Redis 메모리 손상 취약점, 영향 버전과 업데이트 방법

무슨 일이 생겼나요

KISA 보호나라는 2026-10-29 Redis의 메모리 손상 취약점에 대한 업데이트를 권고했어요. 보관함에 물건을 다시 넣기 전에 포장과 크기를 확인해야 하는데, 이 확인이 충분하지 않아 보관함 내부가 흐트러질 수 있는 상황에 비유할 수 있어요. Redis에서도 데이터를 되살리는 과정에서 입력을 제대로 검사하지 못하면 메모리 접근에 문제가 생길 수 있어요.

취약점 식별자는 CVE-2026-25243이에요. 문제가 있는 기능은 저장된 형태의 데이터를 Redis 안에 다시 구성하는 RESTORE 명령이에요. 인증을 거쳤으며 이 명령을 실행할 권한까지 가진 공격자가 특별히 조작한 데이터를 전달하면 메모리가 손상될 수 있고, 원격 코드 실행으로 이어질 가능성이 있어요. 원격 코드 실행은 공격자가 서버에서 자신이 의도한 코드를 실행하게 만드는 것을 뜻해요.

영향 범위는 모든 Redis OSS/CE 릴리스로 안내됐고, 해결 버전은 사용 중인 계열에 따라 구분돼요. 해결 버전으로 명시된 릴리스까지 계속 취약하다고 해석하지 않도록 영향 범위와 해결 버전을 함께 확인해야 해요. CISA KEV에는 아직 등재되지 않았어요.

기술적으로는 (초급 개발자용)

취약점 유형은 메모리 손상이며, 약점 분류는 CWE-122, 힙 기반 버퍼 오버플로예요. 힙은 프로그램이 실행 중 필요한 데이터를 담기 위해 사용하는 메모리 영역이고, 버퍼는 데이터를 담아 두는 공간이에요. 이 분류는 해당 공간의 경계를 벗어나는 쓰기와 관련된 약점을 가리켜요.

원인은 RESTORE가 받는 직렬화 데이터의 검증이 충분하지 않다는 점이에요. 직렬화는 데이터를 저장하거나 전달할 수 있도록 일정한 형식으로 바꾸는 작업이에요. Redis가 그 데이터를 다시 내부 구조로 구성할 때 조작된 내용을 제대로 걸러내지 못하면, 정상적으로 접근해야 할 범위를 벗어난 메모리에 접근할 수 있어요.

공격 조건에는 인증과 RESTORE 실행 권한이 포함돼요. 따라서 Redis에 연결할 수 있다는 조건만으로 공격이 성립한다고 설명할 수는 없어요. 어떤 계정이 인증할 수 있는지와 그 계정에 RESTORE 실행 권한이 있는지를 함께 살펴야 해요. 원격 코드 실행은 가능한 결과로 설명된 것이며, 모든 입력이나 모든 환경에서 발생한다고 단정할 수는 없어요.

NVD의 CVSS 4.0 기준 점수는 7.7, 심각도는 HIGH예요. CVSS는 취약점의 기술적인 심각도를 평가하는 체계예요. 이 점수는 업데이트 우선순위를 판단하는 근거가 되지만, 특정 서버가 공격받을 확률이나 이미 피해가 발생했다는 뜻은 아니에요. NVD 게시일은 2026-05-05이며, 보호나라 권고 게시일과는 구분해서 읽어야 해요.

누가 영향을 받나요

일반 사용자

Redis를 직접 관리하지 않는 이용자라면, 사용하는 서비스가 Redis를 운영하는지와 해당 서버의 업데이트 상태를 이용자 화면만으로 판단하기는 어려워요. 이 취약점의 조치 대상은 Redis 서버이므로, 서비스 운영자가 서버 버전과 권한을 확인하고 업데이트해야 해요.

사용하는 서비스가 Redis를 쓴다는 이유만으로 개인정보 유출이나 계정 피해가 발생했다고 볼 수는 없어요. 서비스 이용과 관련해서는 운영자가 안내하는 Redis 업데이트 일정과 서비스 영향 안내를 확인하면 돼요.

개발자

Redis를 사용하는 개발자는 애플리케이션이 접속하는 서버의 실제 버전과 접속 계정의 RESTORE 실행 권한을 확인해야 해요. 애플리케이션 코드에서 RESTORE를 호출하지 않더라도, 해당 계정에 실행 권한이 남아 있는지는 별도로 살펴볼 필요가 있어요.

직렬화 데이터를 복원하는 기능이 있다면 그 데이터가 어디에서 들어오는지, 어떤 계정으로 RESTORE를 실행하는지 확인하세요. 애플리케이션에서 입력을 검사하는 것과 별개로 Redis 서버 자체를 해결 버전으로 업데이트해야 해요. 업데이트 뒤에는 실제로 사용하는 데이터 복원 기능과 Redis 연결이 정상적으로 동작하는지도 확인하세요.

