lock, package-lock.json, WordPress plugin list…) or paste your component list. You get a vulnerability report instantly. Uploading a file is just the start: with an account you get continuous monitoring, Slack/email alerts, multi-project and white-label reports.
依存関係ファイルをドラッグ＆ドロップ
composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...