CISA añadió al catálogo de vulnerabilidades explotadas un fallo grave en UnrealIRCd que permite ejecutar comandos arbitrarios con privilegios de servidor. El error afecta a versiones anteriores a la 6.2.7.1 y es descrito como el problema más crítico en 15 años. Se insta a los usuarios y agencias federales a actualizar sus servidores urgentemente para evitar ataques activos.





La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) añadió el viernes un fallo de seguridad de alta gravedad que afecta a UnrealIRCd, un servidor de Internet Relay Chat (IRC) de código abierto, a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV ), tras informes de explotación activa.

La vulnerabilidad, rastreada como CVE-2026-114713 (puntuación CVSS: 8.6), es un caso de neutralización inadecuada de delimitadores que podría utilizarse para ejecutar comandos arbitrarios con privilegios de servidor/IRCOp.

"El módulo de respuesta etiquetada en UnrealIRCd 6.0.0 anterior a la versión 6.2.7.1 no escapa la etiqueta de mensaje 'label' de IRCv3 al devolverla en las respuestas, lo que permite que cualquier usuario en una red con dos o más servidores vinculados inyecte comandos de servidor a servidor que se ejecutan con autoridad de servidor", dice la descripción del fallo en la Base de Datos Nacional de Vulnerabilidades (NVD) del NIST.

La adición se produce casi una semana después de que el líder del proyecto UnrealIRCd, desarrollador y mantenedor, Bram Matthys (también conocido como Syzop), lanzara UnrealIRCd 6.2.7.1 para solucionar múltiples vulnerabilidades de seguridad identificadas con la ayuda de inteligencia artificial, incluida la CVE-2026-114713.

"Estamos viendo a malos actores explotando este problema en internet ahora mismo", afirmó Matthys . "Con suerte, todos habéis aplicado el parche rápido o actualizado vuestro servidor, o al menos habéis desplegado la solución alternativa del filtro de spam. Si no es así, ¡hacedlo lo antes posible!".

Se dice que los intentos de explotación comenzaron un día después del lanzamiento del parche el 7 de noviembre de 2026. Dicho esto, los detalles exactos de la actividad maliciosa y sus objetivos finales son actualmente desconocidos. El mantenedor describió la vulnerabilidad como el "problema más crítico" encontrado en UnrealIRCd en los últimos 15 años.

Las agencias de la Rama Ejecutiva Civil Federal (FCEB) tienen tiempo hasta el 16 de noviembre de 2026 para aplicar las correcciones bajo la Directiva Operativa Vinculante (BOD) 26-04: Priorización de Actualizaciones de Seguridad Basadas en el Riesgo.

Fuente:
THN