CVE catalog

CVE-2026-21863

Valkey is a distributed key-value database. Prior to versions 9.0.2, 8.1.6, 8.0.7, and 7.2.12, a malicious actor with access to the Valkey clusterbus port can send an invalid packet that may cause an

[CVE catalog]

Severity
High · CVSS 7.5CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Published
Source
[NVD] · [CVE record]
EPSS
0.85% · Oct 25, 2026

Valkey is a distributed key-value database. Prior to versions 9.0.2, 8.1.6, 8.0.7, and 7.2.12, a malicious actor with access to the Valkey clusterbus port can send an invalid packet that may cause an out bound read, which might result in the system crashing. The Valkey clusterbus packet processing code does not validate that a clusterbus ping extension packet is located within buffer of the clusterbus packet before attempting to read it. Versions 9.0.2, 8.1.6, 8.0.7, and 7.2.12 fix the issue. As an additional mitigation, don't expose the cluster bus connection directly to end users, and protect the connection with its own network ACLs.

Vulnerable and fixed packages

Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.

DistributionPackageReleaseVersionStatus
Debianredissid5:8.0.6-3fixed
Debianredisforky5:8.0.6-3fixed
Debianredistrixie5:8.0.2-3+deb13u2fixed
Debianredistrixie-security5:8.0.2-3+deb13u3fixed
Debianredisbookworm5:7.0.15-1~deb12u7fixed
Debianredisbookworm-security5:7.0.15-1~deb12u10fixed
CpevalkeyNot reported7.2.12+dfsg1-0ubuntu0.1fixed
Cpevalkey-redis-compatNot reported7.2.12+dfsg1-0ubuntu0.1fixed
Cpevalkey-sentinelNot reported7.2.12+dfsg1-0ubuntu0.1fixed
Cpevalkey-serverNot reported7.2.12+dfsg1-0ubuntu0.1fixed
Cpevalkey-toolsNot reported7.2.12+dfsg1-0ubuntu0.1fixed
Alpinevalkey3.217.2.12-r0fixed
Alpinevalkey3.228.1.6-r0fixed
Alpinevalkey3.239.0.3-r0fixed
Alpinevalkey3.249.0.3-r0fixed
Ubuntuvalkey24.047.2.5+dfsg1-2ubuntu4~24.04.1vulnerable
Ubuntuvalkey24.047.2.7+dfsg1-0ubuntu0.24.04.1vulnerable
Ubuntuvalkey24.047.2.8+dfsg1-0ubuntu0.24.04.1vulnerable
Ubuntuvalkey24.047.2.8+dfsg1-0ubuntu0.24.04.2vulnerable
Ubuntuvalkey24.047.2.8+dfsg1-0ubuntu0.24.04.3vulnerable
Ubuntuvalkey24.047.2.10+dfsg1-0ubuntu0.1vulnerable
Ubuntuvalkey24.047.2.11+dfsg1-0ubuntu0.1vulnerable
Ubuntuvalkey24.047.2.11+dfsg1-0ubuntu0.2vulnerable
Ubuntuvalkey24.047.2.12+dfsg1-0ubuntu0.1fixed
Ubuntuvalkey25.108.0.2+dfsg1-1ubuntu1vulnerable
Ubuntuvalkey25.108.1.1+dfsg1-2ubuntu1vulnerable
Ubuntuvalkey25.108.1.3+dfsg1-0ubuntu1vulnerable
Ubuntuvalkey25.108.1.3+dfsg1-0ubuntu2vulnerable
Ubuntuvalkey25.108.1.4+dfsg1-0ubuntu0.1vulnerable
Ubuntuvalkey25.108.1.4+dfsg1-0ubuntu0.2vulnerable
Ubuntuvalkey25.108.1.6+dfsg1-0ubuntu0.1fixed

