Redis lansează actualizări critice de securitate după demonstrări de exploit RCE

Redis, popularul sistem de cache și baze de date în memorie, a lansat pe 23 iulie 2026 șapte actualizări de securitate pentru a remedia vulnerabilități critice. Cercetătorii de la Kimi K3 au demonstrat că atacatorii autentificați pot executa cod de la distanță (RCE) pe versiuni stoc de Redis prin intermediul unor lanțuri de exploit zero-day.

Contextul vulnerabilităților

Echipa Kimi K3 a publicat dovezi de concept (PoC) pentru atacuri RCE care funcționează pe Redis 6.2.22, 7.4.9, 8.6.4 și 8.8.0. Toate cele patru lanțuri de exploatare se bazează pe comanda RESTORE, iar unele necesită și comenzile EVAL și XGROUP. Pentru versiunea 8.8.0, exploit-ul utilizează și modulul RedisBloom, care este inclus implicit. Redis a confirmat că defectele de memorie subiacente pot duce la executarea de cod de la distanță.

Detalii tehnice și versiunile afectate

Vulnerabilitățile au fost descoperite în versiunile stock ale Redis, ceea ce înseamnă că orice instanță care rulează aceste versiuni este potențial expusă. Atacatorii trebuie să aibă acces autentificat la baza de date, dar în multe configurații, autentificarea este slabă sau implicită. Redis a lansat versiunile corectate 6.2.23, 7.2.15 și 7.4.10, împreună cu actualizări pentru ramurile mai noi. Utilizatorii sunt sfătuiți să actualizeze de urgență.

Implicații pentru securitate

Aceste zero-day-uri subliniază riscurile asociate cu serviciile Redis expuse la rețea. Chiar și cu autentificare, un atacator care obține acces poate prelua complet controlul serverului. Companiile care folosesc Redis pentru caching, sesiuni sau cozi de mesaje trebuie să prioritizeze patch-urile. De asemenea, se recomandă restricționarea accesului la Redis doar prin firewall și utilizarea autentificării puternice.

Ce înseamnă pentru tine

Dacă administrezi servere Redis, actualizează imediat la cea mai recentă versiune stabilă. Verifică configurația de rețea pentru a limita accesul doar la adrese IP de încredere. Monitorizează logurile pentru încercări neautorizate de autentificare sau comenzi suspecte, cum ar fi RESTORE, care pot indica o încercare de exploit.

Surse

• Kimi K3 Agents Found Redis Zero-Days and Built RCE Exploit, Researchers Say