CISA confirma exploração ativa de falha no UnrealIRCd

A atualização decisiva é a inclusão da CVE-2026-114713 no catálogo de vulnerabilidades conhecidas como exploradas da CISA. A falha permite que qualquer usuário de uma rede com pelo menos dois servidores UnrealIRCd vinculados injete comandos executados com autoridade de servidor.[1]CVE-2026-114713: UnrealIRCd UnrealIRCd (UnrealIRCd Improper Neutralization of Delimiters Vulnerability)nvd.nist.gov · kevAbrir fonte originalVer na lista de fontes[2]Attackers Exploit UnrealIRCd Flaw That Enables Server-Level Command Injectionthehackernews.com · rssAbrir fonte originalVer na lista de fontes

A CISA registrou a CVE-2026-114713 no KEV e determinou a aplicação das mitigações do fornecedor. O problema está no tratamento inadequado de delimitadores em mensagens entre servidores, o que abre caminho para a injeção de comandos com privilégios elevados.[1]CVE-2026-114713: UnrealIRCd UnrealIRCd (UnrealIRCd Improper Neutralization of Delimiters Vulnerability)nvd.nist.gov · kevAbrir fonte originalVer na lista de fontes

O risco vai além da conta de um usuário comum: os comandos injetados podem ser aceitos com autoridade de servidor. Isso indica potencial para interferir no funcionamento ou na administração da rede IRC afetada, embora o lote não descreva ações específicas realizadas por invasores.[1]CVE-2026-114713: UnrealIRCd UnrealIRCd (UnrealIRCd Improper Neutralization of Delimiters Vulnerability)nvd.nist.gov · kevAbrir fonte originalVer na lista de fontes

Administradores devem aplicar as mitigações indicadas pelo fornecedor e avaliar a exposição de cada servidor à internet. Se não houver mitigação disponível, a orientação registrada pela CISA é interromper o uso do produto. Para o âmbito federal dos Estados Unidos, o prazo informado é 16 de novembro de 2026.[1]CVE-2026-114713: UnrealIRCd UnrealIRCd (UnrealIRCd Improper Neutralization of Delimiters Vulnerability)nvd.nist.gov · kevAbrir fonte originalVer na lista de fontes

Está documentado que a exploração depende de uma rede com dois ou mais servidores UnrealIRCd vinculados. O lote não identifica os invasores, as versões afetadas, o número de sistemas comprometidos nem indicadores técnicos de ataque. A possível utilização em ransomware aparece como desconhecida.[1]CVE-2026-114713: UnrealIRCd UnrealIRCd (UnrealIRCd Improper Neutralization of Delimiters Vulnerability)nvd.nist.gov · kevAbrir fonte originalVer na lista de fontes

O The Hacker News afirma que atacantes estão explorando ativamente a falha, classificada pela publicação com pontuação CVSS 8,6, e relaciona a entrada no KEV a relatos de exploração. A postagem da publicação no X repete essas afirmações, mas não funciona como confirmação independente.[2]Attackers Exploit UnrealIRCd Flaw That Enables Server-Level Command Injectionthehackernews.com · rssAbrir fonte originalVer na lista de fontes[3]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

A sequência apresentada pelas evidências começa com a falha de tratamento de delimitadores no UnrealIRCd. Depois de relatos de exploração, segundo o The Hacker News, a CISA adicionou a vulnerabilidade ao KEV e estabeleceu ações de mitigação e um prazo federal curto.[1]CVE-2026-114713: UnrealIRCd UnrealIRCd (UnrealIRCd Improper Neutralization of Delimiters Vulnerability)nvd.nist.gov · kevAbrir fonte originalVer na lista de fontes[2]Attackers Exploit UnrealIRCd Flaw That Enables Server-Level Command Injectionthehackernews.com · rssAbrir fonte originalVer na lista de fontes

2 grupos independentes, 2 atualizações e 5 interações.

Em termos simples, delimitadores são caracteres usados para separar partes de uma mensagem ou comando. O tratamento inadequado desses separadores permite que dados controlados por um usuário sejam interpretados como comandos na comunicação entre servidores, que então os executam com autoridade de servidor.[1]CVE-2026-114713: UnrealIRCd UnrealIRCd (UnrealIRCd Improper Neutralization of Delimiters Vulnerability)nvd.nist.gov · kevAbrir fonte originalVer na lista de fontes

A entrada do KEV é a evidência primária para a condição de exploração conhecida, o mecanismo da falha, a ação exigida e o prazo federal. O The Hacker News acrescenta a pontuação CVSS 8,6 e a narrativa sobre relatos de exploração, enquanto sua postagem no X é apenas uma reprodução resumida dessa cobertura.[1]CVE-2026-114713: UnrealIRCd UnrealIRCd (UnrealIRCd Improper Neutralization of Delimiters Vulnerability)nvd.nist.gov · kevAbrir fonte originalVer na lista de fontes[2]Attackers Exploit UnrealIRCd Flaw That Enables Server-Level Command Injectionthehackernews.com · rssAbrir fonte originalVer na lista de fontes[3]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes