CISA aktiv istismar olunan UnrealIRCd zəifliyini KEV kataloquna əlavə etdi

CISA cümə günü aktiv istismar hesabatlarından sonra açıq mənbəli IRC serveri olan UnrealIRCd-də yüksək təhlükəli bir zəifliyi Məlum İstismar Olunan Zəifliklər kataloquna əlavə etdi. CVE-2026-114713 nömrəli zəiflik 8.6 CVSS balına malikdir və server və ya IRCOp səlahiyyətləri ilə ixtiyari əmrlərin işlədilməsinə imkan verə bilər. Federal mülki icra hakimiyyəti qurumları 26-04 saylı Məcburi Əməliyyat Direktivi əsasında 16 noyabr 2026-cı ilədək düzəlişləri tətbiq etməlidirlər.

Zəiflik nəyə imkan verir

Zəiflik ayırıcıların düzgün neytrallaşdırılmaması kimi təsvir olunur. NIST Milli Zəifliklər Verilənlər Bazasının təsvirinə görə, UnrealIRCd-in 6.2.7.1-dən əvvəlki, 6.0.0-dan başlayan versiyalarında labeled-response modulu cavablara əks etdirilərkən IRCv3 'label' mesaj etiketini escape etmir. Bu, iki və ya daha çox əlaqəli serveri olan şəbəkədə istənilən istifadəçiyə server səlahiyyəti ilə icra olunan serverdən-serverə əmrlər yeritməyə imkan verir.

İstismar və layihə rəhbərinin cavabı

UnrealIRCd layihəsinin rəhbəri, tərtibatçısı və saxlayıcısı Bram Matthys, həmçinin Syzop kimi tanınan, süni intellektin köməyi ilə müəyyən edilmiş bir neçə təhlükəsizlik zəifliyini, o cümlədən CVE-2026-114713-ü aradan qaldırmaq üçün UnrealIRCd 6.2.7.1 versiyasını buraxdı. CISA-nın əlavəsi həmin buraxılışdan təxminən bir həftə sonra baş verdi. Matthys dedi: 'Biz internetdə pis niyyətli şəxslərin bu problemi indi istismar etdiyini görürük' və istifadəçiləri serverlərini hot-patch etməyə və ya yeniləməyə, yaxud ən azı spamfilter həll yolunu tətbiq etməyə mümkün qədər tez çağırış etdi.

İstismar cəhdlərinin 7 noyabr 2026-cı ildə hotfix-in buraxılmasından bir gün sonra başladığı bildirilir. Zərərli fəaliyyətin dəqiq təfərrüatları və onun son məqsədləri hazırda məlum deyil. Matthys zəifliyi son 15 il ərzində UnrealIRCd-də tapılmış 'ən kritik problem' kimi təsvir etdi.

Federal qurumlar üçün son tarix

Federal mülki icra hakimiyyəti qurumlarının 26-04 saylı Məcburi Əməliyyat Direktivi (BOD): Riskə Əsaslanaraq Təhlükəsizlik Yenilənmələrinin Prioritetləşdirilməsi əsasında düzəlişləri tətbiq etmək üçün 16 noyabr 2026-cı ilə qədər vaxtı var.

Mənbələr: The Hacker News