Gli attaccanti stanno sfruttando una vulnerabilità di UnrealIRCd che consente a un utente di iniettare comandi con i privilegi del server nelle reti di chat con due o più server collegati. La Cybersecurity and Infrastructure Security Agency (CISA) statunitense ha inserito la falla nel proprio catalogo Known Exploited Vulnerabilities il 13 novembre 2026, rendendo la correzione una priorità per le organizzazioni che gestiscono server vulnerabili.
La vulnerabilità, CVE-2026-114713, riguarda le versioni di UnrealIRCd dalla 6.0.0 fino alla 6.2.7.1 esclusa. UnrealIRCd è un server open source per l'Internet Relay Chat (IRC), un protocollo per conversazioni di testo in tempo reale. La falla ha un punteggio di gravità CVSS di 8,6 su 10.
L'avviso della CISA conferma prove di sfruttamento attivo. Parallelamente, The Hacker News ha citato Bram Matthys, responsabile del progetto e manutentore di UnrealIRCd, noto anche come Syzop, che avvertiva che gli attaccanti stavano sfruttando il problema su internet ed esortava gli amministratori ad applicare subito le protezioni.
Come un tag di messaggio diventa un comando del server
Il problema riguarda il modulo labeled-response di UnrealIRCd, che gestisce le etichette associate ai messaggi in modo che le risposte possano essere abbinate alle richieste. Secondo la descrizione del National Vulnerability Database, riportata da The Hacker News, il modulo non esegue l'escape del tag di messaggio label di IRCv3 quando lo copia nelle risposte.
Questa mancanza fa sì che contenuti di etichetta appositamente costruiti vengano interpretati come comandi tra server, anziché restare dati del messaggio. Qualsiasi utente di una rete con due o più server collegati può sfruttare la falla, e i comandi iniettati vengono eseguiti con i privilegi del server. L'impatto segnalato è l'esecuzione di comandi arbitrari con privilegi di server o di operatore IRC.
The Hacker News riferisce che i tentativi di sfruttamento sono iniziati un giorno dopo il rilascio della hotfix del 7 novembre 2026, anche se attività e obiettivi degli attaccanti restano sconosciuti. Matthys ha descritto la vulnerabilità come il problema più critico individuato in UnrealIRCd negli ultimi quindici anni.
Il rapporto riferisce inoltre che Matthys ha rilasciato UnrealIRCd 6.2.7.1 per correggere diverse vulnerabilità di sicurezza individuate con l'aiuto dell'intelligenza artificiale, tra cui CVE-2026-114713.
Cosa devono fare gli amministratori
Gli amministratori che gestiscono server UnrealIRCd vulnerabili dovrebbero aggiornare alla versione 6.2.7.1. Nell'avviso citato da The Hacker News, Matthys esortava inoltre gli operatori ad applicare la hot patch o, almeno, a implementare la soluzione alternativa spamfilter.
Per le agenzie civili federali del ramo esecutivo degli Stati Uniti, The Hacker News riporta una scadenza del 16 novembre 2026 per applicare le correzioni, ai sensi della Binding Operational Directive 26-04. La CISA afferma che la direttiva dà priorità alla rapida correzione delle vulnerabilità ad alto rischio presenti nel catalogo, che riguardano asset esposti pubblicamente e che, una volta sfruttate, concedono il controllo totale. Stabilisce inoltre cosa attendersi in termini di verifica di eventuali compromissioni prima dell'applicazione delle patch.
Nello stesso comunicato la CISA ha aggiunto una seconda vulnerabilità: CVE-2026-123039, una falla di assegnazione errata dei permessi che riguarda diversi prodotti Check Point. La direttiva si applica solo alle agenzie civili federali; la CISA invita tutte le organizzazioni a dare priorità alla correzione delle vulnerabilità presenti nel proprio catalogo delle vulnerabilità note come sfruttate.
