KISA تحث على تحديث أمني لثغرة Redis في 29 أكتوبر
الوكالة توصي بتحديث Redis لمعالجة CVE-2026-25243 وتحدد الإصدارات 6.2.22 و7.2.14 و7.4.9 و8.2.6 و8.4.3 و8.6.3.
أوصت وكالة الإنترنت الكورية (KISA) في 29 أكتوبر 2026 بتطبيق تحديث أمني في Redis لمعالجة ثغرة CVE-2026-25243 التي قد تفضي إلى تنفيذ شيفرة عن بُعد، وفق dailysecu.com.
وتتعلق الثغرة بوصول غير سليم إلى الذاكرة في أمر RESTORE، إذ يمكن لمهاجم يملك صلاحية دخول مصادق عليها إرسال بيانات مصممة خصيصاً لإحداث خطأ في الذاكرة، وقد يؤدي ذلك في ظروف معينة إلى تنفيذ شيفرة عن بُعد.
وتشمل التنبيهات خمس ثغرات في Redis تشمل CVE-2026-23479، وهي ثغرة use-after-free في عملية إلغاء حظر العملاء المحظورين، إلى جانب CVE-2026-25588 وCVE-2026-25589 المرتبطتين ببيئتي وحدة RedisTimeSeries ووحدة RedisBloom عبر أمر RESTORE، وCVE-2026-23631 في عملية المزامنة بين نصوص Lua وخوادم النسخ المتماثل.
وتبلغ درجة CVSS لأربع من الثغرات الخمس 7.7، فيما تسجل الثغرة المتبقية 6.1، وتشترط جميعها أن يحصل المهاجم أولاً على وصول مصادق عليه إلى الخادم.
وحددت الوكالة الإصدارات المُصلحة 6.2.22 و7.2.14 و7.4.9 و8.2.6 و8.4.3 و8.6.3، وأوصت بتقييد الوصول إلى الشبكة الخارجية وتطبيق مصادقة قوية وتقليل صلاحيات تنفيذ الأوامر لكل مستخدم. ولم تسجل النشرة الرسمية أي هجمات فعلية تستغل هذه الثغرات في كوريا.
وكان Redis قد نشر في 5 مايو 2026 إشعاراً أمنياً رسمياً كشف فيه خمس ثغرات وأصلحها، من بينها CVE-2026-23479 وCVE-2026-25243، وأكد أنه طبّق التصحيحات الأمنية ذات الصلة على خدمة Redis Cloud المُدارة.
أسئلة سريعة
ما الإصدارات التي أوصت KISA بالترقية إليها في Redis؟
حددت الوكالة الإصدارات 6.2.22 و7.2.14 و7.4.9 و8.2.6 و8.4.3 و8.6.3.
هل تأثرت خدمة Redis Cloud بالثغرات؟
أكد Redis أنه طبّق التصحيحات الأمنية ذات الصلة على خدمة Redis Cloud المُدارة.
هل وقعت هجمات فعلية تستغل هذه الثغرات في كوريا؟
لا تدرج النشرة الرسمية لـ KISA أي هجمات فعلية تستغل هذه الثغرات في كوريا.