Fixed-version evidence

DistributionPackageTypeReleaseFixed versionUrgencyOriginBugs
Debianredissourcesid5:8.0.6-1not yet assignedNot reported[1132205]
Debianredissourceforky5:8.0.6-1not yet assignedNot reported[1132205]
Debianredissourcetrixie5:8.0.2-3+deb13u2not yet assignedNot reported[1132205]
Debianredissourcebookworm5:7.0.15-1~deb12u7not yet assignedNot reported[1132205]
CpevalkeycpeNot reported7.2.12+dfsg1-0ubuntu0.1Not reportedNot reportedNot reported
Cpevalkey-redis-compatcpeNot reported7.2.12+dfsg1-0ubuntu0.1Not reportedNot reportedNot reported
Cpevalkey-sentinelcpeNot reported7.2.12+dfsg1-0ubuntu0.1Not reportedNot reportedNot reported
Cpevalkey-servercpeNot reported7.2.12+dfsg1-0ubuntu0.1Not reportedNot reportedNot reported
Cpevalkey-toolscpeNot reported7.2.12+dfsg1-0ubuntu0.1Not reportedNot reportedNot reported
Alpinevalkeyapk3.217.2.12-r0Not reportedALPINE-CVE-2026-21863Not reported
Alpinevalkeyapk3.228.1.6-r0Not reportedALPINE-CVE-2026-21863Not reported
Alpinevalkeyapk3.239.0.3-r0Not reportedALPINE-CVE-2026-21863Not reported
Alpinevalkeyapk3.249.0.3-r0Not reportedALPINE-CVE-2026-21863Not reported
Ubuntuvalkeydeb24.047.2.12+dfsg1-0ubuntu0.1Not reportedUBUNTU-CVE-2026-21863Not reported
Ubuntuvalkeydeb25.108.1.6+dfsg1-0ubuntu0.1Not reportedUBUNTU-CVE-2026-21863Not reported

[Debian bug #1132205]

OpenFactory catalog packages

[Debian 12 (Bookworm)]

  • [redis]Fixed
    Details (4)

    • 5:7.0.15-1~deb12u7 · all · bookworm

      Fixed · Fixed: 5:7.0.15-1~deb12u7

      nvd · redis · debian · bookworm; nvd · redis · debian · 12

    • 5:7.0.15-1~deb12u7 · all · bookworm

      Fixed · Fixed: 5:7.0.15-1~deb12u7

      nvd · redis · debian · bookworm; nvd · redis · debian · 12

    • 5:7.0.15-1~deb12u9 · all · bookworm-security

      Fixed · Fixed: 5:7.0.15-1~deb12u7

      nvd · redis · debian · bookworm; nvd · redis · debian · 12

    • 5:7.0.15-1~deb12u9 · all · bookworm-security

      Fixed · Fixed: 5:7.0.15-1~deb12u7

      nvd · redis · debian · bookworm; nvd · redis · debian · 12

  • [redis-sentinel]Fixed

    Source package: [redis]

    Details (4)

    • 5:7.0.15-1~deb12u7 · amd64 · bookworm

      Fixed · Fixed: 5:7.0.15-1~deb12u7

      nvd · redis · debian · bookworm; nvd · redis · debian · 12

    • 5:7.0.15-1~deb12u7 · arm64 · bookworm

      Fixed · Fixed: 5:7.0.15-1~deb12u7

      nvd · redis · debian · bookworm; nvd · redis · debian · 12

    • 5:7.0.15-1~deb12u9 · amd64 · bookworm-security

      Fixed · Fixed: 5:7.0.15-1~deb12u7

      nvd · redis · debian · bookworm; nvd · redis · debian · 12

    • 5:7.0.15-1~deb12u9 · arm64 · bookworm-security

      Fixed · Fixed: 5:7.0.15-1~deb12u7

      nvd · redis · debian · bookworm; nvd · redis · debian · 12

  • [redis-server]Fixed

    Source package: [redis]

    Details (4)

    • 5:7.0.15-1~deb12u7 · amd64 · bookworm

      Fixed · Fixed: 5:7.0.15-1~deb12u7

      nvd · redis · debian · bookworm; nvd · redis · debian · 12

    • 5:7.0.15-1~deb12u7 · arm64 · bookworm

      Fixed · Fixed: 5:7.0.15-1~deb12u7

      nvd · redis · debian · bookworm; nvd · redis · debian · 12

    • 5:7.0.15-1~deb12u9 · amd64 · bookworm-security

      Fixed · Fixed: 5:7.0.15-1~deb12u7

      nvd · redis · debian · bookworm; nvd · redis · debian · 12

    • 5:7.0.15-1~deb12u9 · arm64 · bookworm-security

      Fixed · Fixed: 5:7.0.15-1~deb12u7

      nvd · redis · debian · bookworm; nvd · redis · debian · 12

  • [redis-tools]Fixed

    Source package: [redis]

