大工网安告[2026019]

一、 情况分析

Redis是一款开源的高性能键值对内存数据库，支持字符串、哈希、列表、集合、有序集合等多种数据结构，并提供持久化、复制、高可用集群等特性。Redis广泛应用于缓存、消息队列、实时分析、会话存储等场景，是当今最流行的NoSQL数据库之一。其内置的Lua脚本引擎允许用户在服务器端执行原子性操作，极大提升了数据处理的灵活性和效率。

近日，监测到官方修复Redis Lua脚本远程代码执行漏洞(CVE-2026-23631)，该漏洞源于Lua脚本功能启用时，经过身份验证的攻击者可以利用主从数据同步机制，在禁用只读模式的副本服务器上触发内存管理缺陷，通过构造特定的脚本操作导致内存错误引用，最终可能实现远程代码执行并完全控制目标系统。目前该漏洞PoC和技术细节已公开。

威胁类型：代码执行。

技术类型：释放后重用。

危害描述：经过身份验证的攻击者可以利用主从数据同步机制，在禁用只读模式的副本服务器上触发内存管理缺陷，通过构造特定的脚本操作导致内存错误引用，最终可能实现远程代码执行并完全控制目标系统。

二、 影响版本

7.2.0 <= Redis < 7.2.14

7.4.0 <= Redis < 7.4.9

8.2.0 <= Redis < 8.2.6

8.4.0 <= Redis < 8.4.3

8.6.0 <= Redis < 8.6.3

三、 处置建议

修复解决方案（含漏洞补丁）：

官方已发布安全补丁， 请及时更新至最新版本：

Redis 7.2.* >= 7.2.14

Redis 7.4.* >= 7.4.9

Redis 8.2.* >= 8.2.6

Redis 8.4.* >= 8.4.3

Redis 8.6.* >= 8.6.3

临时缓解措施：

1.禁止用户执行 Lua 脚本：通过配置禁用 EVAL、EVALSHA、FUNCTION LOAD、FCALL等Lua相关命令，阻止攻击者利用Lua引擎触发漏洞。

2.启用并强制从节点只读：确保所有从节点配置replica-read-only yes，并严格限制任何用户（包括管理员）修改此配置的权限，防止攻击者通过CONFIG SET将其关闭。