🔥 Агенты Kimi K3 обнаружили уязвимости в Redis и создали рабочий эксплойт 23 июля Redis выпустила сразу семь обновлений, закрывающих две свежие цепочки аутентифицированного удалённого выполнения кода. Уязвимы Redis 6.2.22, 7.4.9, 8.6.4 и 8.8.0 — все векторы завязаны на команду RESTORE. Первая цепочка (Streams) эксплуатирует двойное освобождение в обработке shared-NACK, вторая — через модуль RedisBloom — запись за границы буфера в загрузчике TDigest. Опубликованные скрипты для 8.8.0 читают адресное пространство процесса и вызывают system(), отравив хеш-функцию базы данных. Группа Bera Buddies утверждает, что её AI-агенты Kimi K3 обнаружили 19 zero-day в Redis примерно за 90 минут, а на создание эксплойта для версии 8.8.0 ушло 27 минут. Redis подтвердила наличие дефектов и выпустила патчи, но не стала комментировать ни число якобы найденных уязвимостей, ни самостоятельность агентов. По данным The Hacker News, на 24 июля 2026 года ни одна из этих техник не зафиксирована в реальных атаках. Важный нюанс: майские обновления 6.2.22 и 7.4.9, которые вендор сам рекомендовал установить, не содержали защиты от дублирующегося владения shared-NACK. Обе версии снова уязвимы и требуют немедленного обновления до 6.2.23, 7.2.15 или 7.4.10. Проверка командой redis-server --version даёт точный ответ, а не иллюзию «мы же недавно патчились». Скорость, с которой инструмент — пусть даже с неподтверждённой автономностью — прошёл путь от поиска до работающего RCE, переводит вопрос в практическую плоскость: кто быстрее задействует такой конвейер, ваша команда или атакующие с арендованным кластером GPU? И пока нет CVE, ориентироваться приходится не на формальные идентификаторы, а на конкретный номер сборки — майские обновления здесь не защищают. #Redis #RCE #ZeroDay #AI #KimiK3