CVE-2026-25588: RCE no Redis Server ≤1.12.14
Plataforma
redis
Componente
redis-server
Corrigido em
1.12.14
A vulnerabilidade CVE-2026-25588 afeta o Redis Server em versões anteriores ou iguais a 1.12.14. Esta falha de execução remota de código (RCE) reside no módulo RedisTimeSeries, que não valida corretamente dados serializados processados pelo comando RESTORE. A exploração bem-sucedida requer autenticação e permissão para executar o comando RESTORE, mas pode resultar em acesso não autorizado ao sistema.
Impacto e Cenários de Ataque
Um atacante autenticado com permissão para executar o comando RESTORE em um servidor com o módulo RedisTimeSeries carregado pode explorar esta vulnerabilidade. Ao fornecer um payload serializado malicioso, o atacante pode causar acesso inválido à memória, potencialmente levando à execução remota de código. Isso permite a tomada de controle do servidor Redis, comprometendo dados armazenados e potencialmente permitindo o movimento lateral para outros sistemas na rede. A gravidade da falha é alta devido ao potencial de acesso irrestrito ao sistema e à facilidade de exploração, desde que o atacante tenha as credenciais e permissões necessárias.
Contexto de Exploração
A vulnerabilidade CVE-2026-25588 foi publicada em 05 de maio de 2026. A probabilidade de exploração é considerada média, dada a necessidade de autenticação e permissões específicas. Não há evidências públicas de campanhas ativas de exploração no momento da publicação. A vulnerabilidade não está listada no KEV (Known Exploited Vulnerabilities) da CISA. É recomendável monitorar fontes de inteligência de ameaças para atualizações sobre a exploração desta vulnerabilidade.
Inteligência de Ameaças
Status do Exploit
EPSS
0.27% (percentil 50%)
Vetor CVSS
O que significam essas métricas?
- Attack Vector
- Rede — explorável remotamente pela internet. Sem acesso físico ou local necessário.
- Attack Complexity
- Baixa — sem condições especiais. O atacante pode explorar de forma confiável.
- Privileges Required
- Baixo — qualquer conta de usuário válida é suficiente.
- User Interaction
- Nenhuma — ataque automático e silencioso. A vítima não faz nada.
- Scope
- Inalterado — impacto limitado ao componente vulnerável.
- Confidentiality
- Alto — perda total de confidencialidade. O atacante pode ler todos os dados.
- Integrity
- Alto — o atacante pode escrever, modificar ou excluir qualquer dado.
- Availability
- Alto — falha completa ou esgotamento de recursos. Negação de serviço total.
Software Afetado
Classificação de Fraqueza (CWE)
Linha do tempo
- Publicada
- Modificada
- EPSS atualizado
Mitigação e Soluções Alternativas
A correção oficial para esta vulnerabilidade é a atualização para o Redis Server versão 1.12.14 ou superior. Se a atualização imediata não for possível, uma mitigação temporária é restringir o acesso ao comando RESTORE usando regras de controle de acesso (ACLs). Configure ACLs para limitar quais usuários ou clientes podem executar o comando RESTORE, minimizando a superfície de ataque. Monitore logs do Redis em busca de tentativas suspeitas de uso do comando RESTORE. Após a atualização, confirme a correção executando o comando INFO module redisTimeSeries e verificando a versão instalada.
Como corrigirtraduzindo…
Actualice el módulo RedisTimeSeries a la versión 1.12.14 o superior para mitigar la vulnerabilidad. Restrinja el acceso al comando RESTORE con reglas ACL para limitar el impacto potencial en caso de que no pueda actualizar inmediatamente.
Perguntas frequentes
O que é CVE-2026-25588 — RCE no Redis Server?
CVE-2026-25588 é uma vulnerabilidade de execução remota de código (RCE) no Redis Server, afetando versões até 1.12.14, devido à falta de validação de dados serializados no módulo RedisTimeSeries.
Estou afetado pelo CVE-2026-25588 no Redis Server?
Se você estiver utilizando o Redis Server versão 1.12.14 ou anterior e tiver o módulo RedisTimeSeries habilitado, você está potencialmente afetado. Verifique a versão do seu Redis Server.
Como corrigir CVE-2026-25588 no Redis Server?
A correção é atualizar para o Redis Server versão 1.12.14 ou superior. Como alternativa, restrinja o acesso ao comando RESTORE usando ACLs.
CVE-2026-25588 está sendo ativamente explorado?
Atualmente, não há evidências públicas de campanhas ativas de exploração, mas a vulnerabilidade é considerada de alta gravidade e deve ser corrigida.
Onde posso encontrar o advisory oficial do Redis para CVE-2026-25588?
Consulte o site oficial do Redis para obter o advisory de segurança relacionado ao CVE-2026-25588: [https://redis.io/docs/security/advisory/](https://redis.io/docs/security/advisory/)
Seu projeto está afetado?
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Experimente agora — sem conta
Faça upload de qualquer manifesto (composer.lock, package-lock.json, lista de plugins WordPress…) ou cole sua lista de componentes. Receba um relatório de vulnerabilidades instantaneamente. Fazer upload de um arquivo é só o começo: com uma conta, você obtém monitoramento contínuo, alertas por Slack/email, relatórios multiprojeto e white-label.
Arraste e solte seu arquivo de dependências
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...