Redis 8.4.8 安全修复：集群超大 PUBLISH 可能导致堆溢出

Redis 于 2026 年 10 月 26 日发布 8.4.8。GitHub Release 把更新紧急度标成 SECURITY，并写明本版本包含安全修复。[1]

问题描述很短、但指向明确：在集群模式下，通过集群总线传播超过 4GB 的 PUBLISH / SPUBLISH 消息时，可能触发堆缓冲区溢出。也就是说，风险落在「开了集群、且可能出现超大发布载荷」的部署；按该条说明，单机非集群路径不在此描述范围内。[1]

对运行 8.4 线并启用集群的实例，应尽快升到 8.4.8，并在变更窗口回归复制、故障转移与 pub/sub。业务侧若允许客户端自定义发布内容，建议同时限制消息大小与可发布来源，避免不可信输入构造超大载荷。源码与发行包见 tag 8.4.8。[1]

若短期无法升级，至少应监控异常大的 PUBLISH/SPUBLISH，并收紧对集群总线可达性与客户端权限的控制。官方未在该短说明里给出 CVE 编号，后续若有独立安全通告，应以 Redis 后续公告为准。

运维侧除了升版本，还可以从协议层设上限：限制客户端 PUBLISH 载荷、拆分过大的业务通知，或把超大广播改出发到集群总线之外的通道。安全说明未展开利用条件与 CVE 编号，因此不宜自行脑补 RCE 细节；能确认的是官方把优先级标成 SECURITY，集群用户应把它当必修补丁，而不是可拖的小版本。

升级完成后，可用受控的大消息压测或监控告警，确认集群总线路径在补丁后行为正常，并留下版本与变更记录方便审计。

说明：漏洞细节与影响版本以 Redis 官方 Release 安全说明为准。

来源

[1] Redis 8.4.8 Release，2026年10月26日；查询日 2026-10-29。

#Redis #安全修复 #集群 #8.4.8 #数据库