Veille menaces / Faille
UnrealIRCd : n'importe quel utilisateur peut envoyer des commandes avec l'autorité du serveur, et des attaquants s'en servent
La CVE-2026-114713 est une faille du module labeled-response d'UnrealIRCd, un serveur de discussion IRC open source. Sur un réseau d'au moins deux serveurs reliés, un simple utilisateur peut injecter des commandes de serveur à serveur ; selon UnrealIRCd, des utilisateurs ordinaires peuvent ainsi exécuter des commandes avec l'autorité d'un serveur ou d'un opérateur IRC. Le projet l'a corrigée le 7 novembre 2026 dans la version 6.2.7.1 et par un correctif à chaud, puis a signalé des attaques en cours. La CISA l'a ajoutée à son catalogue des failles exploitées le 13 novembre.
- Secteur
- Tous secteurs
- Point d'entrée
- Faille logicielle
- Produit ou fournisseur
- UnrealIRCd
- Comment c'est arrivé
- Le module labeled-response d'UnrealIRCd, de la version 6.0.0 à la 6.2.7.1 exclue, n'échappe pas l'étiquette de message IRCv3 « label » quand il la renvoie dans ses réponses. Sur un réseau d'au moins deux serveurs reliés, n'importe quel utilisateur peut s'en servir pour injecter des commandes de serveur à serveur, exécutées avec l'autorité du serveur (CVSS 8,6). Selon UnrealIRCd, la faille permet à des utilisateurs ordinaires d'exécuter des commandes avec l'autorité d'un serveur ou d'un opérateur IRC.[1][2][3] Vérifié le 14 nov. 2026
- Ce qui a été volé
- Pas encore public Vérifié le 14 nov. 2026
- Qui est touché
- Les opérateurs de réseaux UnrealIRCd à serveurs reliés qui tournent sur une version antérieure à la 6.2.7.1 sans le correctif à chaud. Le projet signale une exploitation active, mais aucun nombre de réseaux touchés ni aucune victime n'a été publié.[1][2][3] Vérifié le 14 nov. 2026
- Acteur
- Non attribué
- CVE
- CVE-2026-114713
Chronologie
- UnrealIRCd publie la version 6.2.7.1 et un correctif à chaud qui corrigent 9 problèmes de sécurité, dont la CVE-2026-114713, jugée critique. Le projet indique que, sur presque tous les réseaux UnrealIRCd 6, ils peuvent être corrigés à chaud sans redémarrage. [1]
- SecurityOnline relaie l'alerte du projet, qui dit voir des attaquants exploiter la faille sur Internet en ce moment même, et son conseil d'ajouter en attendant une règle spamfilter qui bloque les étiquettes invalides. [3]
- La CISA ajoute la CVE-2026-114713 à son catalogue des vulnérabilités exploitées et donne aux agences fédérales américaines jusqu'au 16 novembre 2026 pour la corriger. Selon The Hacker News, les tentatives d'exploitation ont commencé le lendemain de la publication du correctif. [2]