CISA تضيف ثغرة UnrealIRCd المستغلة بنشاط إلى كتالوج KEV

أضافت CISA يوم الجمعة ثغرة عالية الخطورة في UnrealIRCd، وهو خادم IRC مفتوح المصدر، إلى كتالوج الثغرات المستغلة المعروفة (KEV) بعد تقارير عن استغلال نشط. الثغرة، CVE-2026-114713، حصلت على درجة CVSS مقدارها 8.6 وقد تسمح بتشغيل أوامر عشوائية بامتيازات الخادم أو IRCOp. يجب على وكالات الفرع التنفيذي المدني الاتحادي تطبيق الإصلاحات بحلول 16 نوفمبر 2026، بموجب التوجيه التشغيلي الملزم 26-04.

ما تسمح به الثغرة

وُصفت الثغرة بأنها تحييد غير صحيح للحدود. وفقاً لوصف قاعدة بيانات الثغرات الوطنية (NIST NVD)، لا تقوم وحدة labeled-response في UnrealIRCd 6.0.0 قبل 6.2.7.1 بتهريب علامة رسالة IRCv3 'label' عند إعادتها في الردود. وهذا يسمح لأي مستخدم على شبكة تحتوي على خادمين أو أكثر مرتبطين بحقن أوامر من خادم إلى خادم تُنفَّذ بصلاحية الخادم.

الاستغلال واستجابة المشرف

أصدر برام ماتيس (Bram Matthys)، قائد مشروع UnrealIRCd ومطوره ومشرفه، والمعروف أيضاً باسم Syzop، الإصدار UnrealIRCd 6.2.7.1 لمعالجة عدة ثغرات أمنية تم تحديدها بمساعدة الذكاء الاصطناعي، بما في ذلك CVE-2026-114713. جاءت إضافة CISA بعد نحو أسبوع من ذلك الإصدار. وقال ماتيس: “نحن نرى أطرافاً خبيثة تستغل هذه المشكلة على الإنترنت الآن”، وحث المستخدمين على تطبيق تصحيح ساخن (hot-patch) أو تحديث خوادمهم، أو على الأقل نشر حل spamfilter البديل، في أقرب وقت ممكن.

يُقال إن محاولات الاستغلال بدأت بعد يوم من إصدار التصحيح الساخن في 7 نوفمبر 2026. تفاصيل النشاط الخبيث وأهدافه النهائية غير معروفة حالياً. وصف ماتيس الثغرة بأنها “القضية الأكثر خطورة” المكتشفة في UnrealIRCd خلال الـ15 سنة الماضية.

الموعد النهائي للوكالات الاتحادية

لدى وكالات الفرع التنفيذي المدني الاتحادي وقت حتى 16 نوفمبر 2026 لتطبيق الإصلاحات بموجب التوجيه التشغيلي الملزم (BOD) 26-04: تحديد أولويات تحديثات الأمان بناءً على المخاطر.

المصادر: The Hacker News