Kimi K3 Temukan Zero-Day Redis dan Buat Eksploitasi RCE Autentikasi

Redis mengeluarkan tujuh pembaruan keamanan pada 23 Juli 2026 setelah para peneliti mempublikasikan bukti konsep (PoC) eksekusi kode jarak jauh (RCE) yang memerlukan autentikasi pada versi stock Redis 6.2.22, 7.4.9, 8.6.4, dan 8.8.0. Eksploitasi ini memanfaatkan celah pada fitur RESTORE yang memungkinkan manipulasi memori berbahaya.

Kerentanan RESTORE dan Jalur Eksploitasi

Semua rantai serangan yang ditemukan mengandalkan perintah RESTORE. Dua jalur utama ditemukan, yakni melalui Redis Streams dan RedisBloom. Jalur Streams juga membutuhkan perintah EVAL dan XGROUP, sedangkan jalur pada Redis 8.8.0 memerlukan modul RedisBloom yang terpasang serta perintah EVAL. Menurut Redis, celah ini berpotensi menyebabkan eksekusi kode jarak jauh akibat kerentanan memori.

• Redis Streams: Terdapat bug shared-ownership yang memungkinkan dua konsumen menunjuk ke catatan entri tertunda yang sama, sehingga penghapusan konsumen ganda menyebabkan double free pada objek memori.
• RedisBloom TDigest: Kerentanan out-of-bounds write terjadi di loader RDB TDigest yang mengalokasikan memori berdasarkan nilai terkompresi tetapi mempercayai kapasitas node yang dikontrol penyerang, menyebabkan penulisan memori berbahaya.

Detail Pembaruan Redis dan Perbaikan

Redis merilis berbagai versi patch yang mengatasi masalah ini:

1. Redis 6.2.23, 7.2.15, 7.4.10 memperbaiki bug shared-NACK use-after-free pada Redis Streams.
2. Redis 8.2.8, 8.4.5, 8.6.5 mengatasi isu Redis Streams sekaligus kerentanan out-of-bounds pada RedisBloom dan TDigest.
3. Redis 8.8.1 memperbaiki loader RedisBloom dan TDigest, sementara proteksi Streams sudah ada di Redis 8.8.0.

Perlu dicatat bahwa versi sebelumnya seperti Redis 6.2.22 dan 7.4.9 yang menjadi target PoC pada pembaruan Mei lalu tidak mengandung proteksi shared-NACK ownership guard. Oleh karena itu, pengguna disarankan untuk segera meng-upgrade ke versi patch terbaru yang sesuai dengan cabang yang digunakan.

Rekomendasi Pengamanan Sementara

Sampai patch terbaru diterapkan, Redis mengimbau untuk:

• Mencabut hak akses RESTORE dari akun yang tidak benar-benar membutuhkannya.
• Memblokir akses jaringan dari sumber yang tidak dipercaya ke server Redis.
• Mengawasi aktivitas dan log Redis secara ketat untuk deteksi dini potensi eksploitasi.

Langkah membatasi RESTORE efektif memutus kedua jalur eksploitasi yang telah dipublikasikan.

Rantai Eksploitasi dan Cara Kerjanya

Jalur Redis Streams memanfaatkan bug shared-ownership dimana dua konsumen mengacu pada satu pending entry record yang diwakili oleh objek internal streamNACK. Menghapus konsumen pertama membebaskan objek, sementara konsumen kedua masih memegang pointer dangling. Script eksploitasi memanfaatkan kondisi ini dengan menghapus konsumen kedua sehingga terjadi double free yang berujung pada akses memori arbitrer dan pemanggilan fungsi system().

Jalur RedisBloom TDigest memanfaatkan mismatch antara memori yang dialokasikan dengan kapasitas node yang dikontrol penyerang. Hal ini menyebabkan penulisan di luar batas buffer (out-of-bounds write), yang kemudian digunakan untuk mengakses dan memanipulasi memori secara bebas, membocorkan alamat penting Redis dan libc, serta menjalankan perintah berbahaya melalui fungsi system().

Catatan Tentang CVE dan Status Eksploitasi

Meskipun repository PoC menyebut masalah Streams sebagai bagian dari keluarga perbaikan CVE-2026-25589 yang masih belum tuntas, Redis mengaitkan CVE tersebut dengan korupsi memori RedisBloom, bukan bug shared-NACK. Tidak ada catatan CVE atau skor CVSS baru yang dirilis untuk dua kelas kerentanan ini per 23 Juli 2026.

Sampai 24 Juli 2026, belum ada laporan eksploitasi aktif di dunia nyata terkait kerentanan ini. Pencarian di basis data NVD dan katalog CISA juga tidak menemukan entri terkait kerentanan baru ini.

Latar Belakang Penemuan dan AI dalam Keamanan

Penemuan celah ini dilakukan oleh Kimi K3 agents, agen penelitian AI yang diasosiasikan dengan Bera Buddies. Mereka mengklaim berhasil menemukan 19 zero-day Redis dalam waktu sekitar 90 menit, dan dalam sesi lain menghasilkan eksploitasi untuk Redis 8.8.0 hanya dalam 27 menit. Namun, klaim tersebut masih bersifat laporan mandiri tanpa verifikasi independen.

Redis sebelumnya juga telah mengatasi celah RCE yang ditemukan oleh AI pada Mei 2026. Penemuan beruntun ini menunjukkan potensi AI sebagai alat bantu dalam mengidentifikasi kerentanan kompleks pada perangkat lunak open source seperti Redis.

Analisis Redaksi

Menurut pandangan redaksi, penemuan zero-day oleh agen AI seperti Kimi K3 menandai babak baru dalam keamanan perangkat lunak, terutama pada sistem yang sangat penting seperti Redis yang digunakan secara luas dalam dunia teknologi informasi dan layanan digital. Automasi dan AI kini bukan hanya alat bantu pengembangan, tetapi juga menjadi senjata ganda yang dapat mempercepat temuan celah sekaligus memperbesar risiko eksploitasi jika tidak segera ditangani.

Selain itu, fakta bahwa patch terbaru harus segera diadopsi mengingat celah ini sudah diketahui publik menegaskan pentingnya manajemen keamanan siber yang proaktif. Pengguna Redis tidak boleh terlena hanya karena tidak ada laporan eksploitasi aktif, karena celah ini sangat berpotensi dimanfaatkan oleh penyerang yang lebih cepat dan canggih.

Ke depan, perhatian harus diberikan pada bagaimana komunitas open source dan pengembang perangkat lunak mengintegrasikan teknologi AI dalam proses pengujian keamanan. Keterbukaan informasi dan respons cepat terhadap laporan kerentanan juga menjadi kunci utama menjaga ekosistem digital tetap aman.

Untuk informasi lebih lanjut dan update terkini, disarankan mengikuti berita resmi dan sumber terpercaya seperti The Hacker News dan kanal resmi Redis.