CISA הוסיפה פרצת UnrealIRCd מנוצלת באופן פעיל לקטלוג KEV

CISA הוסיפה ביום שישי פרצת אבטחה חמורה ב-UnrealIRCd, שרת IRC קוד פתוח, לקטלוג הפגיעויות המנוצלות הידועות, בעקבות דיווחים על ניצול פעיל. הפגיעות, CVE-2026-114713, מקבלת ציון CVSS של 8.6 ועשויה לאפשר הרצת פקודות שרירותיות עם הרשאות שרת או IRCOp. סוכנויות Federal Civilian Executive Branch צריכות ליישם תיקונים עד 16 בנובמבר 2026, תחת Binding Operational Directive 26-04.

מה הפגיעות מאפשרת

הפגיעות מתוארת כנייטרוליזציה לא תקינה של מפרידים. לפי תיאור NIST National Vulnerability Database, מודול ה-labeled-response ב-UnrealIRCd 6.0.0 לפני 6.2.7.1 אינו מבצע escaping לתגית ההודעה 'label' של IRCv3 כשמחזיר אותה בתשובות. זה מאפשר לכל משתמש ברשת עם שני שרתים מקושרים או יותר להזריק פקודות שרת-לשרת המבוצעות בסמכות שרת.

ניצול ותגובת המתחזק

Bram Matthys, הידוע גם כ-Syzop, מנהיג הפרויקט, מפתח ומתחזק של UnrealIRCd, שחרר את UnrealIRCd 6.2.7.1 כדי לטפל במספר פגיעויות אבטחה שזוהו בעזרת בינה מלאכותית, בהן CVE-2026-114713. הוספת CISA הגיעה כשבוע אחרי השחרור. Matthys אמר: 'אנו רואים רעים מנצלים את הבעיה הזו באינטרנט כרגע', וקרא למשתמשים לבצע hot-patch או עדכון לשרתים, או לכל הפחות לפרוס את פתרון ה-spamfilter, בהקדם האפשרי.

לפי הדיווחים, ניסיונות הניצול החלו יום אחרי שחרור ה-hotfix ב-7 בנובמבר 2026. הפרטים המדויקים של הפעילות הזדונית ומטרותיה הסופיות אינם ידועים כרגע. Matthys תיאר את הפגיעות כ'הבעיה הקריטית ביותר' שנמצאה ב-UnrealIRCd ב-15 השנים האחרונות.

דדליין לסוכנויות פדרליות

סוכנויות Federal Civilian Executive Branch יש להן זמן עד 16 בנובמבר 2026 ליישם את התיקונים תחת Binding Operational Directive (BOD) 26-04: Prioritizing Security Updates Based on Risk.

מקורות: The Hacker News