Los atacantes están explotando una vulnerabilidad de UnrealIRCd que permite a un usuario inyectar comandos con autoridad de servidor en redes de chat con dos o más servidores enlazados. La Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA) añadió el fallo a su catálogo de Vulnerabilidades Explotadas Conocidas el 13 de noviembre de 2026, lo que convierte la corrección en una prioridad para las organizaciones que ejecutan servidores afectados.
La vulnerabilidad, CVE-2026-114713, afecta a las versiones de UnrealIRCd desde la 6.0.0 hasta la 6.2.7.1, sin incluir esta última. UnrealIRCd es un servidor de código abierto para Internet Relay Chat (IRC), un protocolo para conversaciones de texto en tiempo real. El fallo tiene una puntuación de gravedad CVSS de 8,6 sobre 10.
La alerta de CISA confirma indicios de explotación activa. Por otra parte, The Hacker News citó al responsable y mantenedor del proyecto UnrealIRCd, Bram Matthys, también conocido como Syzop, quien advirtió de que los atacantes estaban explotando el problema en internet e instó a los administradores a aplicar protecciones de inmediato.
Cómo una etiqueta de mensaje se convierte en un comando de servidor
El problema está en el módulo de respuesta etiquetada de UnrealIRCd, que gestiona las etiquetas adjuntas a los mensajes para poder asociar las respuestas con las solicitudes. La descripción de la Base Nacional de Datos de Vulnerabilidades, reproducida por The Hacker News, indica que el módulo no escapa la etiqueta de mensaje label de IRCv3 al copiarla en las respuestas.
Ese fallo permite que un contenido de etiqueta especialmente diseñado se interprete como comandos de servidor a servidor, en lugar de quedarse como datos del mensaje. Cualquier usuario de una red con dos o más servidores enlazados puede explotar el fallo, y los comandos inyectados se ejecutan con autoridad de servidor. El impacto informado es la ejecución arbitraria de comandos con privilegios de servidor o de operador de IRC.
The Hacker News informó de que los intentos de explotación comenzaron un día después de la publicación del hotfix del 7 de noviembre de 2026, aunque se desconocen las actividades y los objetivos de los atacantes. Matthys describió la vulnerabilidad como el problema más crítico encontrado en UnrealIRCd en 15 años.
El informe también señalaba que Matthys publicó UnrealIRCd 6.2.7.1 para corregir varias vulnerabilidades de seguridad identificadas con ayuda de inteligencia artificial, entre ellas CVE-2026-114713.
Qué deben hacer los administradores
Los administradores de servidores UnrealIRCd afectados deben actualizar a la versión 6.2.7.1. En la advertencia citada por The Hacker News, Matthys también instó a los operadores a aplicar el parche en caliente (hot patch) o, como mínimo, desplegar la solución alternativa de spamfilter.
Para las agencias civiles federales del Poder Ejecutivo de Estados Unidos, The Hacker News informa de un plazo hasta el 16 de noviembre de 2026 para aplicar las correcciones según la Binding Operational Directive 26-04. CISA indica que esa directiva prioriza la corrección rápida de vulnerabilidades catalogadas de alto riesgo en activos expuestos públicamente que, tras ser explotadas, otorgan control total, y establece qué se espera en cuanto a comprobar si los sistemas fueron comprometidos antes de parchearlos.
CISA añadió una segunda vulnerabilidad en el mismo anuncio: CVE-2026-123039, un fallo de asignación incorrecta de permisos que afecta a varios productos de Check Point. La directiva se aplica solo a las agencias civiles federales; CISA anima a todas las organizaciones a dar prioridad a la corrección de las vulnerabilidades de su catálogo de explotadas conocidas.
