Qué es y cómo funciona
La vulnerabilidad CVE-2026-114713 (CWE-140) reside en el módulo labeled-response de UnrealIRCd. Este módulo no neutraliza correctamente la etiqueta de mensaje "label" del protocolo IRCv3 al replicarla en las respuestas. Esto permite que cualquier usuario en una red con dos o más servidores vinculados inyecte comandos de servidor a servidor, los cuales se ejecutan con los privilegios de autoridad del servidor.
Productos y versiones afectadas
La falla afecta a todas las versiones de UnrealIRCd desde la 6.0.0 hasta justo antes de la 6.2.7.1.
Impacto y explotación activa
La vulnerabilidad tiene una puntuación CVSS de 8.6 (Alta). Su impacto principal es la inyección de comandos entre servidores. Según el catálogo de vulnerabilidades explotadas activamente (KEV) de CISA, esta falla está siendo explotada en la naturaleza. La agencia la registra como "UnrealIRCd Improper Neutralization of Delimiters Vulnerability". Aunque se han publicado 3 pruebas de concepto (PoC) en GitHub, el análisis EPSS estima una probabilidad de explotación real en los próximos 30 días de solo un 0.5% (percentil 44%). Actualmente, Shodan no reporta hosts expuestos en internet con esta vulnerabilidad detectada.
Qué hacer
La mitigación principal es actualizar inmediatamente a la versión UnrealIRCd 6.2.7.1 o superior, donde esta vulnerabilidad ha sido corregida.
| CVE | CVE-2026-114713 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 8.6 / 10 |
| EPSS | 0.5% en 30 días (percentil 44) |
| CWE | CWE-140 |
| CISA KEV | Explotación activa confirmada |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
| PoC público | github.com, github.com, github.com |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).