KISA, Redis 원격 코드 실행 취약점 보안 업데이트 권고

한국인터넷진흥원(KISA)이 10월 29일 Redis의 원격 코드 실행 취약점 CVE-2026-25243에 대한 보안 업데이트를 권고했다고 dailysecu.com이 보도했다.

CVE-2026-25243은 Redis의 RESTORE 명령에서 발생하는 메모리 접근 취약점이다. 인증을 거친 공격자가 조작된 데이터를 전송하면 메모리 오류가 발생하고, 특정 조건에서는 원격 코드 실행으로 이어질 수 있다.

KISA가 제시한 조치 버전은 6.2.22, 7.2.14, 7.4.9, 8.2.6, 8.4.3, 8.6.3이다. KISA는 외부 네트워크 접근 제한과 강력한 인증 적용, 사용자별 명령 실행 권한 최소화를 함께 권고했다. KISA 공식 권고문에는 국내에서 해당 취약점이 실제로 악용된 사례가 아직 등재돼 있지 않다.

함께 공개된 취약점

Redis는 지난 5월 5일 공식 보안 권고문을 통해 CVE-2026-25243을 포함한 취약점 5건을 공개하고 수정했다. 이 가운데 4건은 CVSS 점수 7.7, 나머지 1건은 6.1이다.

CVE-2026-23479는 차단된 클라이언트의 차단을 해제하는 과정에서 발생하는 해제 후 사용(use-after-free) 취약점이다. CVE-2026-25588과 CVE-2026-25589는 각각 RedisTimeSeries와 RedisBloom 모듈을 사용하는 환경에서 RESTORE 명령을 통해 영향을 준다. CVE-2026-23631은 Lua 스크립트와 복제 서버 간 동기화 과정의 취약점이다. 5건 모두 공격자가 먼저 서버에 인증된 접근 권한을 확보해야 한다.

Redis는 관리형 서비스인 Redis Cloud에는 관련 보안 패치를 이미 적용했다고 밝혔다.