【缝隙公告】Redis RESTORE号令远程代码执行缝隙(CVE-2026-25243)

颁布功夫 2026-06-03

一、缝隙概述


0603缝隙概述.png


Redis是一个开源的内存数据结构存储系统 ， ，，， ，，，宽泛利用于缓存、新闻队劣注实时辰析等场景。。。。。。它支持多种数据结构 ， ，，， ，，，如字符串、哈希、列表、集钟注有序集中等 ， ，，， ，，，并提供丰硕的操作号令。。。。。。Redis拥有高机能、矫捷性和悠久化能力 ， ，，， ，，，数据能够保留在内存中 ， ，，， ，，，定期或凭据需要同步到磁盘。。。。。。它支持主从复造、分区和高可用性配置 ， ，，， ，，，常用于提高系统响应速度和可扩大性。。。。。。由于其高效的读取和写入机能 ， ，，， ，，，Redis成为现代散布式系统中不成或缺的组件之一。。。。。。

 

2026年6月3日 ， ，，， ，，，8827太阳集团安全应急响应中心（VSRC）监测到Redis RESTORE号令远程代码执行缝隙。。。。。。该缝隙存在于RESTORE号令处置序列化数据过程中 ， ，，， ，，，由于Redis对导入的序列化值短缺充分校验 ， ，，， ，，，攻击者可机关恶意序列化Payload触发犯法内存接见 ， ，，， ，，，进而导致远程代码执行。。。。。。未经充分限度的已认证用户在具备RESTORE号令执行权限的情况下 ， ，，， ，，，可利用该缝隙在Redis服务过程高低文中执行肆意代码 ， ，，， ，，，进一步造成服务器失陷、敏感数据泄露、业务中断或横向移动等安全风险 ， ，，， ，，，同时 ， ，，， ，，，Redis还存在Lua开释后使用缝隙（CVE-2026-23631） ， ，，， ，，，该缝隙在Lua剧本处置与master-replica同步机造中对对象性命周期治理不当 ， ，，， ，，，已认证攻击者可在副本节点replica-read-only被禁用或可配置为禁用的情况下触发use-after-free ， ，，， ，，，从而在redis-server过程高低文执行肆意代码 ， ，，， ，，，造成数据泄露、服务中断或系统被收受。。。。。。

 


二、影响领域

 


7.2.0 <= Redis < 7.2.14

7.4.0 <= Redis < 7.4.9

8.2.0 <= Redis < 8.2.6

8.4.0 <= Redis < 8.4.3

8.6.0 <= Redis < 8.6.3

 


三、安全措施

 


3.1 升级版本


官方已颁布建复补丁 ， ，，， ，，，以建复该缝隙。。。。。。

Redis 7.2.X >= 7.2.14

Redis 7.4.X >= 7.4.9

Redis 8.2.X >= 8.2.6

Redis 8.4.X >= 8.4.3

Redis 8.6.X >= 8.6.3

下载链接：

https://github.com/redis/redis/releases/

 

3.2 一时措施

暂无。。。。。。

 

3.3 通用建议


定期更新系统补丁 ， ，，， ，，，削减系统缝隙 ， ，，， ，，，提升服务器的安全性。。。。。。

加强系统和网络的接见节造 ， ，，， ，，，批改防火墙战术 ， ，，， ，，，关关非必要的利用端口或服务 ， ，，， ，，，削减将危险服务（如SSH、RDP等）露出到公网 ， ，，， ，，，削减攻击面。。。。。。

使用企业级安全产品 ， ，，， ，，，提升企业的网络安全机能。。。。。。

加强系统用户和权限治理 ， ，，， ，，，启用多成分认证机造和最幼权限准则 ， ，，， ，，，用户和软件权限应维持在最低限度。。。。。。

启用强密码战术并设置为定期批改。。。。。。

 

3.4 参考链接


https://github.com/redis/redis/security/advisories/GHSA-c8h9-259x-jff4/

https://github.com/redis/redis/security/advisories/GHSA-8ghh-qpmp-7826

https://redis.io/blog/security-advisory-cve202623479-cve202625243-cve-2026-25588-cve202625589-cve-2026-23631/