A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) incluiu nesta sexta-feira uma falha de alta gravidade que afeta o UnrealIRCd, um servidor de código aberto de Internet Relay Chat (IRC), em seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV), após relatos de exploração ativa.
A vulnerabilidade, catalogada como CVE-2026-114713 (identificador de Vulnerabilidades e Exposições Comuns), tem pontuação 8,6 no CVSS (Sistema de Pontuação de Vulnerabilidades Comuns). Trata-se de um caso de neutralização imprópria de delimitadores que poderia ser usado para executar comandos arbitrários com privilégios de servidor e de IRCOp.
“O módulo de resposta rotulada no UnrealIRCd 6.0.0 anterior à versão 6.2.7.1 não trata a tag de mensagem 'label' do IRCv3 ao repeti-la nas respostas, o que permite que qualquer usuário de uma rede com dois ou mais servidores interligados injete comandos entre servidores, executados com autoridade de servidor”, diz a descrição da falha no Banco Nacional de Vulnerabilidades (NVD) do Instituto Nacional de Padrões e Tecnologia (NIST) dos EUA.
A inclusão ocorre quase uma semana depois de Bram Matthys (conhecido como Syzop), líder do projeto, desenvolvedor e mantenedor do UnrealIRCd, lançar a versão 6.2.7.1 para corrigir várias falhas de segurança identificadas com a ajuda de inteligência artificial, entre elas a CVE-2026-114713.
“Estamos vendo criminosos explorando esse problema na internet agora”, afirmou Matthys. “Espero que todos tenham aplicado uma correção emergencial (hot-patch) ou atualizado seus servidores, ou pelo menos implantado a solução alternativa do spamfilter. Se não fizeram isso, façam o quanto antes!”
Exploração e prazos
As tentativas de exploração teriam começado um dia após o lançamento da correção, em 7 de novembro de 2026. Ainda assim, os detalhes exatos da atividade maliciosa e seus objetivos finais são desconhecidos. O mantenedor descreveu a vulnerabilidade como o “problema mais crítico” encontrado no UnrealIRCd nos últimos 15 anos.
As agências civis federais do Poder Executivo (FCEB) têm até 16 de novembro de 2026 para aplicar as correções, conforme a Diretiva Operacional Vinculante (BOD) 26-04: Priorização de Atualizações de Segurança com Base em Risco.
