Aktivně zneužívané CVSS 8,6 Aktuálně

Zneužívaná chyba CVE-2026-114713 v UnrealIRCd: běžný uživatel spustí příkazy s autoritou serveru

Americká CISA v pátek 13. listopadu 2026 zařadila chybu CVE-2026-114713 v IRC serveru UnrealIRCd do katalogu aktivně zneužívaných zranitelností (KEV) a federálním úřadům dala na opravu jen tři dny. Chyba v modulu labeled-response dovolí kterémukoli uživateli sítě se dvěma a více propojenými servery vložit do komunikace mezi servery vlastní příkazy, které se provedou s autoritou serveru – třeba KILL nebo GLINE. Správce projektu ji označil za nejkritičtější chybu UnrealIRCd za posledních 15 let. Oprava vyšla 7. listopadu jako verze 6.2.7.1 a jako hot-patch bez restartu.

Redakce Kyberkitu · 13. listopadu 2026 · událost ze dne 13. listopadu 2026 · čtení na 5 minut · Pro správce a analytiky

Aktivně zneužívané: UnrealIRCd, CVE-2026-114713, CVSS 8,6

Ve zkratce

Týká se: provozovatelů IRC sítí na UnrealIRCd s propojenými servery (komunity, open-source projekty, herní a interní sítě). Samostatný server bez propojení cestu mezi servery nemá.
Chyba: modul labeled-response neescapuje IRCv3 značku „label“, když ji vrací v odpovědi. Uživatel do ní vloží konec řádku a za něj vlastní příkaz serverového protokolu, který propojené servery provedou jako příkaz serveru.
Zneužívá se: CISA chybu 13. 11. 2026 zařadila do KEV a v záznamu CVE ji hodnotí jako aktivně zneužívanou a automatizovatelnou s úplným technickým dopadem.
Oprava: hot-patch bundle-20261107 (6.0.0–6.2.7, bez restartu) nebo upgrade na 6.2.7.1. Opravuje i dalších 8 chyb včetně dvou úniků IP adres uživatelů.

Zranitelnosti: CVE-2026-114713

Co se stalo

Projekt UnrealIRCd ve středu 4. listopadu 2026 ohlásil kritickou bezpečnostní opravu a v sobotu 7. listopadu 2026 vydal verzi 6.2.7.1 spolu s hot-patchem bundle-20261107, který opravu nahraje do běžícího serveru bez restartu. Oprava řeší devět bezpečnostních chyb, z nich jedna je kritická: CVE-2026-114713. Správce projektu Bram Matthys ji v oznámení na konferenci oss-security z 8. listopadu označil za nejkritičtější chybu nalezenou v UnrealIRCd za posledních 15 let.

V pátek 13. listopadu 2026 americká CISA zařadila CVE-2026-114713 do katalogu KEV (aktivně zneužívané zranitelnosti) s termínem opravy pro federální úřady 16. listopadu – tedy jen tři dny. V záznamu CVE ji CISA ve stejný den ohodnotila jako aktivně zneužívanou, automatizovatelnou a s úplným technickým dopadem. Podrobnosti o útocích CISA ani projekt nezveřejnili.

UnrealIRCd je IRC server s otevřeným kódem. Na IRC dodnes běží komunitní a open-source sítě, herní komunity i interní chaty firem a týmů.

Technické podrobnosti

Údaje jsou z oznámení správce projektu a ze záznamu CVE. Návod ke zneužití nezveřejňujeme.

Komponenta: modul labeled-response (soubor src/modules/labeled-response.c, funkce labeled_response_mtag_is_ok()), který implementuje značku zpráv IRCv3 label. Klient jí označí příkaz, aby mohl spárovat odpověď serveru.
Typ chyby: CWE-140 (nesprávná neutralizace oddělovačů), Red Hat ji vede jako CWE-93 (vložení CRLF). Modul značku při vracení v odpovědi neescapuje, takže uživatel do ní může vložit konec řádku a další znaky.
Jak útok probíhá: IRC je textový protokol, kde každý řádek je jeden příkaz. Hodnota značky s vloženým koncem řádku se při předávání mezi propojenými servery rozpadne na víc řádků a druhý z nich propojený server zpracuje jako příkaz serverového protokolu s autoritou serveru.
Podmínky: útočník potřebuje jen běžné připojení k síti, přihlášení ani práva operátora nejsou potřeba (CVSS 3.1 8,6, AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N). Síť musí mít dva a více propojených serverů.
Dopad: podle správce může útočník spouštět příkazy s autoritou serveru nebo IRC operátora, například KILL a GLINE, „a mnoho dalších špatných věcí“.

Zjednodušený průběh útoku přes CVE-2026-114713 na neopravené síti (podle oznámení UnrealIRCd a záznamu CVE)

Stejná oprava řeší dalších osm chyb: dva úniky IP adres uživatelů (jeden včetně „odmaskování“ cizího uživatele), zablokování serveru při novém ověření proti blacklistům, pád po příkazu CHGIDENT ze Services vyvolatelný běžným uživatelem, chybné počítání spojení s hláškou „This server is full“, limit zákazů nastavovaných ze Services, možné zahlcení přes opakované vyjednávání TLS a možný pád databáze whowas.

