Podatność CVE-2026-25243 w Redis jest wykorzystywana w atakach, poprawki są od 5 maja 2026 r.
- Rodzaj
- Streszczenie
- Data
- Kategoria
- Incydenty
- Redakcja
- Paweł Rosół
- Źródło
- Canadian Centre for Cyber Security ()
Kanadyjskie Centrum Cyberbezpieczeństwa dopisało 19 października 2026 r., że podatność CVE-2026-25243 w Redis jest wykorzystywana w atakach. Redis wydał poprawki 5 maja 2026 r.
Canadian Centre for Cyber Security zaktualizowało 19 października 2026 r. komunikat AV26-423 o podatnościachPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. w Redis. Dopisało, że według doniesień z otwartych źródeł podatność CVE-2026-25243 jest wykorzystywana w atakach. Redis opublikował swoje doradztwo bezpieczeństwa 5 maja 2026 r. Dotyczy ono Redis Software oraz wydań Redis OSS/CE w wielu wersjach.
Według ZeroDay.cloud CVE-2026-25243 to błąd w poleceniu RESTORE, które nie sprawdza poprawnie zserializowanych wartości. Uwierzytelniony atakujący może przesłać spreparowany ładunek, wywołać nieprawidłowy dostęp do pamięci i potencjalnie wykonać dowolny kod na serwerze Redis. Ta podatność ma ocenę CVSSCVSS Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach. 7.7. Należy do pięciu podatności zdalnego wykonania kodu ujawnionych podczas konkursu ZeroDay.Cloud 2025, razem z CVE-2026-23479, CVE-2026-23631, CVE-2026-25588 i CVE-2026-25589. ZeroDay.cloud nazywa je wszystkie krytycznymi, ale podaje dla nich oceny CVSS od 6.1 do 7.7 (Medium albo High). Doniesienie o wykorzystaniu w atakach kanadyjskie centrum odnosi tylko do CVE-2026-25243.
Jeśli w twoim podmiocie działa Redis, sprawdź wersję. Według ZeroDay.cloud podatne są wersje od 7.2.0 do 7.2.13, od 7.4.0 do 7.4.8, od 8.2.0 do 8.2.5, od 8.4.0 do 8.4.2 oraz od 8.6.0 do 8.6.2. Poprawione wydania to 7.2.14, 7.4.9, 8.2.6, 8.4.3 i 8.6.3. ZeroDay.cloud wskazuje, że atak wymaga uwierzytelnienia, a Wiz wymienia wśród ryzyk instancje dopuszczające dostęp bez uwierzytelnienia albo chronione słabym lub domyślnym hasłem.
ZeroDay.cloud zaleca, by samodzielnie zarządzane wdrożenia Redis zaktualizować jak najszybciej. Obejście, które źródło podaje, dotyczy wyłącznie CVE-2026-23631: zablokowanie użytkownikom wykonywania skryptów Lua albo rezygnacja z replik z wyłączonym replica-read-only. Kanadyjskie centrum zachęca użytkowników i administratorów do przejrzenia linków z komunikatu i zastosowania koniecznych aktualizacji.
Źródła
- Canadian Centre for Cyber Security: Redis security advisory (AV26-423) - Update 1
- ZeroDay.cloud: Five Redis Vulnerabilities Found in 48 Hours | ZeroDay.cloud
Pojęcia w tym tekście (2)
- Podatność
- Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
- CVSS
- Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach.