概要
認証なしで、サーバー間の命令を管理者権限で実行されるおそれ。
元の説明（英語）を読む
The labeled-response module in UnrealIRCd 6.0.0 before 6.2.7.1 does not escape the IRCv3 "label" message tag when echoing it into replies, which allows any user on a network with two or more linked servers to inject server-to-server commands that are executed with server authority.
影響を受ける人
複数サーバーを連結した UnrealIRCd 6.0.0〜6.2.7.1 未満の管理者
対策
- UnrealIRCd を 6.2.7.1 以降に更新する
- UnrealIRCd 5 は サポート終了のため、6 系へ移行する
国内の動き
本文に同じ CVE 番号のある国内の注意喚起・報道は、まだ無い。
海外の動き
- CISA（注意喚起）↗11/13
- The Hacker News（報道）↗11/14
PoC
リンクだけを載せる。中身は確かめていない。
偽物やマルウェア入りが混じる（GitHub の PoC の 1.9〜10.3% に悪意の兆候があったという研究がある）。動かすのは、自分の検証用の環境で、中身を読んでからにする。他人のシステムに向けない。
Sable-Research/CVE-2026-114713↗★ 0 · 11/14 作成 · 攻撃コードらしいResearch on CVE-2026-114713 — UnrealIRCd labeled-response module: unescaped IRCv3 label tag allows any user to inject server-to-server commands with full server authority (CWE-140). Actively exploitedfoxcornlab/unrealircd-scanner↗★ 0 · 11/14 作成 · その他Detection-only triage for UnrealIRCd CVE-2026-114713 (CVSS 8.6, CISA KEV 2026-11-13, actively exploited): IRCv3 label newline injection, fixed in 6.2.7.1 / hot-patch bundle-20261107. Grades versions ffixedbyreboot/CVE-2026-114713-POC↗★ 0 · 11/14 作成 · その他POC for CVE-2026-114713 - IRCv3 label-tag injection in UnrealIRCd escalating an unprivileged client message to server-to-server command authority on linked-server networks. Vulnerable 6.2.7 vs fixed 6
経過
2026年11月8日・一次情報
脆弱性が公開された
2026年11月13日・悪用確認
CISA が KEV に追加（悪用を確認）（Bluesky で元の投稿に返信）
2026年11月14日・PoC
GitHub に PoC が出た（未検証）（Bluesky で元の投稿に返信）
影響する版
UnrealIRCd UnrealIRCd6.2.7.1 未満が対象（6.2.7.1 で修正）