KISA、Redisの遠隔コード実行脆弱性に更新推奨

韓国インターネット振興院（KISA）は2026年10月29日、Redisに存在する遠隔コード実行につながる脆弱性CVE-2026-25243に対するセキュリティ更新を勧告した。dailysecu.comが報じた。

CVE-2026-25243はRedisのRESTOREコマンドにおけるメモリ関連の脆弱性である。認証済みの攻撃者が細工したデータを送信するとメモリエラーが発生し、一定の条件下で遠隔コード実行に至る可能性がある。

Redisで見つかった遠隔コード実行につながる脆弱性は計5件で、うち4件のCVSSスコアは7.7、残る1件は6.1となっている。CVE-2026-23479はブロックされたクライアントの解除処理における解放後使用（use-after-free）の脆弱性だ。CVE-2026-25588とCVE-2026-25589はそれぞれRedisTimeSeriesモジュールとRedisBloomモジュールを使用する環境にRESTOREコマンド経由で影響する。CVE-2026-23631はLuaスクリプトとレプリカサーバー間の同期処理に関する脆弱性である。5件はいずれも、攻撃者が先にサーバーへの認証済みアクセスを取得していることが前提となる。

修正版と推奨対策

KISAが示した修正版は6.2.22、7.2.14、7.4.9、8.2.6、8.4.3、8.6.3である。Redisは2026年5月5日に公式セキュリティアドバイザリを公開して5件の脆弱性を開示・修正しており、マネージドサービスのRedis Cloudには関連する修正をすでに適用済みだとしている。

KISAは外部ネットワークからのアクセス制限、強固な認証の徹底、ユーザーごとのコマンド実行権限の最小化を推奨している。KISAの公式アドバイザリには、韓国国内でこれらの脆弱性を悪用した実際の攻撃は掲載されていない。