CVE-2026-25243: RCE in Redis 1.0.0 - 8.6.3
Plataforma
redis
Componente
redis
Corrigido em
8.6.3
CVE-2026-25243 describes a Remote Code Execution (RCE) vulnerability affecting Redis versions 1.0.0 up to 8.6.3. This vulnerability arises from insufficient validation within the RESTORE command, allowing an authenticated attacker to inject malicious serialized data. Successful exploitation could lead to arbitrary code execution on the Redis server, potentially compromising the entire system. The vulnerability was published on May 5, 2026, and a patch is available in version 8.6.3.
Impacto e Cenários de Ataque
A vulnerabilidade CVE-2026-25243 no Redis afeta versões até a 8.6.3. Permite que um atacante autenticado, com permissão para executar o comando RESTORE, injete uma carga útil serializada maliciosa. Essa carga útil pode levar a acessos de memória inválidos, resultando potencialmente na execução remota de código. A gravidade dessa vulnerabilidade é significativa, pois um atacante bem-sucedido pode comprometer a integridade e a confidencialidade dos dados armazenados no Redis e, no pior dos casos, obter o controle do servidor. A natureza da desserialização, quando não devidamente validada, é um vetor comum para a execução de código arbitrário, tornando essa vulnerabilidade particularmente preocupante. A exploração bem-sucedida requer que o atacante seja capaz de executar o comando RESTORE, o que geralmente implica ter uma conta de usuário com permissões específicas.
Contexto de Exploração
A vulnerabilidade é explorada através do comando RESTORE, que é usado para reconstruir um banco de dados Redis a partir de um arquivo RDB. Um atacante pode criar um arquivo RDB malicioso contendo uma carga útil serializada projetada para explorar a falta de validação no comando RESTORE. Ao restaurar este arquivo RDB malicioso para um servidor Redis vulnerável, o atacante pode acionar acessos de memória inválidos e potencialmente executar código arbitrário. A exploração requer que o atacante tenha acesso autenticado ao servidor Redis e permissão para executar o comando RESTORE. A complexidade da exploração depende da capacidade do atacante de criar uma carga útil serializada eficaz que evite quaisquer mecanismos de defesa existentes.
Inteligência de Ameaças
Status do Exploit
EPSS
0.09% (percentil 26%)
Software Afetado
Classificação de Fraqueza (CWE)
Linha do tempo
- Publicada
- Modificada
- EPSS atualizado
Mitigação e Soluções Alternativas
A mitigação mais eficaz para CVE-2026-25243 é atualizar para o Redis versão 8.6.3 ou posterior. Essa versão inclui a correção que valida adequadamente os valores serializados no comando RESTORE. Como medida de segurança adicional, recomenda-se restringir o acesso ao comando RESTORE usando regras de ACL (Access Control List). Isso limita a capacidade de usuários não autorizados de executar o comando, mesmo que a vulnerabilidade persista em versões anteriores. Além disso, é crucial revisar e fortalecer as políticas de autenticação e autorização para garantir que apenas usuários legítimos tenham acesso ao Redis e seus comandos. A implementação de um sistema de monitoramento e detecção de intrusões pode ajudar a identificar e responder a tentativas de exploração.
Como corrigirtraduzindo…
Para mitigar este riesgo, actualice a la versión 8.6.3 o posterior de Redis. Si no es posible actualizar inmediatamente, restrinja el acceso al comando RESTORE utilizando reglas de control de acceso (ACL) para evitar que atacantes no autorizados exploten la vulnerabilidad. Consulte la documentación de Redis para obtener más detalles sobre la configuración de ACL.
Perguntas frequentes
O que é CVE-2026-25243 — Remote Code Execution (RCE) em Redis?
Redis é um armazenamento de estruturas de dados na memória de código aberto, usado como banco de dados, cache e broker de mensagens.
Estou afetado pelo CVE-2026-25243 no Redis?
Ela permite a execução remota de código, o que pode comprometer a segurança dos dados e o servidor.
Como corrijo o CVE-2026-25243 no Redis?
Atualize imediatamente para a versão 8.6.3 ou posterior.
O CVE-2026-25243 está sendo explorado ativamente?
ACLs são Listas de Controle de Acesso que permitem restringir o acesso a comandos e recursos do Redis.
Onde encontro o aviso oficial do Redis para o CVE-2026-25243?
Além de atualizar e usar ACLs, revise suas políticas de autenticação e autorização.
Seu projeto está afetado?
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Experimente agora — sem conta
Faça upload de qualquer manifesto (composer.lock, package-lock.json, lista de plugins WordPress…) ou cole sua lista de componentes. Receba um relatório de vulnerabilidades instantaneamente. Fazer upload de um arquivo é só o começo: com uma conta, você obtém monitoramento contínuo, alertas por Slack/email, relatórios multiprojeto e white-label.
Arraste e solte seu arquivo de dependências
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...