    Details (4)

    • 5:7.0.15-1~deb12u7 · amd64 · bookworm

      Fixed · Fixed: 5:7.0.15-1~deb12u7

      nvd · redis · debian · bookworm; nvd · redis · debian · 12

    • 5:7.0.15-1~deb12u7 · arm64 · bookworm

      Fixed · Fixed: 5:7.0.15-1~deb12u7

      nvd · redis · debian · bookworm; nvd · redis · debian · 12

    • 5:7.0.15-1~deb12u9 · amd64 · bookworm-security

      Fixed · Fixed: 5:7.0.15-1~deb12u7

      nvd · redis · debian · bookworm; nvd · redis · debian · 12

    • 5:7.0.15-1~deb12u9 · arm64 · bookworm-security

      Fixed · Fixed: 5:7.0.15-1~deb12u7

      nvd · redis · debian · bookworm; nvd · redis · debian · 12

[Debian 13 (Trixie)]

  • [redis]Fixed
    Details (5)

    • 5:8.0.2-3+deb13u2 · all · trixie

      Fixed · Fixed: 5:8.0.2-3+deb13u2

      nvd · redis · debian · 13

    • 5:8.0.2-3+deb13u2 · all · trixie

      Fixed · Fixed: 5:8.0.2-3+deb13u2

      nvd · redis · debian · 13

    • 5:8.0.2-3+deb13u2 · all · trixie-security · Historical version

      Fixed · Fixed: 5:8.0.2-3+deb13u2

      nvd · redis · debian · 13

    • 5:8.0.2-3+deb13u2 · all · trixie-security

      Fixed · Fixed: 5:8.0.2-3+deb13u2

      nvd · redis · debian · 13

    • 5:8.0.2-3+deb13u3 · all · trixie-security

      Fixed · Fixed: 5:8.0.2-3+deb13u2

      nvd · redis · debian · 13

  • [redis-sentinel]Fixed

    Source package: [redis]

    Details (5)

    • 5:8.0.2-3+deb13u2 · amd64 · trixie

      Fixed · Fixed: 5:8.0.2-3+deb13u2

      nvd · redis · debian · 13

    • 5:8.0.2-3+deb13u2 · arm64 · trixie

      Fixed · Fixed: 5:8.0.2-3+deb13u2

      nvd · redis · debian · 13

    • 5:8.0.2-3+deb13u2 · amd64 · trixie-security · Historical version

      Fixed · Fixed: 5:8.0.2-3+deb13u2

      nvd · redis · debian · 13

    • 5:8.0.2-3+deb13u2 · arm64 · trixie-security

      Fixed · Fixed: 5:8.0.2-3+deb13u2

      nvd · redis · debian · 13

    • 5:8.0.2-3+deb13u3 · amd64 · trixie-security

      Fixed · Fixed: 5:8.0.2-3+deb13u2

      nvd · redis · debian · 13

  • [redis-server]Fixed

    Source package: [redis]

    Details (5)

    • 5:8.0.2-3+deb13u2 · amd64 · trixie

      Fixed · Fixed: 5:8.0.2-3+deb13u2

      nvd · redis · debian · 13

    • 5:8.0.2-3+deb13u2 · arm64 · trixie

      Fixed · Fixed: 5:8.0.2-3+deb13u2

      nvd · redis · debian · 13

    • 5:8.0.2-3+deb13u2 · amd64 · trixie-security · Historical version

      Fixed · Fixed: 5:8.0.2-3+deb13u2

      nvd · redis · debian · 13

    • 5:8.0.2-3+deb13u2 · arm64 · trixie-security

      Fixed · Fixed: 5:8.0.2-3+deb13u2

      nvd · redis · debian · 13

    • 5:8.0.2-3+deb13u3 · amd64 · trixie-security

      Fixed · Fixed: 5:8.0.2-3+deb13u2

      nvd · redis · debian · 13

  • [redis-tools]Fixed

    Source package: [redis]

    Details (5)

    • 5:8.0.2-3+deb13u2 · amd64 · trixie

      Fixed · Fixed: 5:8.0.2-3+deb13u2

      nvd · redis · debian · 13

    • 5:8.0.2-3+deb13u2 · arm64 · trixie

      Fixed · Fixed: 5:8.0.2-3+deb13u2

      nvd · redis · debian · 13

    • 5:8.0.2-3+deb13u2 · amd64 · trixie-security · Historical version

      Fixed · Fixed: 5:8.0.2-3+deb13u2

      nvd · redis · debian · 13

    • 5:8.0.2-3+deb13u2 · arm64 · trixie-security

      Fixed · Fixed: 5:8.0.2-3+deb13u2

      nvd · redis · debian · 13

    • 5:8.0.2-3+deb13u3 · amd64 · trixie-security

      Fixed · Fixed: 5:8.0.2-3+deb13u2

      nvd · redis · debian · 13

  • [valkey-sentinel]Fixed

    Source package: [valkey]

    Details (5)

    • 8.1.1+dfsg1-3+deb13u2 · amd64 · trixie

      Fixed · Fixed: 8.1.1+dfsg1-3+deb13u2

      nvd · valkey · debian · 13

    • 8.1.1+dfsg1-3+deb13u2 · arm64 · trixie

      Fixed · Fixed: 8.1.1+dfsg1-3+deb13u2

      nvd · valkey · debian · 13

    • 8.1.1+dfsg1-3+deb13u2 · amd64 · trixie-security · Historical version

      Fixed · Fixed: 8.1.1+dfsg1-3+deb13u2

      nvd · valkey · debian · 13

    • 8.1.1+dfsg1-3+deb13u2 · arm64 · trixie-security

      Fixed · Fixed: 8.1.1+dfsg1-3+deb13u2

      nvd · valkey · debian · 13

    • 8.1.1+dfsg1-3+deb13u3 · amd64 · trixie-security

      Fixed · Fixed: 8.1.1+dfsg1-3+deb13u2

      nvd · valkey · debian · 13

  • [valkey-server]Fixed

    Source package: [valkey]

    Details (5)

    • 8.1.1+dfsg1-3+deb13u2 · amd64 · trixie

      Fixed · Fixed: 8.1.1+dfsg1-3+deb13u2

      nvd · valkey · debian · 13

    • 8.1.1+dfsg1-3+deb13u2 · arm64 · trixie

      Fixed · Fixed: 8.1.1+dfsg1-3+deb13u2

      nvd · valkey · debian · 13

    • 8.1.1+dfsg1-3+deb13u2 · amd64 · trixie-security · Historical version

      Fixed · Fixed: 8.1.1+dfsg1-3+deb13u2

      nvd · valkey · debian · 13

    • 8.1.1+dfsg1-3+deb13u2 · arm64 · trixie-security

      Fixed · Fixed: 8.1.1+dfsg1-3+deb13u2

      nvd · valkey · debian · 13

    • 8.1.1+dfsg1-3+deb13u3 · amd64 · trixie-security

      Fixed · Fixed: 8.1.1+dfsg1-3+deb13u2

      nvd · valkey · debian · 13

  • [valkey-tools]Fixed

    Source package: [valkey]

    Details (5)

    • 8.1.1+dfsg1-3+deb13u2 · amd64 · trixie

      Fixed · Fixed: 8.1.1+dfsg1-3+deb13u2

      nvd · valkey · debian · 13

    • 8.1.1+dfsg1-3+deb13u2 · arm64 · trixie

      Fixed · Fixed: 8.1.1+dfsg1-3+deb13u2

      nvd · valkey · debian · 13

    • 8.1.1+dfsg1-3+deb13u2 · amd64 · trixie-security · Historical version

      Fixed · Fixed: 8.1.1+dfsg1-3+deb13u2

      nvd · valkey · debian · 13

    • 8.1.1+dfsg1-3+deb13u2 · arm64 · trixie-security

      Fixed · Fixed: 8.1.1+dfsg1-3+deb13u2

      nvd · valkey · debian · 13

    • 8.1.1+dfsg1-3+deb13u3 · amd64 · trixie-security

      Fixed · Fixed: 8.1.1+dfsg1-3+deb13u2

      nvd · valkey · debian · 13

Observed:

References

[CERT-Bund public advisories] · [Debian Security Tracker] · [FIRST EPSS] · [National Vulnerability Database (NVD)] · [OSV Package Vulnerability Database] · [Red Hat security advisories and VEX] · [SUSE security advisories and VEX] · [Ubuntu Security Notices (USN)]