redis-cve-2026-23479-check

Um verificador de versão seguro e somente leitura para CVE-2026-23479 — a use-after-free no código de cliente bloqueante do Redis que permite que um usuário autenticado alcance execução remota de código no host.

Ele não explora o bug. Ele conecta, opcionalmente autentica, executa um único comando INFO server somente leitura, analisa a versão e compara com a lista de releases corrigidas. Nunca envia um comando bloqueante e nunca toca no caminho de código vulnerável. Use-o apenas contra instâncias que você possui ou para as quais está explicitamente autorizado a testar.

Por que isso importa

"Autenticado" soa reconfortante até você lembrar como o Redis realmente é distribuído: por anos o padrão era sem senha, e mesmo agora ele é a caixa de cache/fila/sessão confiável que ninguém firewalla internamente. Um RCE autenticado em um componente que todo servidor de aplicação já consegue alcançar, em uma rede plana, é uma superestrada para movimento lateral. E, até onde se sabe, não há PoC público — o que significa que você está antes da explosão. Esse é o lugar mais barato que um defensor pode estar. Use isso: encontre suas instâncias expostas e corrija antes que o exploit chegue.

O bug

• CVE-2026-23479 · use-after-free no tratamento de clientes bloqueantes. Quando um cliente bloqueado é removido durante a reexecução de um comando bloqueante, um usuário autenticado pode disparar um UAF → potencial RCE.
• Introduzido: Redis 7.2.0. Presente em todos os branches estáveis até as correções de 2026-05-05.
• CVSS: 8.8 (NVD, CVSS 3.1) · 7.7 (Redis, CVSS 4.0).
• Corrigido em: 6.2.22, 7.2.14, 7.4.9, 8.2.6, 8.4.3, 8.6.3.

Uso

Sem dependências — apenas Python 3.

python3 check.py <host> [-p PORT] [-a PASSWORD] [--user ACL_USER] [--tls] [--insecure]

Exemplos:

python3 check.py 127.0.0.1
python3 check.py redis.internal -p 6380 -a "$REDIS_PASSWORD"
python3 check.py redis.example.com --tls            # certificado verificado por padrão
python3 check.py redis.internal --tls --insecure    # certificado autoassinado interno (opt-in)

O código de saída é 0 quando corrigido/não afetado e 1 quando ação é necessária (vulnerável / verificar), então encaixa diretamente em CI:

python3 check.py "$REDIS_HOST" -a "$REDIS_PASSWORD" || echo "::warning::Redis precisa do patch para CVE-2026-23479"

Se disser VULNERÁVEL

1. Atualize para a versão corrigida do seu branch (acima).
2. Em qualquer coisa que não possa corrigir imediatamente: exija autenticação e troque a senha, e coloque a porta do Redis atrás de política de rede para que apenas os serviços que precisam dela possam acessá-la — não toda a VLAN. Se um atacante não conseguir alcançar a porta e não conseguir autenticar, um UAF autenticado é um bug que ele não pode explorar.

Detectando exploração

Veja detection/redis-cve-2026-23479.sigma.yml — uma regra Sigma baseada em host que captura o resultado de qualquer RCE no Redis (o processo redis-server criando um shell ou filho inesperado), o que é muito mais robusto do que tentar identificar os pacotes exatos do exploit.

Alimentado por inteligência de ameaças DugganUSA — 1M+ IOCs, feed STIX 2.1, nível gratuito. analytics.dugganusa.com · entregamos o escudo, não a espada.