Redis

No dia 23 de julho de 2026, a Redis anunciou o lançamento de sete atualizações de segurança após a divulgação de provas de conceito (PoCs) que demonstram a possibilidade de execução remota de código (RCE) em versões específicas do Redis, incluindo 6.2.22, 7.4.9, 8.6.4 e 8.8.0. As vulnerabilidades estão relacionadas a falhas de memória que podem ser exploradas através do comando RESTORE, além de requererem o uso de EVAL e XGROUP em alguns casos. As versões afetadas foram corrigidas, mas a Redis alertou que, até que as atualizações sejam aplicadas, é recomendável revogar o acesso ao comando RESTORE para contas que não necessitam dele e bloquear acessos não confiáveis à rede. Embora as notas de lançamento não tenham indicado exploração ativa das vulnerabilidades até a data de publicação, a situação requer atenção, especialmente considerando que versões anteriores já haviam sido recomendadas para atualização. A Redis também não listou novas entradas de CVE para essas falhas, o que levanta preocupações sobre a visibilidade e a resposta a incidentes relacionados a essas vulnerabilidades.

O Redis, popular banco de dados em memória, corrigiu uma vulnerabilidade crítica, identificada como CVE-2026-23479, que permitia a usuários autenticados executar comandos arbitrários no sistema operacional do servidor. A falha, descoberta por uma ferramenta de IA, estava presente desde a versão 7.2.0 e afetou todas as versões estáveis até a correção em 5 de maio de 2026. A NVD avaliou a gravidade da vulnerabilidade em 8.8 no CVSS 3.1, enquanto o Redis a classificou como 7.7 no CVSS 4.0. A exploração da falha requer uma sessão autenticada, mas muitos ambientes de nuvem executam o Redis sem senha, aumentando o risco. O ataque envolve manipulação de memória, onde um ponteiro de função é sobrescrito, permitindo que comandos do sistema sejam executados. O Redis recomenda que os usuários atualizem para as versões corrigidas e adotem medidas de segurança, como restringir acessos e manter o Redis fora da internet pública. Apesar da gravidade, não há evidências de exploração ativa até o momento.

Uma vulnerabilidade crítica de execução remota de código (RCE) no Redis, identificada como CVE-2025-49844, expõe uma falha perigosa na imagem oficial do contêiner Redis, que passou despercebida por mais de uma década. Essa falha permite que atacantes não autenticados explorem uma vulnerabilidade de uso após a liberação na engine de scripts Lua do Redis, possibilitando a execução de código arbitrário no sistema host. Com a imagem oficial do Redis sendo utilizada em 57% dos ambientes em nuvem e sem autenticação por padrão, instâncias expostas à internet se tornam alvos fáceis para agentes maliciosos. O processo de exploração, denominado “RediShell”, envolve o envio de scripts Lua maliciosos que contornam os mecanismos de sandboxing, levando à corrupção de memória e à execução de código. Uma vez que o controle é estabelecido, os atacantes podem roubar chaves SSH, tokens IAM e implantar backdoors. A vulnerabilidade foi reportada pela primeira vez em maio de 2025 e um aviso de segurança foi publicado em outubro de 2025, destacando a urgência de atualização das instâncias do Redis. Organizações devem priorizar a aplicação de patches e a implementação de medidas de autenticação robustas para evitar possíveis violações de dados e compromissos de sistemas.

A Redis divulgou uma vulnerabilidade de alta severidade em seu software de banco de dados em memória, identificada como CVE-2025-49844, também conhecida como RediShell. Com uma pontuação CVSS de 10.0, essa falha permite que um usuário autenticado execute um script Lua malicioso, manipulando o coletor de lixo e potencialmente levando à execução remota de código. A vulnerabilidade afeta todas as versões do Redis que suportam scripts Lua e foi corrigida nas versões 6.2.20, 7.2.11, 7.4.6, 8.0.4 e 8.2.2, lançadas em 3 de outubro de 2025. Para mitigar o problema temporariamente, recomenda-se restringir a execução de scripts Lua através de listas de controle de acesso (ACLs) e garantir que apenas identidades confiáveis possam executar comandos arriscados. Apesar de não haver evidências de exploração ativa da falha, cerca de 330.000 instâncias do Redis estão expostas à internet, com aproximadamente 60.000 delas sem autenticação, tornando-as alvos atrativos para ataques, como o cryptojacking. A combinação de configurações inseguras e a gravidade da vulnerabilidade exige ação imediata das organizações.

Uma vulnerabilidade crítica foi identificada no Redis Server, permitindo que atacantes autenticados realizem execução remota de código através de uma falha do tipo use-after-free no motor de script Lua. Classificada como CVE-2025-49844, essa vulnerabilidade afeta todas as versões do Redis que suportam a funcionalidade de scripting Lua, representando um risco significativo para organizações que dependem do Redis para armazenamento de dados em memória.

Pesquisadores de segurança da Wiz, em colaboração com a Iniciativa Zero Day da Trend Micro, descobriram que a falha resulta de uma gestão inadequada da memória na implementação do Lua, onde referências a memória liberada persistem após a coleta de lixo. Ao criar scripts Lua maliciosos que manipulam os tempos de coleta de lixo, atacantes podem explorar essa condição, assumindo o controle de regiões de memória liberadas e executando código arbitrário com os privilégios do processo do servidor Redis.

Pesquisadores em cibersegurança alertam sobre campanhas que exploram vulnerabilidades conhecidas, expondo servidores Redis a atividades maliciosas, como botnets IoT e mineração de criptomoedas. A exploração da vulnerabilidade CVE-2024-36401, com uma pontuação CVSS de 9.8, permite que criminosos implantem kits de desenvolvimento de software (SDKs) legítimos ou aplicativos modificados para gerar renda passiva através do compartilhamento de rede. Os atacantes têm acessado instâncias do GeoServer expostas na internet desde março de 2025, utilizando um servidor de compartilhamento de arquivos privado para distribuir executáveis personalizados. Esses aplicativos consomem poucos recursos e monetizam a largura de banda dos usuários sem a necessidade de malware tradicional.

Uma nova análise revela que dezenas de milhares de servidores Redis em todo o mundo estão vulneráveis a uma campanha avançada de cryptojacking, orquestrada pelo grupo de ameaças TA-NATALSTATUS. Este ataque evoluiu para além da simples mineração de criptomoedas, visando a tomada de controle de infraestrutura de forma persistente e furtiva. A campanha explora instâncias Redis expostas para implantar malware sofisticado que oculta processos e ofusca comandos, mantendo persistência a longo prazo por meio de técnicas semelhantes a rootkits.