KISA recommande une mise à jour pour une faille RCE de Redis

Le Korea Internet & Security Agency (KISA) a recommandé le 29 octobre 2026 l'application d'une mise à jour de sécurité pour Redis, afin de corriger CVE-2026-25243, une vulnérabilité permettant une exécution de code à distance, selon dailysecu.com.

CVE-2026-25243 est une faille d'accès mémoire dans la commande RESTORE de Redis. Un attaquant authentifié envoyant des données spécialement conçues pourrait provoquer une erreur mémoire et, sous certaines conditions, une exécution de code à distance, précise l'avis de l'agence.

Quatre des cinq vulnérabilités concernées obtiennent un score CVSS de 7.7, la cinquième étant notée 6.1. CVE-2026-23479 est une faille de type use-after-free liée au déblocage de clients bloqués. CVE-2026-25588 et CVE-2026-25589 touchent respectivement les environnements utilisant les modules RedisTimeSeries et RedisBloom, via la commande RESTORE. CVE-2026-23631 concerne la synchronisation entre les scripts Lua et les serveurs réplicas.

Toutes ces failles exigent de l'attaquant qu'il obtienne d'abord un accès authentifié au serveur. Les versions corrigées indiquées par KISA sont 6.2.22, 7.2.14, 7.4.9, 8.2.6, 8.4.3 et 8.6.3.

Correctifs et recommandations

Redis a indiqué avoir déjà appliqué les correctifs correspondants à son service géré Redis Cloud. L'avis de KISA ne recense aucune attaque réelle exploitant ces vulnérabilités en Corée. L'agence recommande de restreindre l'accès réseau externe, d'imposer une authentification forte et de limiter au minimum les privilèges d'exécution des commandes par utilisateur.

Pour contexte, Redis avait publié le 5 mai 2026 un avis de sécurité officiel divulguant et corrigeant cinq vulnérabilités, dont CVE-2026-23479 et CVE-2026-25243.