攻击者利用UnrealIRCd漏洞实施服务器级命令注入

事件经过

美国网络安全和基础设施安全局（CISA）周五将影响UnrealIRCd（开源IRC服务器）的一个高危安全漏洞列入其已知被利用漏洞（KEV）目录，此前有报告称该漏洞已遭主动利用。

此次列入距离UnrealIRCd项目负责人、开发者兼维护者Bram Matthys（网名Syzop）发布UnrealIRCd 6.2.7.1已近一周。该版本修复了借助人工智能发现的多个安全漏洞，其中包括CVE-2026-114713。维护者将该漏洞描述为过去15年间在UnrealIRCd中发现的“最严重问题”。

攻击者利用UnrealIRCd漏洞实施服务器级命令注入 Ravie Lakshmanan 2026年11月14日 漏洞 / 网络安全 美国……该漏洞编号为CVE-2026-114713（CVSS评分：8.6），属于分隔符未正确转义的问题，可被用于以服务器/IRCOp权限执行任意命令。

NIST国家漏洞数据库（NVD）对该漏洞的描述称：“UnrealIRCd 6.0.0至6.2.7.1之前版本中的labeled-response模块在将IRCv3 'label'消息标签回显到回复中时未进行转义，这使得在拥有两个或以上相互连接服务器的网络中，任何用户都可以注入以服务器权限执行的服务器间命令。”据报道，攻击尝试在2026年11月7日修复补丁发布后一天便已开始。

不过，恶意活动的具体细节及其最终目的目前尚不清楚。