CISA-მ აქტიურად ექსპლუატირებადი UnrealIRCd-ის ხარვეზი KEV კატალოგში დაამატა

CISA-მ პარასკევს ღია კოდის IRC სერვერის, UnrealIRCd-ის, მაღალი სიმძიმის ხარვეზი ცნობილი ექსპლუატირებადი დაუცველობების კატალოგში დაამატა მას შემდეგ, რაც გამოჩნდა ცნობები მისი აქტიური ექსპლუატაციის შესახებ. CVE-2026-114713 უსაფრთხოების ხარვეზს CVSS-ის შეფასება 8,6 აქვს და მისი საშუალებით შესაძლებელია თვითნებური ბრძანებები შესრულდეს სერვერის ან IRCOp-ის უფლებებით. ფედერალური სამოქალაქო აღმასრულებელი შტოს სააგენტოებმა გამოსწორებები 2026 წლის 16 ნოემბრამდე უნდა განახორციელონ სავალდებულო ოპერატიული დირექტივის (BOD) 26-04-ის შესაბამისად.

რისი საშუალებას იძლევა ხარვეზი

ხარვეზი აღწერილია როგორც გამყოფების არასათანადო ნეიტრალიზაცია. NIST-ის National Vulnerability Database-ში მოცემული აღწერის თანახმად, UnrealIRCd-ის 6.0.0 ვერსიიდან 6.2.7.1-ის გამოშვებამდე labeled-response მოდული არ ახდენს IRCv3-ის 'label' შეტყობინების ტეგის ესკეიპირებას, როცა მას პასუხებში აბრუნებს. ეს საშუალებას აძლევს ნებისმიერ მომხმარებელს იმ ქსელში, სადაც ორი ან მეტი დაკავშირებული სერვერია, ინექციოს სერვერიდან სერვერზე გაგზავნილი ბრძანებები, რომლებიც სერვერის უფლებამოსილებით სრულდება.

ექსპლუატაცია და მოვლაზე პასუხისმგებელი პირის რეაქცია

UnrealIRCd-ის პროექტის ხელმძღვანელმა, დეველოპერმა და მოვლაზე პასუხისმგებელმა Bram Matthys-მა, რომელიც Syzop-ის სახელითაც არის ცნობილი, გამოუშვა UnrealIRCd 6.2.7.1, რათა გამოესწორებინა ხელოვნური ინტელექტის დახმარებით გამოვლენილი რამდენიმე უსაფრთხოების დაუცველობა, მათ შორის CVE-2026-114713. CISA-მ ეს ხარვეზი კატალოგში ამ გამოშვებიდან თითქმის ერთი კვირის შემდეგ დაამატა. Matthys-მა თქვა: „ჩვენ ახლა ვხედავთ, რომ ინტერნეტში ბოროტმოქმედები ამ პრობლემას იყენებენ“ და მომხმარებლებს მოუწოდა, რაც შეიძლება მალე განახორციელონ hot-patch ან განაახლონ სერვერები, ან მინიმუმ გამოიყენონ spamfilter-ის დროებითი გადაწყვეტა.

ამბობენ, რომ ექსპლუატაციის მცდელობები დაიწყო 2026 წლის 7 ნოემბერს გამოსული hotfix-იდან ერთი დღის შემდეგ. ამჟამად უცნობია მავნე აქტივობის ზუსტი დეტალები და მისი საბოლოო მიზნები. Matthys-მა ეს ხარვეზი აღწერა როგორც „ყველაზე კრიტიკული პრობლემა“, რომელიც UnrealIRCd-ში ბოლო 15 წლის განმავლობაში გამოვლინდა.

ვადა ფედერალური სააგენტოებისთვის

ფედერალური სამოქალაქო აღმასრულებელი შტოს სააგენტოებს 2026 წლის 16 ნოემბრამდე აქვთ დრო, რომ გამოსწორებები განახორციელონ სავალდებულო ოპერატიული დირექტივის (BOD) 26-04-ის მიხედვით: რისკზე დაფუძნებული უსაფრთხოების განახლებების პრიორიტეტიზაცია.

წყაროები: The Hacker News