Een ernstige kwetsbaarheid in UnrealIRCd maakt het mogelijk om serverniveau-commando's uit te voeren, met actieve exploitatie gemeld door CISA.
De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft een ernstige kwetsbaarheid in UnrealIRCd, een open-source Internet Relay Chat (IRC) server, toegevoegd aan haar Known Exploited Vulnerabilities (KEV) catalogus. Het gaat om CVE-2026-114713, een fout die het mogelijk maakt om commando's op serverniveau uit te voeren via een onjuiste neutralisatie van delimiters.
Volgens de beschrijving van de kwetsbaarheid in de NIST National Vulnerability Database ontsnapt de labeled-response module in UnrealIRCd versies 6.0.0 tot en met 6.2.7.0 niet correct aan het IRCv3 'label' berichttag bij het terugsturen van berichten. Hierdoor kan elke gebruiker op een netwerk met twee of meer gekoppelde servers server-naar-server commando's injecteren die met serverrechten worden uitgevoerd.
De ontwikkelaar en beheerder van UnrealIRCd, Bram Matthys (alias Syzop), bracht op 7 november 2026 versie 6.2.7.1 uit om deze en andere kwetsbaarheden, mede ontdekt met behulp van kunstmatige intelligentie, te verhelpen. Matthys gaf aan dat er al actieve exploitatie van deze kwetsbaarheid plaatsvindt en benadrukte het belang van het direct toepassen van de patch of het inzetten van een spamfilter als tijdelijke maatregel. Exploitatiepogingen werden al een dag na de release van de update waargenomen.
De kwetsbaarheid wordt door de beheerder omschreven als de meest kritieke in UnrealIRCd in de afgelopen 15 jaar. Onder de Binding Operational Directive (BOD) 26-04 moeten federale civiele agentschappen in de Verenigde Staten de patch uiterlijk 16 november 2026 hebben toegepast. De precieze details en doelstellingen van de aanvallen zijn nog onbekend.
