CVE-2025-49844 en Redis: por qué un fallo de Lua puede acabar en ejecución remota

Publicado el 2026-10-27 por frfrand

Qué significa RediShell en Redis, quién lo reportó, requisitos de acceso, versiones corregidas y medidas para proteger un servicio.

¿Redis también puede tener vulnerabilidades críticas?

Sí. Redis se usa como caché, almacén de sesiones, cola o base de datos en miles de sistemas. CVE-2025-49844, divulgada en octubre de 2025 y apodada en algunos análisis RediShell, fue calificada con CVSS 10.0 por el proveedor porque, en un escenario posible, podía terminar en ejecución remota de código.

¿Qué fallaba dentro de Redis?

El problema residía en el motor que ejecuta scripts Lua. Un manejo incorrecto de memoria denominado use-after-free puede provocar que el programa intente utilizar información después de liberar el espacio donde estaba guardada. En determinadas condiciones esto permite alterar el flujo normal de ejecución.

¿Quién encontró y reportó la falla?

Redis acredita a Benny Isaacs, Nir Brakha y Sagi Tzadik, investigadores de Wiz en colaboración con Trend Micro Zero Day Initiative. El proceso de divulgación coordinada permitió preparar correcciones antes de dar detalles públicos del alcance. Analizar memoria, garbage collection y límites del intérprete fue central en este caso.

¿Cómo podría explotarse?

Requiere acceso autenticado a Redis, según su boletín oficial. Un usuario con las capacidades necesarias podría introducir un script Lua manipulado que interactúe de forma anómala con el recolector de basura y desencadene el fallo. Esto es distinto de decir que «cualquiera en Internet puede tomar cualquier Redis». Una instancia directamente expuesta, con credenciales filtradas o permisos demasiado amplios, eleva el riesgo.

¿Por qué sería tan grave?

Redis suele acceder a información de sesiones, claves temporales y tareas internas. Si un atacante llega a ejecutar código dentro del proceso, puede afectar integridad y disponibilidad de la máquina según sus permisos. El hecho de que el ataque tenga una condición previa de autenticación no lo vuelve irrelevante: credenciales robadas o una aplicación previamente comprometida podrían proporcionar ese acceso.

¿Qué versiones tenían la corrección?

Redis publicó versiones parcheadas en distintas ramas de Redis OSS/Community Edition y Redis Software. Para OSS/CE, el aviso enumera 8.2.2, 8.0.4, 7.4.6 y 7.2.11 como primeros hitos corregidos de esas series. También hay líneas diferentes en Redis Software y Redis Stack, por lo que no hay una única versión que cubra todos los productos. Comprobá siempre la tabla oficial antes de planear el upgrade.

¿Cómo reviso mi Redis?

Identificá la versión y edición que realmente está ejecutándose. Revisá qué redes tienen acceso al puerto del servicio, los usuarios y reglas de ACL, los servicios que pueden invocar Lua, y los logs de conexiones y comandos inusuales. El proveedor menciona como posibles indicadores scripts desconocidos, crashes del proceso, tráfico anómalo y actividad inesperada del usuario del servicio. Son indicios para investigar, no pruebas concluyentes por sí mismos.

¿Cómo se corrige y reduce el riesgo?

Actualizá a una release corregida y mantenida. Restringí conexiones mediante redes privadas, firewall y políticas de acceso; usá autenticación fuerte y roles con los privilegios mínimos; no expongas Redis indiscriminadamente a Internet. Antes del cambio, registrá configuración y copias apropiadas, probá la persistencia y verificá conectividad desde las aplicaciones.

Preguntas frecuentes

¿Si Redis exige contraseña ya estoy protegido? No: la condición de explotación incluye autenticación.

¿Deshabilitar Lua alcanza? Puede reducir determinadas rutas, pero no reemplaza la actualización y depende de las funcionalidades que utiliza tu aplicación.

¿Redis Cloud necesitaba un parche manual? El proveedor indicó que sus suscripciones en riesgo fueron corregidas por el servicio; las instancias autogestionadas deben evaluarse.

Fuentes: Aviso oficial de Redis y versiones corregidas · Registro CVE.

¿Dónde seguir alertas CVE y recibir orientación?

En ArduMaker CVE y soporte publicamos actualizaciones y centralizamos consultas sobre vulnerabilidades, comenzando por WordPress y sus tecnologías relacionadas. Si tu caso involucra otro runtime o una base de datos, especificá componente, versión, sistema operativo y exposición del servicio para contextualizarlo. El aviso de una CVE no prueba que tu servidor esté comprometido: la evaluación requiere inventario, configuración y evidencia.

Nota editorial — octubre de 2026: estas versiones corregidas son los hitos del aviso original. Al actualizar hoy, elegí una rama con soporte vigente y verificá el comunicado actual del fabricante.

Ejemplo práctico: Redis expuesto más de lo necesario

Situación: una aplicación usa Redis para sesiones y cache, pero el administrador descubre que el puerto 6379 escucha en una interfaz pública. Ese problema de configuración no es idéntico a CVE-2025-49844, pero facilita llegar a un servicio que debería tener accesos restringidos.

En el propio VPS:

ss -lntp | grep ':6379'

Con una sesión autorizada de Redis, verificá versión y edición:

redis-cli INFO server

No pegues contraseñas en la línea de comandos ni compartas el resultado si contiene información interna.

Antes: Redis accesible desde redes innecesarias, roles genéricos y versión antigua. Después: red privada, firewall, autenticación y ACL mínimas, runtime parcheado y verificación de que la app puede seguir conectándose.

Ejemplo de impacto: si alguien obtiene credenciales Redis con permisos amplios, una vulnerabilidad en el intérprete de scripts puede aumentar las consecuencias del acceso. La contraseña por sí sola no elimina la necesidad de actualizar.