El responsable de UnrealIRCd advierte de intentos de explotación de CVE-2026-114713 en Internet, un fallo que permite a un usuario corriente enviar órdenes con autoridad de servidor u operador IRC. La vía descrita afecta a redes con al menos dos servidores enlazados y el módulo labeled-response cargado. La versión 6.2.7.1, publicada el 7 de noviembre, corrige la vulnerabilidad; también existe un parche en caliente para sistemas tipo Unix.
El riesgo está en cómo se transmite una etiqueta IRCv3 manipulada: puede llegar a otro servidor como si contuviera órdenes intercambiadas entre servidores. Eso permite ejecutar comandos del protocolo IRC como KILL y GLINE. La autoridad obtenida corresponde a IRC; el aviso no acredita ejecución de comandos del sistema operativo.
Versiones afectadas y vías de corrección
| Versión o entorno | Exposición | Corrección o mitigación |
|---|---|---|
| 6.0.0–6.2.7 en sistemas tipo Unix | Al menos dos servidores enlazados y labeled-response cargado | Aplicar bundle-20261107 en cada servidor afectado o actualizar a 6.2.7.1 y reiniciar |
| 6.0.0–6.2.7 en Windows | Las mismas condiciones | Actualizar a 6.2.7.1 y reiniciar |
| Rama 5, sin soporte | También afectada | Desactivar labeled-response mediante blacklist-module en cada servidor y reiniciar; migrar a la versión mantenida |
| 6.2.7.1 | Fallo corregido | Incluye además correcciones para otros ocho problemas |
Las ramas 3.2 y 4 no se han comprobado para esta vulnerabilidad concreta, por lo que no deben interpretarse como versiones verificadas a salvo.
La protección provisional tiene condiciones
El proyecto recomienda aplicar primero una regla SPAMFILTER como protección provisional. Solo protege a todos los servidores enlazados si todos ejecutan al menos UnrealIRCd 6.0.4. Además, esa regla no corrige los otros ocho problemas incluidos en la actualización y en el parche en caliente: entre ellos hay filtraciones de direcciones IP, bloqueos, caídas y una posible inundación mediante renegociaciones TLS.
Para verificar la instalación en versiones compatibles, puede consultarse module-status. El identificador labeled-response 5.0-hot-patch-bundle-20261107 confirma que el parche está instalado; labeled-response 5.0, sin ese sufijo, indica que no lo está. Un operador IRC también puede consultar los módulos de los servidores remotos enlazados para revisar el resto de la red.
