Des attaquants exploitent une vulnérabilité d'UnrealIRCd qui permet à un utilisateur d'injecter des commandes avec les droits du serveur sur les réseaux de discussion comptant au moins deux serveurs liés. L'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté la faille à son catalogue des vulnérabilités connues exploitées (Known Exploited Vulnerabilities) le 13 novembre 2026. La correction devient donc prioritaire pour les organisations qui exploitent des serveurs concernés.
La vulnérabilité, identifiée sous le numéro CVE-2026-114713, touche les versions d'UnrealIRCd de 6.0.0 à 6.2.7.1 exclue. UnrealIRCd est un serveur open source pour l'Internet Relay Chat (IRC), un protocole de conversations textuelles en temps réel. La faille affiche un score de gravité CVSS de 8,6 sur 10.
L’alerte de la CISA confirme des preuves d'exploitation active. Par ailleurs, The Hacker News a cité Bram Matthys, responsable du projet et mainteneur d'UnrealIRCd, aussi connu sous le pseudonyme de Syzop, qui mettait en garde contre l'exploitation de la faille sur Internet par des attaquants et exhortait les administrateurs à appliquer immédiatement la protection.
Comment une balise de message devient une commande serveur
Le problème se situe dans le module de réponse étiquetée d'UnrealIRCd, qui gère les étiquettes attachées aux messages afin de faire correspondre les réponses aux requêtes. La description de la National Vulnerability Database, reprise par The Hacker News, indique que le module n'échappe pas la balise de message IRCv3 label lorsqu'il la copie dans les réponses.
Cette lacune permet à un contenu d'étiquette spécialement forgé d'être interprété comme une commande de serveur à serveur, au lieu de rester une donnée de message. Tout utilisateur d'un réseau comptant au moins deux serveurs liés peut exploiter la faille, et les commandes injectées s'exécutent avec les droits du serveur. L'impact signalé est l'exécution arbitraire de commandes avec les privilèges de serveur ou d'opérateur IRC.
Selon The Hacker News, les tentatives d'exploitation ont commencé le lendemain de la version de correctif d'urgence publiée le 7 novembre 2026, mais les activités et les objectifs des attaquants restent inconnus. Matthys décrit cette vulnérabilité comme le problème le plus critique découvert dans UnrealIRCd depuis quinze ans.
Le rapport indique également que Matthys a publié UnrealIRCd 6.2.7.1 pour corriger plusieurs failles de sécurité identifiées avec l'aide de l'intelligence artificielle, dont CVE-2026-114713.
Ce que doivent faire les administrateurs
Les administrateurs de serveurs UnrealIRCd concernés doivent passer à la version 6.2.7.1. Dans l'avertissement cité par The Hacker News, Matthys a aussi invité les opérateurs à appliquer le correctif à chaud ou, à défaut, à déployer le contournement spamfilter.
Pour les agences civiles de l'exécutif fédéral américain, The Hacker News indique une échéance au 16 novembre 2026 pour appliquer les correctifs, au titre de la Binding Operational Directive 26-04. Selon la CISA, cette directive donne la priorité à la correction rapide des vulnérabilités cataloguées à haut risque sur les actifs exposés publiquement, qui permettent un contrôle total après exploitation. Elle fixe aussi l'obligation de vérifier si les systèmes ont été compromis avant d'appliquer les correctifs.
Dans le même communiqué, la CISA a ajouté une deuxième vulnérabilité : CVE-2026-123039, une faille d'attribution incorrecte de permissions touchant plusieurs produits Check Point. La directive ne s'applique qu'aux agences civiles fédérales, mais la CISA encourage toutes les organisations à prioriser la correction des vulnérabilités de son catalogue des failles connues exploitées.
