UnrealIRCd: Lücke CVE-2026-114713 wird ausgenutzt, Hot-Patch verfügbar

Die US-Behörde CISA hat am 13. November 2026 die Lücke CVE-2026-114713 im IRC-Server UnrealIRCd in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen. Über den Fehler kann jeder gewöhnliche Nutzer eines IRC-Netzes Befehle mit der Autorität eines Servers ausführen lassen. Behoben ist er seit dem 7. November mit UnrealIRCd 6.2.7.1 und einem Hot-Patch, der ohne Neustart eingespielt werden kann. Der Maintainer nennt die Lücke das kritischste Problem in UnrealIRCd seit 15 Jahren.

Betroffen sind UnrealIRCd 6.0.0 bis 6.2.7 und das seit 2023 nicht mehr gepflegte UnrealIRCd 5. Ausnutzbar ist die Hauptlücke laut Beschreibung in der NVD in Netzen mit mindestens zwei verbundenen Servern. Wer einen solchen Server betreibt und noch nicht gepatcht hat, sollte das heute erledigen, nicht erst im nächsten Wartungsfenster.

Was ist passiert?

Laut Sicherheitshinweis von Maintainer Bram Matthys auf der Mailingliste oss-security fand ein internes Audit mit Hilfe von KI mehrere Fehler. Der schwerste ist ein Fehler beim Maskieren des IRCv3-Nachrichten-Tags „label“. Laut NVD steckt er im Modul labeled-response, das den Tag ungefiltert in Antworten zurückgibt. So kann ein Nutzer Zeilenumbrüche in den Verkehr zwischen den Servern einschleusen. In einem Textprotokoll wie IRC werden daraus eigene Befehle, die mit Server-Autorität ausgeführt werden. Nach Angaben des Maintainers kann jeder normale Nutzer damit unter anderem andere per KILL trennen oder per GLINE netzweit sperren.

Insgesamt behebt das Update neun Probleme. Darunter sind ein Weg, über den ein normaler Nutzer die verschleierte IP-Adresse eines anderen aufdecken kann, ein weiteres IP-Leck, zwei Abstürze, ein Hänger sowie ein Zählfehler, der dazu führen kann, dass jede neue Verbindung „This server is full“ erhält, bis der Server neu startet.

Die CISA führt die Lücke seit dem 13. November als ausgenutzt, zivile US-Bundesbehörden müssen sie bis zum 16. November schließen. Laut The Hacker News schrieb Matthys, Angreifer nutzten die Lücke bereits im Internet aus. Die Versuche sollen nach Angaben von The Hacker News einen Tag nach dem Hotfix begonnen haben. Was die Angreifer bezwecken, ist laut dem Bericht nicht bekannt.

Wer ist betroffen?

• UnrealIRCd 6.0.0 bis 6.2.7. Sicher sind Server mit 6.2.7.1 oder mit dem Hot-Patch bundle-20261107.
• UnrealIRCd 5, das seit dem 1. Juli 2023 keine Updates mehr erhält. Ältere Versionen hat der Maintainer nicht geprüft, er hält es aber für wahrscheinlich, dass mehrere der Fehler bis 3.2.x zurückreichen.
• Für die Hauptlücke laut NVD Netze mit zwei oder mehr verbundenen Servern. Die übrigen acht Fehler schließt nur das Update oder der Hot-Patch.

Wie kritisch ist das?

Die NVD führt einen CVSS-3.1-Wert von 8.6 (hoch), vergeben von MITRE als CNA. Eine eigene Bewertung der NVD steht noch aus. Der Angriff braucht nur einen normalen Zugang zum IRC-Netz, keine Rechte und kein Zutun eines Opfers. Die Quellen beschreiben IRC-Befehle mit Server- oder IRCOp-Autorität, von Codeausführung auf dem Betriebssystem ist keine Rede. Angreifer können also im Netz handeln wie ein Server oder IRC-Operator, Nutzer trennen, sperren und Netzwerkbefehle absetzen. Für Community- oder Projektnetze mit öffentlichem Zugang ist das akut.

Was sollten Admins jetzt tun?

• Inventar: Alle UnrealIRCd-Server des Netzes und ihre Versionen erfassen, auch Testserver und Hubs.
• Sofortschutz: Als IRCOp den Workaround aus dem Advisory setzen. Er schützt das ganze Netz vor der Hauptlücke, aber nur, wenn alle Server mindestens 6.0.4 haben:

  SPAMFILTER add -regex T block - Invalid_label ^label=(?![^\r\n;\x20]*\z)

• Patchen ohne Neustart: Auf jedem Server unter Linux oder Unix ./unrealircd hot-patch bundle-20261107 ausführen. Unter Windows geht das nicht.
• Oder aktualisieren: ./unrealircd upgrade und danach den Server neu starten, unter Windows die Version 6.2.7.1 herunterladen.
• Kontrolle (ab 6.0.2): ./unrealircd module-status|grep labeled-response muss „5.0-hot-patch-bundle-20261107“ oder 6.2.7.1 zeigen. Entfernte Server lassen sich als IRCOp mit MODULE -all servername prüfen.
• Altversionen: UnrealIRCd 5 nur übergangsweise auf allen Servern mit blacklist-module "labeled-response"; und Neustart absichern, dann auf Version 6 wechseln.
• Logs: Server-Logs seit dem 7. November auf unerwartete KILL- und GLINE-Befehle sowie fremde Sperren prüfen.

Einordnung für Unternehmen

IRC ist in Firmen selten, läuft aber noch in Open-Source-Projekten, Hosting-Communitys und als interner Chat. Wer dort einen UnrealIRCd betreibt, hat mit dem Hot-Patch einen schnellen Weg ohne Ausfall. Bemerkenswert ist der Hinweis des Maintainers, dass KI-gestützte Audits inzwischen deutlich mehr Fehler finden. Matthys folgert, dass Netzwerkdienste ohne Sicherheitsupdates in den letzten Monaten nicht automatisch sicher sind, sondern womöglich nur noch nicht mit KI untersucht wurden.

Passende Anleitungen auf S-EDV

• Linux-Server absichern: UFW-Firewall und Fail2ban
• VPS absichern und härten: UFW, SSH-Schlüssel und Fail2Ban unter Ubuntu und Debian

Quellen

• UnrealIRCd: Sicherheitshinweis zu 6.2.7.1 auf oss-security
• UnrealIRCd: Release-Notes
• NVD: CVE-2026-114713
• CISA: Eintrag im KEV-Katalog
• The Hacker News: Angriffe auf UnrealIRCd