UnrealIRCd CVE-2026-114713: so prüfst du deinen Server und spielst den Hot-Patch ein

Kurz: Läuft bei dir UnrealIRCd 6.0.0 bis 6.2.7 (oder Version 5), ist der Server betroffen. Die Version 6.2.7.1 vom 7. November 2026 behebt die Lücke; ohne Neustart geht es mit einem Hot-Patch. Die Hersteller melden Angriffsversuche, und die US-Behörde CISA hat CVE-2026-114713 am 13. November in den Katalog der ausgenutzten Lücken aufgenommen (Frist für Bundesbehörden: 16. November).

Was ist das Problem?

Die Implementierung des IRCv3-Tags label maskiert Zeichen nicht richtig, wenn sie es in Antworten zurückschickt. Ein gewöhnlicher Nutzer kann dadurch Zeilenumbrüche und andere Zeichen in den Verkehr zwischen verbundenen Servern einschleusen. Die eingeschleusten Befehle laufen mit der Autorität des Servers, zum Beispiel KILL oder GLINE. Gefunden hat die Lücke der Maintainer selbst bei einem internen Audit mit KI-Unterstützung.

Die CVE-Beschreibung nennt Netze mit zwei oder mehr verbundenen Servern. Der Hersteller-Hinweis sagt das nicht ausdrücklich. Verlass dich also nicht darauf und patche auch einen einzelnen Server.

Bist du betroffen?

• UnrealIRCd 6.0.0 bis 6.2.7: ja.
• UnrealIRCd 5: ebenfalls betroffen, ein Workaround steht unten.
• Distributionspakete prüfen: laut Red-Hat-Eintrag liefert EPEL 9 derzeit unrealircd-6.1.10-1.el9 aus, und die ist betroffen.

Hot-Patch einspielen

Auf jedem Server des Netzes, als der Benutzer, unter dem UnrealIRCd läuft (funktioniert für 6.0.0 bis 6.2.7):

./unrealircd hot-patch bundle-20261107

Erfolg zeigt die letzte Zeile: «Patch installed and server rehashed correctly. All should be good now!»

Prüfen, ob der Patch aktiv ist

./unrealircd module-status | grep labeled-response

• labeled-response 5.0-hot-patch-bundle-20261107: Hot-Patch ist installiert.
• Version 6.2.7.1: das korrigierte Release läuft.
• Nur 5.0 ohne Patch-Bundle: Patch fehlt noch.
• Keine Ausgabe: der Befehl braucht UnrealIRCd 6.0.2 oder neuer. Als IRCOp geht es auch im Chat mit MODULE -all (für einen anderen Server MODULE -all server.name).

Wenn der Hot-Patch nicht geht

Auf Linux und anderen Unix-Systemen aktualisieren und neu starten:

./unrealircd upgrade

Unter Windows lädst du 6.2.7.1 herunter und startest neu.

Notlösung für den Moment

Als IRCOp lässt sich der Spamfilter nutzen. Laut Hinweis schützt er vor dem kritischen Problem nur, wenn alle Server UnrealIRCd 6.0.4 oder neuer nutzen:

SPAMFILTER add -regex T block - Invalid_label ^label=(?![^\r\n;\x20]*\z)

Bei UnrealIRCd 5 trägst du in der Konfiguration aller Server blacklist-module "labeled-response"; ein und startest neu (ein Rehash genügt hier nicht).

Danach

1. Notiere, auf welchem Server du wann welche Version und welchen Patchstand hast.
2. Sieh in die Logs: unerwartete KILL- oder GLINE-Einträge können auf einen Missbrauch hindeuten (das ist meine Empfehlung, nicht Teil des Hinweises).
3. Der Patch behebt neun Probleme, darunter IP-Lecks und mehrere Abstürze, also lohnt sich das Update auch ohne Angriff.

Dieser Beitrag fasst den Hinweis der UnrealIRCd-Maintainer und den Red-Hat-Eintrag zusammen; ich habe die Lücke nicht selbst nachgestellt. Weitere Einträge, die die CISA am selben Tag aufgenommen hat, stehen in der Übersicht aktiv ausgenutzter Lücken, zum Beispiel CVE-2026-123039 (Check Point Gaia).