CISA додала активно експлуатовану вразливість UnrealIRCd до каталогу KEV

CISA у п'ятницю додала вразливість високої критичності в UnrealIRCd, сервері IRC з відкритим кодом, до свого каталогу відомих експлуатованих вразливостей після повідомлень про активну експлуатацію. Вразливість CVE-2026-114713 має оцінку CVSS 8.6 і може дозволити виконання довільних команд із привілеями сервера або IRCOp. Агентства Федеральної цивільної виконавчої гілки мають застосувати виправлення до 16 листопада 2026 року відповідно до Binding Operational Directive 26-04.

Що дозволяє вразливість

Вразливість описується як неналежне нейтралізування роздільників. Згідно з описом у базі даних вразливостей NIST, модуль labeled-response в UnrealIRCd 6.0.0 до 6.2.7.1 не екранує тег повідомлення IRCv3 'label' під час його відлуння у відповідях. Це дозволяє будь-якому користувачеві в мережі з двома або більше пов'язаними серверами впроваджувати команди сервер-до-сервера, які виконуються з повноваженнями сервера.

Експлуатація та реакція супровідника

Керівник проєкту, розробник і супровідник UnrealIRCd Брам Маттіс, також відомий як Syzop, випустив UnrealIRCd 6.2.7.1 для усунення кількох вразливостей безпеки, виявлених за допомогою штучного інтелекту, зокрема CVE-2026-114713. Додавання CISA відбулося майже через тиждень після цього випуску. Маттіс сказав: «Зараз ми бачимо, як зловмисники експлуатують цю проблему в інтернеті», і закликав користувачів якомога швидше застосувати hot-patch або оновити сервери, або принаймні розгорнути обхідний варіант spamfilter.

За повідомленнями, спроби експлуатації почалися через день після випуску hotfix, що відбувся 7 листопада 2026 року. Точні деталі шкідливої активності та її кінцеві цілі наразі невідомі. Маттіс описав вразливість як «найкритичнішу проблему», знайдену в UnrealIRCd за останні 15 років.

Кінцевий термін для федеральних агентств

Агентства Федеральної цивільної виконавчої гілки мають час до 16 листопада 2026 року для застосування виправлень відповідно до Binding Operational Directive (BOD) 26-04: Пріоритизація оновлень безпеки на основі ризику.

Джерела: The Hacker News