CVE-2026-23631: RCE in Redis 8.6.3 and Earlier
Plataforma
redis
Componente
redis
Corrigido em
8.6.3
This vulnerability affects Redis, an in-memory data structure store, allowing authenticated attackers to trigger a use-after-free condition. The flaw resides in the master-replica synchronization mechanism when Lua scripting is enabled. Versions of Redis prior to 8.6.3 are vulnerable, and a fix is available in version 8.6.3.
Impacto e Cenários de Ataque
A vulnerabilidade CVE-2026-23631 no Redis afeta versões que utilizam scripting Lua. Um atacante autenticado pode explorar o mecanismo de sincronização mestre-réplica para disparar um erro de 'uso após liberação' (use-after-free) em réplicas onde a opção 'replica-read-only' está desabilitada ou pode ser desabilitada. Isso pode levar à execução remota de código (RCE), comprometendo a confidencialidade, integridade e disponibilidade do sistema. A severidade desta vulnerabilidade é alta devido ao potencial de RCE e à ampla adoção do Redis em diversas aplicações.
Contexto de Exploração
A exploração desta vulnerabilidade requer que um atacante esteja autenticado no servidor Redis mestre. O atacante pode então enviar scripts Lua maliciosos que explorem a sincronização mestre-réplica para disparar o erro de 'uso após liberação' nas réplicas. A vulnerabilidade decorre da forma como o Redis lida com a propagação de scripts Lua para as réplicas e o gerenciamento de memória nas réplicas que não estão no modo somente leitura. A complexidade da exploração requer um conhecimento profundo da arquitetura do Redis e da execução de scripts Lua.
Inteligência de Ameaças
Status do Exploit
EPSS
0.08% (percentil 23%)
Software Afetado
Classificação de Fraqueza (CWE)
Linha do tempo
- Publicada
- Modificada
- EPSS atualizado
Mitigação e Soluções Alternativas
Para mitigar o risco associado ao CVE-2026-23631, recomenda-se fortemente atualizar para a versão 8.6.3 do Redis ou superior. Como alternativa, se a atualização imediata não for possível, impeça que os usuários executem scripts Lua ou evite o uso de réplicas onde 'replica-read-only' esteja desabilitado. É crucial revisar a configuração do Redis e aplicar essas medidas de mitigação o mais rápido possível para proteger os sistemas de possíveis ataques. Monitorar os logs do Redis em busca de atividades suspeitas também é uma boa prática.
Como corrigirtraduzindo…
Para mitigar este riesgo, actualice a la versión 8.6.3 o posterior de Redis. Alternativamente, desactive la ejecución de scripts Lua o evite el uso de réplicas donde la opción replica-read-only esté deshabilitada.
Perguntas frequentes
O que é CVE-2026-23631 — Remote Code Execution (RCE) em Redis?
É um erro de memória que ocorre quando um programa tenta acessar um local de memória que já foi liberado. Isso pode levar a um comportamento imprevisível e, em alguns casos, à execução de código malicioso.
Estou afetado pelo CVE-2026-23631 no Redis?
Esta opção restringe as réplicas para que executem apenas comandos de leitura, reduzindo a superfície de ataque e mitigando o risco de exploração de vulnerabilidades como CVE-2026-23631.
Como corrijo o CVE-2026-23631 no Redis?
Como uma solução temporária, desabilitar a execução de scripts Lua ou evitar o uso de réplicas com 'replica-read-only' desabilitado pode reduzir o risco.
O CVE-2026-23631 está sendo explorado ativamente?
Conecte-se ao servidor Redis usando redis-cli e execute o comando INFO server. A versão será exibida na saída.
Onde encontro o aviso oficial do Redis para o CVE-2026-23631?
Atualmente, não existem ferramentas específicas para detectar esta vulnerabilidade. No entanto, recomenda-se realizar auditorias de segurança e monitorar os logs do Redis em busca de atividades suspeitas.
Seu projeto está afetado?
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Experimente agora — sem conta
Faça upload de qualquer manifesto (composer.lock, package-lock.json, lista de plugins WordPress…) ou cole sua lista de componentes. Receba um relatório de vulnerabilidades instantaneamente. Fazer upload de um arquivo é só o começo: com uma conta, você obtém monitoramento contínuo, alertas por Slack/email, relatórios multiprojeto e white-label.
Arraste e solte seu arquivo de dependências
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...