Angreifer nutzen eine Schwachstelle in UnrealIRCd aus, mit der ein Nutzer in Chat-Netzwerken mit zwei oder mehr verknüpften Servern Befehle mit Server-Berechtigung einschleusen kann. Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat die Lücke am 13. November 2026 in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities) aufgenommen. Damit wird die Behebung für Organisationen, die betroffene Server betreiben, zur Priorität.
Die Schwachstelle mit der Kennung CVE-2026-114713 betrifft UnrealIRCd-Versionen ab 6.0.0 bis unter 6.2.7.1. UnrealIRCd ist ein quelloffener Server für Internet Relay Chat (IRC), ein Protokoll für Textchats in Echtzeit. Die Lücke erhält einen CVSS-Schweregrad von 8,6 von 10.
CISA-Warnmeldung bestätigt Hinweise auf eine laufende Ausnutzung. Separat zitierte The Hacker News den Projektleiter und Maintainer von UnrealIRCd, Bram Matthys, alias Syzop, mit der Warnung, dass Angreifer die Lücke im Internet ausnutzten. Er forderte Administratoren auf, den Schutz umgehend anzuwenden.
Wie aus einem Nachrichten-Tag ein Serverbefehl wird
Das Problem liegt im labeled-response-Modul von UnrealIRCd. Dieses verarbeitet Labels, die an Nachrichten angehängt werden, damit Antworten den Anfragen zugeordnet werden können. Laut der Beschreibung der National Vulnerability Database, die The Hacker News wiedergibt, maskiert das Modul den IRCv3-Nachrichten-Tag label beim Kopieren in Antworten nicht korrekt.
Dadurch kann speziell gestalteter Label-Inhalt als Befehle zwischen Servern interpretiert werden, statt als reine Nachrichtendaten zu bleiben. Jeder Nutzer in einem Netzwerk mit zwei oder mehr verknüpften Servern kann die Schwachstelle ausnutzen, wobei die eingeschleusten Befehle unter Server-Berechtigung ausgeführt werden. Den Berichten zufolge besteht die Auswirkung in der beliebigen Ausführung von Befehlen mit Server- oder IRC-Operator-Rechten.
The Hacker News berichtete, dass Ausnutzungsversuche einen Tag nach dem Hotfix-Release vom 7. November 2026 begannen. Welche Aktivitäten und Ziele die Angreifer verfolgten, ist allerdings unbekannt. Matthys bezeichnete die Schwachstelle als das kritischste Problem, das in den vergangenen 15 Jahren in UnrealIRCd gefunden wurde.
Dem Bericht zufolge veröffentlichte Matthys außerdem UnrealIRCd 6.2.7.1, um mehrere Sicherheitslücken zu beheben. Diese wurden mithilfe künstlicher Intelligenz identifiziert, darunter CVE-2026-114713.
Was Administratoren tun sollten
Administratoren, die betroffene UnrealIRCd-Server betreiben, sollten auf Version 6.2.7.1 aktualisieren. In der von The Hacker News zitierten Warnung rief Matthys die Betreiber außerdem dazu auf, den Hot Patch einzuspielen oder zumindest den Spamfilter-Workaround zu aktivieren.
Für zivile Behörden der US-Bundesexekutive nennt The Hacker News laut Binding Operational Directive 26-04 eine Frist bis zum 16. November 2026, um die Korrekturen anzuwenden. CISA zufolge priorisiert diese Anweisung die rasche Behebung hochriskanter, im Katalog geführter Schwachstellen auf öffentlich erreichbaren Systemen, die nach einer Ausnutzung vollständige Kontrolle gewähren. Außerdem formuliert sie Erwartungen, Systeme vor dem Patchen auf eine mögliche Kompromittierung zu prüfen.
Im selben Hinweis fügte CISA eine zweite Schwachstelle hinzu: CVE-2026-123039, eine fehlerhafte Rechtevergabe (incorrect permission assignment), die mehrere Check-Point-Produkte betrifft. Die Anweisung gilt nur für zivile Bundesbehörden. CISA empfiehlt allen Organisationen jedoch, die Behebung von Schwachstellen aus dem Katalog bekannter ausgenutzter Schwachstellen zu priorisieren.
