Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) pada hari Jumat resmi memasukkan kerentanan berisiko tinggi pada UnrealIRCd, sebuah server Internet Relay Chat (IRC) sumber terbuka, ke dalam katalog Known Exploited Vulnerabilities (KEV) milik mereka menyusul adanya laporan eksploitasi aktif.
Celah keamanan ini, yang tercatat sebagai CVE-2026-114713 dengan skor CVSS 8,6, berakar dari kegagalan netralisasi pembatas secara tepat. Masalah teknis tersebut dapat dimanfaatkan penyerang untuk menjalankan berbagai perintah arbitrer menggunakan hak akses server atau IRCOp.
"Modul labeled-response pada UnrealIRCd versi 6.0.0 sebelum 6.2.7.1 tidak menyaring tag pesan ‘label’ IRCv3 saat mengirimkannya kembali ke balasan. Hal ini memungkinkan setiap pengguna di jaringan yang memiliki dua atau lebih server tertaut menyuntikkan perintah antarcabang server yang kemudian dieksekusi melalui otoritas server," ungkap uraian kerentanan pada basis data NIST National Vulnerability Database (NVD).
Langkah penambahan dari CISA ini berlangsung sekitar sepekan setelah pemimpin proyek, pengembang, sekaligus pemelihara UnrealIRCd, Bram Matthys (dikenal sebagai Syzop), merilis pembaruan UnrealIRCd 6.2.7.1. Rilis ini bertujuan menambal sejumlah kerentanan keamanan yang teridentifikasi lewat bantuan kecerdasan buatan, termasuk celah CVE-2026-114713.
"Kami mendeteksi pihak jahat tengah memanfaatkan masalah ini di internet sekarang," tutur Matthys. "Semoga semua pengelola telah menerapkan hot-patch atau memperbarui server mereka, atau setidaknya mengaktifkan solusi mitigasi spamfilter. Jika belum, lakukan secepatnya!"
Upaya penyerangan dilaporkan telah dimulai tepat sehari sesudah peluncuran perbaikan darurat pada tanggal 7 November 2026. Meski begitu, rincian mendalam mengenai pola aktivitas berbahaya serta tujuan akhir penyerang masih belum diketahui secara pasti. Sang pemelihara menyebut celah ini sebagai "masalah paling kritis" yang pernah dijumpai di UnrealIRCd dalam 15 tahun terakhir.
Seluruh instansi Federal Civilian Executive Branch (FCEB) kini diwajibkan menerapkan perbaikan sistem tersebut paling lambat tanggal 16 November 2026, sesuai dengan mandat Binding Operational Directive (BOD) 26-04 tentang Prioritizing Security Updates Based on Risk.
