Một **lỗ hổng Redis RCE** (Remote Code Execution) nghiêm trọng đã được phát hiện trong Redis, kho lưu trữ cấu trúc dữ liệu trong bộ nhớ được sử dụng rộng rãi, gây ra những lo ngại lớn trong cộng đồng an ninh mạng.

Lỗ hổng này, được định danh là **CVE-2025-49844** và được các nhà nghiên cứu đặt tên là “RediShell”, mang mức độ nghiêm trọng **CVSS 3.1 tối đa là 10.0** và ảnh hưởng đến tất cả các phiên bản Redis trên toàn thế giới.

Chi tiết kỹ thuật và Phân tích **CVE nghiêm trọng**

Wiz Research đã phát hiện ra lỗ hổng tàn khốc này, khai thác một lỗi hỏng bộ nhớ **Use-After-Free** được nhúng trong mã nguồn Redis trong khoảng 13 năm.

Lỗi này cho phép những kẻ tấn công đã được xác thực gửi các tập lệnh Lua độc hại được tạo đặc biệt để thoát khỏi môi trường sandbox của Lua và thực thi mã gốc tùy ý trên hệ thống máy chủ Redis.

Cơ chế khai thác RediShell

Quá trình khai thác RediShell tuân theo một chuỗi tấn công nguy hiểm. Ban đầu, kẻ tấn công gửi các tập lệnh Lua độc hại nhắm vào lỗ hổng **Use-After-Free**.

Những tập lệnh này thành công thoát khỏi môi trường sandbox Lua của Redis và đạt được khả năng thực thi mã tùy ý trên hệ thống máy chủ bên dưới.

Tác động và Rủi ro của **lỗ hổng Redis RCE**

Tác động của lỗ hổng này vượt xa các kịch bản rò rỉ dữ liệu đơn thuần. Khai thác thành công cho phép kẻ tấn công **chiếm quyền điều khiển** hoàn toàn hệ thống máy chủ.

Điều này cho phép chúng đánh cắp dữ liệu nhạy cảm, triển khai ransomware hoặc các công cụ đào tiền mã hóa, đánh cắp thông tin xác thực bao gồm khóa SSH và token IAM, và thiết lập các backdoor dai dẳng để di chuyển ngang trong các môi trường điện toán đám mây.

Tầm ảnh hưởng rộng khắp

Điều làm cho lỗ hổng này đặc biệt đáng báo động là sự hiện diện phổ biến của Redis trong cơ sở hạ tầng hiện đại. Các nhà nghiên cứu bảo mật ước tính rằng Redis hoạt động trong khoảng **75% môi trường đám mây**.

Redis phục vụ các chức năng quan trọng bao gồm bộ nhớ đệm, quản lý phiên và hệ thống nhắn tin publish-subscribe. Để biết thêm chi tiết kỹ thuật về lỗ hổng, bạn có thể tham khảo tại Wiz Research blog.

Tình trạng triển khai đáng báo động

Mức độ nghiêm trọng của lỗ hổng càng trở nên đáng lo ngại hơn khi xem xét các thực tiễn triển khai hiện tại.

• Phân tích của Wiz Research tiết lộ khoảng **330.000 phiên bản Redis** hiện đang tiếp xúc với internet.
• Khoảng **60.000 trong số các cài đặt này thiếu bất kỳ cấu hình xác thực nào**.
• Image container Redis chính thức, được sử dụng bởi **57% môi trường đám mây**, không yêu cầu xác thực theo mặc định.

Mô hình triển khai rộng rãi này tạo ra một kịch bản đặc biệt nguy hiểm, nơi các phiên bản Redis không xác thực, tiếp xúc với internet trở thành mục tiêu dễ dàng cho kẻ tấn công từ xa.

Các tổ chức vận hành phiên bản Redis trong mạng nội bộ cũng phải đối mặt với rủi ro gia tăng. Nhiều triển khai nội bộ ưu tiên sự tiện lợi hơn bảo mật, thường chạy mà không có cơ chế xác thực phù hợp.

Điều này tạo cơ hội cho kẻ tấn công đã có quyền truy cập mạng ban đầu khai thác **lỗ hổng Redis RCE** để di chuyển ngang và leo thang đặc quyền.

Phản ứng và Khắc phục

Redis đã chính thức công bố một cảnh báo bảo mật vào ngày **3 tháng 10 năm 2025**, cùng với các phiên bản đã được vá lỗi để khắc phục lỗ hổng. Thông tin chi tiết về CVE có thể được tìm thấy tại NVD NIST.

Lộ trình tiết lộ cho thấy lỗ hổng ban đầu được báo cáo trong sự kiện Pwn2Own Berlin vào ngày **16 tháng 5 năm 2025**, làm nổi bật khoảng thời gian dài các tổ chức đã hoạt động mà không hề hay biết về lỗi nghiêm trọng này.

Lỗ hổng **CVE-2025-49844** đại diện cho một trong số ít hơn 300 lỗ hổng được gán điểm CVSS tối đa trong năm qua, khiến nó trở thành lỗ hổng Redis đầu tiên được đánh giá ở mức độ nghiêm trọng **critical**.

Các tổ chức trên toàn thế giới phải coi đây là ưu tiên an ninh cấp bách, đòi hỏi các nỗ lực khắc phục ngay lập tức với các **bản vá bảo mật** được cung cấp.