CVE-2025-49844 no Redis: por que uma falha do Lua pode acabar em execução remota

Publicado em 2026-10-27 por frfrand

O que significa RediShell no Redis, quem o relatou, requisitos de acesso, versões corrigidas e medidas para proteger um serviço.

O Redis também pode ter vulnerabilidades críticas?

Sim. O Redis é usado como cache, armazenamento de sessões, fila ou banco de dados em milhares de sistemas. CVE-2025-49844, divulgada em outubro de 2025 e apelidada em algumas análises de RediShell, foi classificada com CVSS 10.0 pelo fornecedor porque, em um cenário possível, poderia terminar em execução remota de código.

O que estava falhando dentro do Redis?

O problema residia no motor que executa scripts Lua. Um manejo incorreto de memória denominado use-after-free pode fazer com que o programa tente utilizar informações após liberar o espaço onde estavam armazenadas. Em determinadas condições, isso permite alterar o fluxo normal de execução.

Quem encontrou e relatou a falha?

O Redis credita a Benny Isaacs, Nir Brakha e Sagi Tzadik, pesquisadores da Wiz em colaboração com o Trend Micro Zero Day Initiative. O processo de divulgação coordenada permitiu preparar correções antes de fornecer detalhes públicos sobre o alcance. Analisar memória, garbage collection e limites do interpretador foi central neste caso.

Como poderia ser explorado?

Requer acesso autenticado ao Redis, de acordo com o boletim oficial. Um usuário com as capacidades necessárias poderia introduzir um script Lua manipulado que interaja de forma anômala com o coletor de lixo e desencadeie a falha. Isso é diferente de dizer que «qualquer pessoa na Internet pode acessar qualquer Redis». Uma instância diretamente exposta, com credenciais vazadas ou permissões muito amplas, eleva o risco.

Por que seria tão grave?

O Redis costuma acessar informações de sessões, chaves temporárias e tarefas internas. Se um atacante conseguir executar código dentro do processo, pode afetar a integridade e a disponibilidade da máquina de acordo com suas permissões. O fato de o ataque ter uma condição prévia de autenticação não o torna irrelevante: credenciais roubadas ou um aplicativo previamente comprometido poderiam fornecer esse acesso.

Quais versões tinham a correção?

O Redis publicou versões corrigidas em diferentes branches do Redis OSS/Community Edition e Redis Software. Para OSS/CE, o aviso lista 8.2.2, 8.0.4, 7.4.6 e 7.2.11 como os primeiros marcos corrigidos dessas séries. Também há linhas diferentes no Redis Software e Redis Stack, portanto não há uma única versão que cubra todos os produtos. Verifique sempre a tabela oficial antes de planejar o upgrade.

Como reviso meu Redis?

Identifique a versão e edição que realmente está em execução. Revise quais redes têm acesso à porta do serviço, os usuários e regras de ACL, os serviços que podem invocar Lua, e os logs de conexões e comandos incomuns. O provedor menciona como possíveis indicadores scripts desconhecidos, falhas do processo, tráfego anômalo e atividade inesperada do usuário do serviço. São indícios para investigar, não provas conclusivas por si mesmos.

Como se corrige e reduz o risco?

Atualize para uma release corrigida e mantida. Restrinja conexões mediante redes privadas, firewall e políticas de acesso; use autenticação forte e roles com os privilégios mínimos; não exponha Redis indiscriminadamente à Internet. Antes da mudança, registre a configuração e cópias apropriadas, teste a persistência e verifique a conectividade desde as aplicações.

Perguntas frequentes

Se o Redis exige senha, já estou protegido? Não: a condição de exploração inclui autenticação.

Desabilitar o Lua alcança? Pode reduzir determinados caminhos, mas não substitui a atualização e depende das funcionalidades que sua aplicação utiliza.

O Redis Cloud precisava de um patch manual? O provedor indicou que suas assinaturas em risco foram corrigidas pelo serviço; as instâncias autogerenciadas devem ser avaliadas.

Fontes: Aviso oficial do Redis e versões corrigidas · Registro CVE.

Onde acompanhar alertas CVE e receber orientação?

Em ArduMaker CVE e suporte publicamos atualizações e centralizamos consultas sobre vulnerabilidades, começando pelo WordPress e suas tecnologias relacionadas. Se o seu caso envolver outro runtime ou um banco de dados, especifique componente, versão, sistema operacional e exposição do serviço para contextualizá-lo. O aviso de uma CVE não prova que seu servidor esteja comprometido: a avaliação requer inventário, configuração e evidência.

Nota editorial — outubro de 2026: estas versões corrigidas são os marcos do aviso original. Ao atualizar hoje, escolha um ramo com suporte vigente e verifique o comunicado atual do fabricante.

Exemplo prático: Redis exposto mais do que o necessário

Situação: uma aplicação usa Redis para sessões e cache, mas o administrador descobre que a porta 6379 está escutando em uma interface pública. Esse problema de configuração não é idêntico à CVE-2025-49844, mas facilita chegar a um serviço que deveria ter acessos restritos.

No próprio VPS:

ss -lntp | grep ':6379'

Com uma sessão autorizada do Redis, verifique versão e edição:

redis-cli INFO server

Não cole senhas na linha de comando nem compartilhe o resultado se contiver informações internas.

Antes: Redis acessível de redes desnecessárias, papéis genéricos e versão antiga. Depois: rede privada, firewall, autenticação e ACLs mínimas, runtime corrigido e verificação de que o aplicativo ainda consegue se conectar.

Exemplo de impacto: se alguém obtiver credenciais do Redis com permissões amplas, uma vulnerabilidade no interpretador de scripts pode aumentar as consequências do acesso. A senha por si só não elimina a necessidade de atualizar.