UnrealIRCd: פגיעות הזרקת פקודות בין שרתים מנוצלת בפועל ונוספה ל-KEV

בשרת הצ'אט UnrealIRCd נמצאה פגיעות הזרקת פקודות שמנוצלת כבר ברשת. מי שמפעיל רשת עם שני שרתים מקושרים או יותר צריך לעדכן עכשיו.

מזהה	CVE-2026-114713
מוצר וגרסאות מושפעות	UnrealIRCd 6.0.0 ועד גרסה שקדמה ל-6.2.7.1
חומרה (CVSS)	8.6 (גבוהה)
מנוצל בפועל	כן, לפי מתחזק הפרויקט; נוספה ל-KEV ב-13/11/2026
סטטוס תיקון	תוקן ב-6.2.7.1

מה קרה

המודול labeled-response לא מנטרל כראוי את תג ההודעה label של IRCv3 כשהוא מוחזר בתשובות. ברשת עם שני שרתים מקושרים או יותר, כל משתמש יכול להשתמש בכך כדי להזריק פקודות שרת-לשרת, שרצות עם סמכות של שרת.

המתחזק, Bram Matthys, מסר שהוא רואה ניצול ברשת, שהחל כיום לאחר ה-hotfix מה-7 בנובמבר, ושמדובר לדבריו בבעיה הקריטית ביותר ב-UnrealIRCd זה 15 שנה. מטרות התוקפים והיקף הפעילות אינם ידועים. CISA הוסיפה את הפגיעות ל-KEV וקבעה לגופים פדרליים בארה"ב מועד תיקון ב-16/11/2026.

נקודות לשים לב

עדכן ל-UnrealIRCd 6.2.7.1 או החל את ה-hotfix. בדוק בכל השרתים המקושרים ברשת, לא רק באחד.
אם אי אפשר לעדכן מיד, המתחזק הזכיר workaround מבוסס spamfilter. פרטיו לא פורסמו בסיקור שקראתי, ולכן עיין בפוסט הרשמי בפורום הפרויקט.
לא פורסמו אינדיקטורים לפגיעה, ולכן בדוק בלוגים פקודות שרת-לשרת חריגות ופעילות IRCop לא מוכרת.

מקורות: The Hacker News · פורום UnrealIRCd · NVD