UnrealIRCd CVE-2026-114713: come verificare il server e applicare l’hot-patch

In breve: se usi UnrealIRCd dal 6.0.0 al 6.2.7 (o la versione 5), il tuo server è colpito. La versione 6.2.7.1 del 7 novembre 2026 risolve il problema, e un hot-patch funziona senza riavvio. Il produttore segnala tentativi di attacco, e l’agenzia statunitense CISA ha inserito CVE-2026-114713 il 13 novembre nel catalogo delle vulnerabilità sfruttate (scadenza per le agenzie federali: 16 novembre).

Qual è il problema?

L’implementazione del tag IRCv3 label non esegue correttamente l’escape dei caratteri quando lo rimanda nelle risposte. Un utente qualsiasi può così iniettare a capo e altri caratteri nel traffico tra server collegati. I comandi iniettati girano con l’autorità del server, per esempio KILL o GLINE. Il difetto l’ha trovato il maintainer stesso in un audit interno svolto con l’aiuto dell’AI.

La descrizione della CVE parla di reti con due o più server collegati. L’avviso del produttore non lo dice in modo esplicito. Non contarci e applica la patch anche a un server singolo.

Sei colpito?

• UnrealIRCd dal 6.0.0 al 6.2.7: sì.
• UnrealIRCd 5: colpito anche lui, sotto c’è una soluzione provvisoria.
• Controlla i pacchetti della distribuzione: secondo la scheda Red Hat, EPEL 9 distribuisce per ora unrealircd-6.1.10-1.el9, che è colpita.

Applica l’hot-patch

Su ogni server della rete, con l’utente che esegue UnrealIRCd (vale dal 6.0.0 al 6.2.7):

./unrealircd hot-patch bundle-20261107

Il successo si vede nell’ultima riga: «Patch installed and server rehashed correctly. All should be good now!»

Verifica che la patch sia attiva

./unrealircd module-status | grep labeled-response

• labeled-response 5.0-hot-patch-bundle-20261107: l’hot-patch è installato.
• Versione 6.2.7.1: gira la release corretta.
• Solo 5.0 senza bundle: la patch manca ancora.
• Nessun output: il comando richiede UnrealIRCd 6.0.2 o più recente. Da IRCOp puoi usare MODULE -all in chat (per un altro server MODULE -all nome.server).

Se l’hot-patch non funziona

Su Linux e altri sistemi Unix aggiorna e riavvia:

./unrealircd upgrade

Su Windows scarica la 6.2.7.1 e riavvia.

Una soluzione provvisoria

Da IRCOp puoi usare uno spamfilter. Secondo l’avviso protegge dal problema critico solo se tutti i server usano UnrealIRCd 6.0.4 o più recente:

SPAMFILTER add -regex T block - Invalid_label ^label=(?![^\r\n;\x20]*\z)

Con UnrealIRCd 5 inserisci blacklist-module "labeled-response"; nella configurazione di tutti i server e riavvia (un rehash non basta).

Dopo

1. Annota quale server ha quale versione e livello di patch, e da quando.
2. Guarda i log: voci KILL o GLINE inattese possono indicare un abuso (è un mio consiglio, non fa parte dell’avviso).
3. La patch risolve nove problemi, tra cui fughe di IP e diversi crash, quindi l’aggiornamento conviene anche senza attacco.

Questo articolo riassume l’avviso dei maintainer di UnrealIRCd e la scheda Red Hat; il difetto non l’ho riprodotto io. Altre voci aggiunte dalla CISA lo stesso giorno sono nel riepilogo delle vulnerabilità sfruttate, per esempio CVE-2026-123039 (Check Point Gaia).