Ferramenta de IA encontra falha crítica no Redis com dois anos de existência

A CVE-2026-23479 não é só mais uma falha de use-after-free: é um caso raro de bug que sobreviveu a dois anos de revisões manuais, testes automatizados e até análise estática, até ser encontrado por uma ferramenta de IA chamada Xint Code, da Theori. Ela explorou a falha em tempo real na competição ZeroDay.Cloud 2025, em Londres, provando que o problema permite RCE com privilégios do daemon Redis, mesmo sem acesso root direto. O exploit depende de três etapas sequenciais: vazamento de heap via Lua (que exige apenas permissão @scripting), despejo forçado de memória do cliente bloqueado e, por fim, sobrescrita da GOT de strcasecmp() para redirecionar execução para system(). Isso só funciona se o atacante já tiver autenticação, mas, como mostra a Wiz, 68% das instâncias Redis em nuvem rodam sem senha ou com credenciais padrão que concedem exatamente os privilégios necessários.

O patch foi lançado em 5 de maio de 2026, um mês antes da divulgação pública, nas versões 7.2.14, 7.4.9, 8.2.6, 8.4.3 e 8.6.3. Mas atenção: o advisory de 5 de maio também revelou quatro outras vulnerabilidades de RCE no mesmo código-base, incluindo falhas críticas no comando RESTORE e em manipulação de scripts Lua. Ou seja, essa não é uma anomalia isolada, é um sintoma de complexidade crescente no tratamento de estado compartilhado em sistemas de cache de alta performance.

Na cobertura anterior sobre a vulnerabilidade do FreeBSD detectada pelo Mythos da Anthropic (2026-06-05), a IA identificou um bug antigo, mas em modo de preview, sem exploração prática. Aqui, a Xint Code não só detectou a falha, ela a explorou em ambiente real de competição de hacking, gerando um PoC funcional e validado. Também há evolução técnica clara: enquanto o FreeBSD envolvia stack overflow em código legado, o Redis expõe um uso incorreto de ponteiros em código ativo, mantido por equipes técnicas ativas, o que torna o achado mais alarmante para quem confia em revisão humana contínua.

Redis está em 83% dos ambientes de microsserviços críticos no Brasil, segundo levantamento da SUSE Brasil de abril de 2026, muitos usados como sessão, fila e cache de autenticação. Uma falha de RCE nesse componente permite saltar diretamente para serviços adjacentes, como APIs de pagamento ou gateways de identidade. Diferente de ataques genéricos de ransomware, esse vetor é silencioso, não gera tráfego anômalo óbvio e pode persistir por meses. E o pior: como a maioria dos exploits exige apenas autenticação válida, e não privilégios elevados , , ele escapa facilmente de detecções baseadas em comportamento anômalo de usuários privilegiados.