Redis används som cache, sessionslagring och kö i väldigt många webbprojekt, ofta i Magento- och Laravel-miljöer. Den 19 oktober 2026 uppdaterade Kanadas nationella cybersäkerhetscenter (Canadian Centre for Cyber Security) sin varning om Redis: enligt öppna källor utnyttjas sårbarheten CVE-2026-25243 nu i det vilda. Sårbarheten åtgärdades redan i maj, så har ni inte uppdaterat Redis sedan dess är det dags nu.
Vad är CVE-2026-25243?
Redis publicerade sin säkerhetsvarning den 5 maj 2026. Den omfattar fem sårbarheter, och CVE-2026-25243 är en av dem. Felet sitter i kommandot RESTORE, där en specialskriven serialiserad payload kan orsaka ogiltig minnesåtkomst och i förlängningen fjärrkörning av kod. Redis bedömer allvarlighetsgraden som hög, med CVSS-poängen 7.7.
En viktig detalj: angriparen måste kunna ansluta och köra kommandon mot Redis, alltså ha autentiserad åtkomst. Störst är risken därför för Redis-instanser som går att nå från internet, saknar lösenord eller delar inloggningsuppgifter med många applikationer. När Redis publicerade varningen i maj hade de inga belägg för att sårbarheten utnyttjats, men det har alltså ändrats.
Vilka versioner är åtgärdade?
Redis Open Source / Community Edition: 6.2.22, 7.2.14, 7.4.9, 8.2.6, 8.4.3 och 8.6.3.
Redis Software: 8.0.10-64, 7.22.2-79, 7.8.6-253, 7.4.6-279 och 7.2.4-153.
Redis Cloud: redan åtgärdat av Redis, ingen åtgärd krävs.
Kör ni Redis via en Linux-distribution eller en hanterad molntjänst, kontrollera med leverantören vilken paketversion som innehåller fixen.
Vad ska du göra?
Uppdatera Redis till en åtgärdad version och starta om tjänsten. Kontrollera versionen med redis-server --version eller kommandot INFO server.
Exponera inte Redis mot internet. Bind tjänsten till localhost eller ett internt nätverk (till exempel bind 127.0.0.1 i redis.conf) och begränsa åtkomsten med brandvägg.
Kräv autentisering och låt protected mode vara påslaget. Ge varje applikation egna användare och lösenord via ACL:er.
Begränsa farliga kommandon. Redis rekommenderar att bara betrodda identiteter får köra riskabla kommandon. Behöver applikationen inte RESTORE kan ni neka det i ACL:en eller stänga av det med rename-command i redis.conf.
Uppdatera regelbundet. Redis är lätt att glömma bort eftersom det sällan krånglar, men det behöver uppdateras precis som resten av stacken.
Så kan vi hjälpa till
Vi sätter upp och underhåller Redis för Magento och Laravel, och hjälper gärna till att kontrollera version, nätverksåtkomst och behörigheter i er miljö. Hör av er så går vi igenom det tillsammans.
Har du din butik eller applikation i vår hosting ser vi till att systemet hålls uppdaterat.