WORLDTECHCISA setzt UnrealIRCd-Lücke auf Liste ausgenutzter Schwachstellen
Die US-Cybersicherheitsbehörde CISA hat eine Lücke mit hohem Schweregrad im quelloffenen IRC-Server UnrealIRCd in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen und verweist auf Berichte über laufende Angriffe. Die Lücke lässt sich missbrauchen, um Befehle auf Serverebene einzuschleusen.
Lücke mit Wertung 8,6 ermöglicht Serverbefehle
Die Schwachstelle trägt die Kennung CVE-2026-114713 und erhält einen CVSS-Wert von 8,6. Sie ist als unzureichende Neutralisierung von Trennzeichen eingestuft, eine Schwäche, über die sich beliebige Befehle mit Server- oder IRCOp-Rechten ausführen lassen.
Die National Vulnerability Database beschreibt das Problem im Labeled-Response-Modul von UnrealIRCd-Versionen vor 6.2.7.1. Dieser Beschreibung zufolge maskiert das Modul das IRCv3-Label-Tag bei der Rückmeldung nicht. So kann jeder Nutzer in einem Netzwerk mit zwei oder mehr verbundenen Servern Befehle zwischen Servern einschleusen, die mit Serverrechten laufen.
Korrektur vor den gemeldeten Angriffen erschienen
Projektleiter, Entwickler und Betreuer Bram Matthys, auch bekannt als Syzop, veröffentlichte UnrealIRCd 6.2.7.1, um mehrere mithilfe künstlicher Intelligenz gefundene Sicherheitslücken zu schließen, darunter diese. Er bezeichnete sie als kritischstes Problem, das in den vergangenen 15 Jahren in UnrealIRCd entdeckt wurde.
Angriffsversuche sollen einen Tag nach dem Erscheinen des Hotfixes am 7. November 2026 begonnen haben. Die genauen Details der schädlichen Aktivitäten und ihre Ziele sind bislang nicht bekannt.
Frist für Bundesbehörden zur Installation
Bundesbehörden der USA haben bis zum 16. November 2026 Zeit, die Korrekturen gemäß der Binding Operational Directive 26-04 einzuspielen, die Sicherheitsupdates nach Risiko priorisiert.
Offene Fragen
- Was tun die Angreifer mit dieser Lücke?
- Wie viele UnrealIRCd-Server sind noch ungepatcht?