Redis CVE-2026-66373: double free nei Redis Streams verso RCE, bypass della patch di maggio

La correzione non ha tenuto: la CVE-2026-66373 in Redis, il DBMS NoSQL in memoria usato come cache e broker in gran parte delle architetture moderne, è un double free (CWE-415, CVSS 7.5) che aggira la patch della CVE-2026-25243 rilasciata a maggio. Il difetto vive nel sottosistema Redis Streams, nella gestione dei consumer group e delle strutture NACK della Pending Entries List: un oggetto RDB manipolato e caricato con il comando RESTORE può far puntare due consumer al medesimo record di pending, così che la rimozione di entrambi tramite XGROUP DELCONSUMER liberi due volte la stessa area di memoria. Ne segue una corruzione della memoria del processo Redis che, secondo il proof of concept pubblicato, può essere convertita in accesso arbitrario alla memoria fino alla chiamata di system().

La cronologia è compressa: Redis ha rilasciato sette patch di sicurezza il 23 luglio 2026, i ricercatori hanno pubblicato i PoC autenticati il giorno dopo, e ACN ha emesso l'alert AL01/260727 il 27 luglio. Il contorno della scoperta è la parte più interessante: le falle appartengono a un lotto di zero-day Redis individuati da agenti automatici basati su modelli linguistici, che secondo i ricercatori di Bera Buddies avrebbero prodotto anche l'exploit funzionante in poche decine di minuti. È un dato che riguarda il fattore tempo più della singola CVE: la finestra tra patch e exploit pubblico si sta comprimendo, e la scoperta assistita da IA la comprime ulteriormente. Al 27 luglio non risultavano casi di sfruttamento in rete, né nelle note di rilascio del vendor né nei repository dei PoC.

A doversene preoccupare non è tanto chi espone Redis su internet, quanto chi ha istanze condivise in cui più applicazioni o più tenant scrivono sullo stesso database: lo sfruttamento richiede un'utenza autenticata con la possibilità di eseguire RESTORE e XGROUP DELCONSUMER, quindi il rischio reale si concentra dove le ACL sono permissive o assenti, configurazione tutt'altro che rara nelle installazioni interne considerate "di fiducia". La leva immediata, oltre all'aggiornamento, è restringere i comandi disponibili alle utenze applicative.

• Versioni affette: Redis, tutte le versioni precedenti alla 8.8.0.
• Azione raccomandata: aggiornare Redis alla versione 8.8.0 o successiva; dove l'aggiornamento non è immediato, disabilitare i comandi RESTORE e XGROUP DELCONSUMER per le utenze applicative tramite le ACL di Redis e verificare che nessuna istanza sia raggiungibile senza autenticazione.
   

Fonti: ACN, GitHub Advisory, NVD, The Hacker News