非關聯式資料庫Redis揭露5個漏洞，未修補可能導致遠端執行程式碼攻擊
漏洞概要
Redis官方於2026年5月4日發布安全性公告，主動揭露並修補五項高風險與一項中等風險的漏洞（CVE-2026-23479、CVE-2026-25243、CVE-2026-25243等），這些漏洞可能讓未經身分驗證的攻擊者遠端執行惡意程式碼。
風險與影響範圍
- 漏洞CVE-2025-49844（RediShell）存在於過去13年間的Redis版本中，風險值達10分，攻擊者可透過Lua腳本執行任意程式碼。
- 未經身分鑑別或已通過身分鑑別的遠端攻擊者，皆可利用特製Lua腳本執行任意程式碼。
- Redis 5.0.7版本存在高危CVE-2022-0543漏洞，透過構造Lua腳本Payload，可利用package.loadlib函數遠端執行系統命令。
- 攻擊者在未授權訪問Redis的情況下，可利用config命令寫入檔案，例如將SSH公鑰寫入目標伺服器的/root/.ssh目錄，進而取得遠端控制權。
修補建議
Redis官方已發布8.6.2版本，重點在於修復相關安全漏洞。建議使用者儘速更新至最新穩定版本，並啟用適當的身分驗證與訪問控制機制，以降低遠端執行程式碼攻擊風險。