Un outil d'IA autonome détecte une faille RCE vieille de 2 ans dans Redis (CVE-2026-23479)

Redis a corrigé une utilisation après libération dans son code client de blocage qui permet à un utilisateur authentifié d'exécuter des commandes arbitraires du système d'exploitation sur la machine hébergeant la base de données. La faille a été découverte par un outil d'IA autonome conçu pour rechercher les bogues dans les grandes bases de code.

Suivie sous le numéro CVE-2026-23479, la faille a été introduite dans Redis 7.2.0 et est restée dans chaque branche stable jusqu'aux correctifs du 5 mai, inaperçue pendant plus de deux ans. NVD lui donne une note de 8,8 sous CVSS 3.1 ; Redis le répertorie comme 7.7 sous CVSS 4.0. Cela a été rapporté par Team Xint Code, et un rapport technique complet est désormais public.

L’empreinte du cloud aggrave la situation. L'analyse de Wiz, publiée avec la description de l'exploit, place Redis dans une grande majorité d'environnements cloud, la plupart de ces instances s'exécutant sans mot de passe. ...
[Courte citation de 8% de l'article original]