Lỗ hổng UnrealIRCd bị khai thác để chèn lệnh cấp máy chủ

Cơ quan An ninh mạng và Hạ tầng Cơ sở Hạ tầng Mỹ (CISA) đã bổ sung một lỗ hổng nghiêm trọng trong UnrealIRCd, máy chủ IRC mã nguồn mở, vào danh mục các lỗ hổng đã bị khai thác thực tế (KEV) sau khi có báo cáo về hoạt động tấn công. Lỗ hổng có mã CVE-2026-114713, điểm CVSS 8.6, thuộc nhóm xử lý không đúng các ký tự phân cách, có thể bị lợi dụng để thực thi lệnh tùy ý với quyền máy chủ hoặc quyền IRCOp.

Nguyên nhân và phạm vi ảnh hưởng

Theo mô tả trong Cơ sở dữ liệu Lỗ hổng Quốc gia của NIST, module labeled-response trong UnrealIRCd phiên bản 6.0.0 đến trước 6.2.7.1 không thoát thẻ tin nhắn "label" của IRCv3 khi phản hồi lại. Điều này cho phép bất kỳ người dùng nào trên mạng có từ hai máy chủ liên kết trở lên chèn lệnh giữa các máy chủ và các lệnh đó được thực thi với quyền máy chủ.

Việc CISA đưa lỗ hổng vào danh mục diễn ra gần một tuần sau khi Bram Matthys (còn gọi là Syzop), trưởng dự án kiêm nhà phát triển và duy trì UnrealIRCd, phát hành phiên bản 6.2.7.1 để xử lý nhiều lỗ hổng bảo mật được phát hiện với sự hỗ trợ của trí tuệ nhân tạo, trong đó có CVE-2026-114713.

Cảnh báo khai thác và thời hạn khắc phục

Matthys cho biết những kẻ tấn công đang khai thác lỗ hổng này trên Internet ngay lúc này, đồng thời kêu gọi các đơn vị vá nóng hoặc cập nhật máy chủ, hoặc ít nhất triển khai biện pháp tạm thời bằng spamfilter. Ông nhấn mạnh nếu chưa làm thì cần thực hiện ngay.

Các nỗ lực khai thác được cho là bắt đầu một ngày sau khi bản vá nóng ra mắt ngày 7/11/2026. Tuy nhiên, chi tiết cụ thể về hoạt động độc hại và mục tiêu cuối cùng hiện chưa được xác định. Người duy trì dự án đánh giá đây là vấn đề nghiêm trọng nhất từng gặp ở UnrealIRCd trong 15 năm qua.

Theo Chỉ thị Vận hành Ràng buộc (BOD) 26-04 về ưu tiên cập nhật bảo mật dựa trên rủi ro, các cơ quan thuộc nhánh dân sự liên bang Mỹ (FCEB) có thời hạn đến ngày 16/11/2026 để áp dụng bản sửa lỗi.

Nguồn: The Hacker News