서버·장비 담당자

서버 담당자는 설치된 Redis의 버전과 현재 실행 중인 Redis의 버전을 구분해서 확인해야 해요. 설치된 프로그램의 버전을 확인한 결과만으로 운영 중인 서버에도 업데이트가 적용됐다고 판단하지 않도록 주의하세요.

해결 버전은 6.2.22 이상, 7.2.14 이상, 7.4.9 이상, 8.2.6 이상, 8.4.3 이상, 8.6.3 이상으로 안내됐어요. 각각 해당 버전 계열의 해결 기준으로 확인해야 해요. 서로 다른 계열의 버전 번호를 단순히 비교해 적용 여부를 결정하지 말고, 제조사 공지에서 현재 운영 환경에 맞는 업데이트 대상을 확인하세요.

지금 할 일

1. 운영 중인 Redis OSS/CE 서버를 확인하고, 각 서버가 사용하는 버전 계열과 현재 실행 버전을 파악하세요.
2. 현재 사용하는 계열을 기준으로 해결 버전을 대조하세요. 안내된 기준은 6.2.22 이상, 7.2.14 이상, 7.4.9 이상, 8.2.6 이상, 8.4.3 이상, 8.6.3 이상이에요.
3. Redis에 접속하는 계정 중 RESTORE 실행 권한이 있는 계정을 확인하세요. 인증 가능 여부와 명령 실행 권한을 함께 살펴보세요.
4. 제조사 공지의 업데이트 절차를 따르세요. 운영 환경에 맞는 해결 버전을 선택하고, Redis를 이용하는 서비스에 미치는 영향을 고려해 적용하세요.
5. 업데이트 후 실행 중인 Redis의 버전을 다시 확인하고, 서비스 연결과 사용하는 데이터 복원 기능이 정상인지 점검하세요.

redis-server --version

redis-cli INFO server

바로 업데이트하기 어렵다면

• 제조사 공지에서 임시 완화 방안을 확인한 뒤, RESTORE 명령을 실행할 수 있는 계정을 필요한 범위로 제한하세요. 접근 제어 목록을 뜻하는 ACL을 통한 권한 제한이 완화 방향이지만, 구체적인 적용 방법은 제조사 안내를 따르세요.
• 제조사 공지를 확인하면서 Redis에 접근할 수 있는 범위와 외부 노출을 줄이세요. 접근 제한을 적용했더라도 해결 버전 업데이트는 이어서 진행해야 해요.

업데이트 후 확인

• 현재 실행 중인 Redis가 사용 중인 계열의 해결 버전 이상인지 확인하세요. 설치된 프로그램의 버전 확인만으로 점검을 끝내지 마세요.
• Redis를 사용하는 서비스가 정상적으로 연결되고 데이터를 처리하는지 확인하세요. RESTORE를 사용하는 기능이 있다면 해당 복원 기능도 점검하세요.
• RESTORE 실행 권한과 Redis 접근 범위가 의도한 상태인지 확인하세요. 임시로 제한한 권한을 다시 부여할 때도 업무상 필요한 범위인지 검토하세요.

해외 동향 (NVD·CISA KEV)

CISA의 실제 악용 취약점 목록(KEV)에는 2026.10.30 확인 기준 아직 올라 있지 않아요.

제조사 공식 공지

• https://redis.io/blog/security-advisory-cve202623479-cve202625243-cve-2026-25588-cve202625589-cve-2026-23631/

자주 묻는 질문

Q. 비밀번호가 설정돼 있으면 업데이트하지 않아도 되나요?

업데이트가 필요해요. 이 취약점은 인증을 거친 계정이 RESTORE 실행 권한을 가지고 있을 때 공격 조건이 성립할 수 있어요. 인증 설정을 확인하는 것과 함께 명령 실행 권한을 점검하고 해결 버전을 적용해야 해요.

Q. 해결 버전 중 아무 버전이나 선택하면 되나요?

현재 사용하는 버전 계열과 제조사 공지를 기준으로 선택해야 해요. 해결 기준은 6.2.22 이상, 7.2.14 이상, 7.4.9 이상, 8.2.6 이상, 8.4.3 이상, 8.6.3 이상으로 각각 안내됐어요. 계열을 바꾸는 업데이트가 필요한지는 운영 환경을 고려해 제조사 공지의 업데이트 절차에 따라 판단하세요.

Q. CISA KEV에는 등재돼 있나요?

CISA KEV에는 아직 등재되지 않았어요. Redis 업데이트 우선순위를 정할 때는 CVSS 4.0 기준 7.7과 HIGH 평가, 현재 실행 버전, RESTORE 실행 권한, 서버 접근 범위를 함께 살펴보세요.