Redis 6.2.22、7.4.9、8.6.4（< 8.8.0）版本存在（CVE-2026-25243 补丁绕过）远程代码执行漏洞.攻击者在获得合法认证凭据后，可通过 RESTORE 投递构造好的 RDB 流对象，触发消费组共享 NACK 双重释放，进而结合 jemalloc tcache 双重分配实现任意地址读写，最终在 redis-server 进程内执行任意系统命令。

将 Redis 升级至 8.8.0 及以上版本。 强制强口令认证（requirepass 或 ACL），避免弱口令、空口令暴露 使用 ACL 最小权限，对非必要客户端关闭 RESTORE、EVAL、XGROUP 等危险命令，关闭 DEBUG 命令（enable-debug-command no，Redis 7+ 默认关闭）