CVE-2026-23631: RCE in Redis 8.6.3 and Earlier
Platform
redis
Component
redis
Opgelost in
8.6.3
This vulnerability affects Redis, an in-memory data structure store, allowing authenticated attackers to trigger a use-after-free condition. The flaw resides in the master-replica synchronization mechanism when Lua scripting is enabled. Versions of Redis prior to 8.6.3 are vulnerable, and a fix is available in version 8.6.3.
Impact en Aanvalsscenarios
CVE-2026-23631 in Redis treft versies die Lua-scripting gebruiken. Een geauthenticeerde aanvaller kan het master-replica synchronisatiemechanisme misbruiken om een 'use-after-free' fout te triggeren op replica's waar de optie 'replica-read-only' is uitgeschakeld of uitgeschakeld kan worden. Dit kan leiden tot remote code execution (RCE), waardoor de vertrouwelijkheid, integriteit en beschikbaarheid van het systeem in gevaar komt. De ernst van deze kwetsbaarheid is hoog vanwege het potentieel voor RCE en de brede adoptie van Redis in verschillende applicaties.
Uitbuitingscontext
Het exploiteren van deze kwetsbaarheid vereist dat een aanvaller geauthenticeerd is op de Redis-masterserver. De aanvaller kan vervolgens kwaadaardige Lua-scripts verzenden die de master-replica synchronisatie misbruiken om de 'use-after-free' fout op de replica's te triggeren. De kwetsbaarheid vloeit voort uit de manier waarop Redis de propagatie van Lua-scripts naar replica's en de geheugenbeheer op replica's die zich niet in de alleen-lezen modus bevinden, behandelt. De complexiteit van de exploitatie vereist een diepgaand begrip van de Redis-architectuur en de uitvoering van Lua-scripts.
Dreigingsinformatie
Exploit Status
EPSS
0.08% (23% percentiel)
Getroffen Software
Zwakheidsclassificatie (CWE)
Tijdlijn
- Gepubliceerd
- Gewijzigd
- EPSS bijgewerkt
Mitigatie en Workarounds
Om het risico dat verband houdt met CVE-2026-23631 te beperken, wordt ten zeerste aanbevolen om te upgraden naar Redis-versie 8.6.3 of hoger. Als direct upgraden niet mogelijk is, voorkom dan dat gebruikers Lua-scripts uitvoeren of vermijd het gebruik van replica's waar 'replica-read-only' is uitgeschakeld. Het is cruciaal om uw Redis-configuratie te bekijken en deze mitigerende maatregelen zo snel mogelijk toe te passen om uw systemen te beschermen tegen mogelijke aanvallen. Het monitoren van Redis-logs op verdachte activiteiten is ook een goede praktijk.
Hoe te verhelpenwordt vertaald…
Para mitigar este riesgo, actualice a la versión 8.6.3 o posterior de Redis. Alternativamente, desactive la ejecución de scripts Lua o evite el uso de réplicas donde la opción replica-read-only esté deshabilitada.
Veelgestelde vragen
Wat is CVE-2026-23631 — Remote Code Execution (RCE) in Redis?
Dit is een geheugenfout die optreedt wanneer een programma probeert toegang te krijgen tot een geheugenlocatie die al is vrijgegeven. Dit kan leiden tot onvoorspelbaar gedrag en in sommige gevallen tot de uitvoering van kwaadaardige code.
Ben ik getroffen door CVE-2026-23631 in Redis?
Deze optie beperkt replica's om alleen leescommando's uit te voeren, waardoor de aanvalsoppervlakte wordt verkleind en het risico op kwetsbaarheden zoals CVE-2026-23631 wordt beperkt.
Hoe los ik CVE-2026-23631 in Redis op?
Als tijdelijke workaround kan het uitschakelen van de uitvoering van Lua-scripts of het vermijden van het gebruik van replica's waar 'replica-read-only' is uitgeschakeld, het risico verminderen.
Wordt CVE-2026-23631 actief misbruikt?
Verbind met de Redis-server met behulp van redis-cli en voer de opdracht INFO server uit. De versie wordt weergegeven in de uitvoer.
Waar vind ik het officiële Redis-beveiligingsadvies voor CVE-2026-23631?
Momenteel zijn er geen specifieke tools om deze kwetsbaarheid te detecteren. Het wordt echter aanbevolen om veiligheidsaudits uit te voeren en de Redis-logs te monitoren op verdachte activiteiten.
Is jouw project getroffen?
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Probeer het nu — geen account
Upload een manifest (composer.lock, package-lock.json, WordPress pluginlijst…) of plak uw componentenlijst. U ontvangt direct een kwetsbaarheidsrapport. Een bestand uploaden is slechts het begin: met een account krijgt u continue monitoring, Slack/e-mail alerts, multi-project en white-label rapporten.
Sleep uw afhankelijkheidsbestand hierheen
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...