Koho se to týká

Verze	Stav	Oprava
UnrealIRCd 6.0.0 až 6.2.7	zranitelné	hot-patch `bundle-20261107` nebo 6.2.7.1
UnrealIRCd 6.2.7.1	opravené	–
UnrealIRCd 5	zranitelné, bez podpory od 1. 7. 2023	zakázat modul `labeled-response` a restartovat, pak přejít na řadu 6
UnrealIRCd 4 a 3.2.x	projekt nekontroloval, bez podpory	přejít na řadu 6

Kritická chyba se zneužívá v sítích s propojenými servery. Ostatní opravené chyby (úniky IP adres, pády) se týkají i samostatných serverů.
Red Hat UnrealIRCd v RHEL nedodává; zasažené jsou instalace přímo od projektu a z balíčků jiných distribucí – u balíčků z distribuce ověřte, zda správce balíčku opravu už vydal.

Jak poznat napadení

Projekt ani CISA indikátory napadení nezveřejnili. Co doporučujeme zkontrolovat (vlastní doporučení, ne pokyn projektu):

Stav opravy na každém serveru: ./unrealircd module-status | grep labeled-response – bezpečný je výstup 5.0-hot-patch-bundle-20261107 nebo 6.2.7.1. Samotné 5.0 znamená, že hot-patch nainstalovaný není. Na dálku jako IRC operátor příkazem MODULE -all (u vzdáleného serveru MODULE -all nazev.serveru, od verze 6.0.2).
Neobvyklé zákazy a odpojení: projděte logy serverů a seznam aktivních zákazů (/STATS gline) – hledejte KILL, GLINE, ZLINE a změny režimů, které nespustil nikdo z vašich operátorů.
Značky label v provozu: když logujete klientský provoz, hledejte hodnoty label se znaky CR, LF, mezerou nebo středníkem – platná značka je neobsahuje.
Změny konfigurace a kanálů: nečekaně převzaté kanály, noví operátoři, změny v Services.

Vektor CVSS si rozeberete v CVSS kalkulačce.

Co udělat

Hned nainstalujte opravu na všechny servery sítě – chyba se šíří přes propojení, takže jeden neopravený server ohrožuje celou síť. Unix, verze 6.0.0–6.2.7: ./unrealircd hot-patch bundle-20261107 a počkejte na hlášku „Patch installed and server rehashed correctly“. Windows nebo selhání hot-patche: upgrade na 6.2.7.1 (./unrealircd upgrade a restart).
Ověřte stav příkazem module-status nebo MODULE -all (viz výše) na každém serveru.
Do doby opravy můžete jako IRC operátor nasadit pravidlo SPAMFILTER z oznámení projektu, které blokuje neplatné hodnoty značky label. Chrání jen tehdy, když všechny servery běží na 6.0.4 nebo novější, a nenahrazuje opravu.
UnrealIRCd 5: do konfigurace všech serverů přidejte blacklist-module "labeled-response"; a server restartujte (rehash nestačí). Pak naplánujte přechod na řadu 6.
Po opravě projděte zákazy, operátory a nastavení kanálů a zrušte, co jste nenastavili.

Časová osa

Oprava, zveřejnění a zařazení do KEV (UnrealIRCd, CVE.org, CISA)

Aktualizace

13. 11. 2026 – první verze článku.

Časté otázky

Mám jen jeden server UnrealIRCd. Týká se mě to?

Kritická chyba se zneužívá přes komunikaci mezi propojenými servery, takže samostatný server bez propojení (linku) touto cestou zneužít nejde – tak to uvádí i popis v záznamu CVE. Stejná oprava ale řeší dalších osm chyb, mezi nimi dva úniky IP adres uživatelů, zablokování serveru a pády. Hot-patch proto nainstalujte i na samostatný server.

Co může útočník s chybou udělat?

Podle správce projektu spustit příkazy s autoritou serveru nebo IRC operátora, například KILL (odpojení uživatelů) a GLINE (globální zákaz přístupu), a „mnoho dalších špatných věcí“. Prakticky to znamená převzetí kontroly nad sítí: odpojování a zákazy uživatelů, převzetí kanálů, změny režimů. CISA hodnotí technický dopad jako úplný.

Musím server po opravě restartovat?

Na unixových systémech s verzí 6.0.0 až 6.2.7 ne: příkaz ./unrealircd hot-patch bundle-20261107 opravu nahraje do běžícího serveru. Na Windows a tam, kde hot-patch selže, je potřeba upgrade na 6.2.7.1 a restart. U nepodporované řady 5 projekt doporučuje zakázat modul labeled-response v konfiguraci a server restartovat – samotný rehash nestačí.

Stačí dočasné opatření přes SPAMFILTER?

Ne natrvalo. Pravidlo SPAMFILTER z oznámení projektu blokuje neplatné hodnoty značky label, ale podle správce chrání síť jen tehdy, když všechny propojené servery běží na verzi 6.0.4 nebo novější, a neopravuje zbylých osm chyb. Použijte ho jen na dobu, než opravu nainstalujete na všechny servery.

Zveřejnil projekt indikátory napadení?

K 13. 11. 2026 ne. Oznámení projektu ani CISA indikátory napadení ani postup detekce neuvádějí. Co zkontrolovat, popisujeme v oddílu Jak poznat napadení – jde o naše doporučení, ne pokyn projektu.

Zdroje

Našli jste v článku chybu? Dejte nám vědět, opravu vyznačíme.