CISA, Aktif Olarak Sömürülen UnrealIRCd Açığını KEV Kataloguna Ekledi

CISA, cuma günü aktif sömürü raporlarının ardından açık kaynak IRC sunucusu UnrealIRCd'deki yüksek riskli bir açığı Known Exploited Vulnerabilities kataloguna ekledi. CVE-2026-114713 olarak tanımlanan güvenlik açığı 8.6 CVSS puanına sahip ve komutların sunucu veya IRCOp yetkileriyle çalıştırılmasına izin verebilir. Federal Civilian Executive Branch kurumları, Binding Operational Directive 26-04 kapsamında 16 Kasım 2026'ya kadar düzeltmeleri uygulamalıdır.

Açığın izin verdiği işlemler

Açık, ayırıcıların hatalı nötralize edilmesi olarak tanımlanıyor. NIST Ulusal Güvenlik Açığı Veritabanı açıklamasına göre, UnrealIRCd 6.0.0 ile 6.2.7.1 öncesi sürümlerdeki labeled-response modülü, IRCv3 'label' mesaj etiketini yanıtlara yansıtırken kaçış (escape) işlemi uygulamıyor. Bu durum, iki veya daha fazla bağlı sunucusu olan bir ağdaki herhangi bir kullanıcının, sunucu yetkisiyle çalıştırılan sunucudan sunucuya komutlar enjekte etmesine izin veriyor.

Sömürü ve bakımcı yanıtı

UnrealIRCd proje lideri, geliştiricisi ve bakımcısı Bram Matthys (Syzop olarak da bilinir), yapay zekâ yardımıyla belirlenen birden fazla güvenlik açığını, CVE-2026-114713 dahil, gidermek için UnrealIRCd 6.2.7.1 sürümünü yayımladı. CISA'nın kataloga eklemesi, bu yayımlamadan yaklaşık bir hafta sonra geldi. Matthys, 'Şu anda internet üzerinde kötü niyetli kişilerin bu sorunu sömürdüğünü görüyoruz' dedi ve kullanıcıları en kısa sürede hot-patch uygulamaya veya sunucularını güncellemeye, ya da en azından spamfilter geçici çözümünü devreye almaya çağırdı.

Sömürü girişimlerinin 7 Kasım 2026'da yayımlanan hotfix'in bir gün sonrasında başladığı söyleniyor. Kötü niyetli etkinliğin tam ayrıntıları ve nihai amaçları şu an için bilinmiyor. Matthys, güvenlik açığını son 15 yılda UnrealIRCd'de bulunan 'en kritik sorun' olarak tanımladı.

Federal kurumlar için son tarih

Federal Civilian Executive Branch kurumlarının, Binding Operational Directive (BOD) 26-04: Riske Dayalı Güvenlik Güncellemelerine Öncelik Verme kapsamında düzeltmeleri uygulamak için 16 Kasım 2026'ya kadar süresi var.

Kaynaklar: The Hacker News