WORLDTECHCISA führt Lücken in Check Point und UnrealIRCd als aktiv ausgenutzt
Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) hat zwei als hoch eingestufte Schwachstellen in ihren Katalog bekannter, aktiv ausgenutzter Lücken aufgenommen: eine im Open-Source-IRC-Server UnrealIRCd und eine in Sicherheitsprodukten von Check Point. Laut Security Affairs liefen Versuche, die UnrealIRCd-Lücke auszunutzen, schon kurz nach ihrer Bekanntmachung im Internet.
Command-Injection-Lücke in UnrealIRCd
Der erste Eintrag, CVE-2026-114713, ist eine Command-Injection-Schwachstelle in UnrealIRCd, einer Open-Source-Software zum Betrieb von IRC-Servern. Sie erhält einen CVSS-Wert von 8,6 und fällt damit in den Bereich hoher Schwere. Die Schwäche sitzt im Labeled-Response-Modul, das den IRCv3-Label-Message-Tag beim Übernehmen in Server-Antworten nicht korrekt bereinigt.
Ein Angreifer kann dies ausnutzen, um Zeilenumbrüche und zusätzliche Befehle in den Datenverkehr zwischen Servern einzuschleusen. In einem Netzwerk mit mindestens zwei verknüpften Servern kann dann selbst ein gewöhnlicher Nutzer ohne besondere Rechte Befehle mit Server-Berechtigungen ausführen. Solche Befehle könnten privilegierte IRC-Operationen durchführen, etwa Nutzer trennen oder aus dem Netzwerk verbannen. Die Lücke könnte außerdem missbraucht werden, um administrative Kontrolle über IRC-Netzwerke zu erlangen, Nutzer und Kanäle zu manipulieren oder IRC-Dienste zu stören. Betroffen sind Versionen ab 6.0.0 bis einschließlich vor 6.2.7.1.
Lokale Rechteausweitung bei Check-Point-Produkten
Der zweite Eintrag, CVE-2026-123039, ist eine lokale Rechteausweitung in Security Gateways und Security-Management-Produkten von Check Point mit einem CVSS-Wert von 7,8, ebenfalls als hoch eingestuft. Das Problem liegt im DynamicCLI-Daemon des Betriebssystems Gaia. Dieser läuft mit Root-Rechten und lauscht auf einem lokalen, weltweit beschreibbaren Unix-Socket unter /tmp/dynamic_socket, prüft die sich verbindenden Prozesse jedoch nicht ausreichend.
Ein lokaler Angreifer, der sich authentifiziert hat, aber nur über geringe Rechte verfügt, kann dies ausnutzen, um beliebige Befehle als Root auszuführen und so die volle Kontrolle über das betroffene Gerät zu erlangen.
Ausnutzungsversuche und offene Punkte
Der Maintainer von UnrealIRCd hat bestätigt, dass Angreifer kurz nach der Veröffentlichung bereits versuchten, die Schwachstelle im Internet aufzuspüren und auszunutzen. Eine bestimmte Bedrohungsgruppe oder einen Angreifer hat man öffentlich nicht identifiziert, und es gibt keine bestätigten Belege, die die Angriffe mit einer bestimmten Kampagne oder einem finanziellen Motiv verknüpfen.
Der Bericht stammt von einem einzelnen Medium, Security Affairs, das die Aufnahme in den Katalog aufgegriffen hat.
Offene Fragen
- Welche Angreifer stecken hinter den Ausnutzungsversuchen gegen UnrealIRCd, falls überhaupt?
- Wie viele UnrealIRCd-Server laufen mit betroffenen Versionen und sind noch ungepatcht?