Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) pada hari Jumat resmi memasukkan celah keamanan berisiko tinggi yang berdampak pada server Internet Relay Chat (IRC) sumber terbuka, UnrealIRCd, ke dalam katalog Kerentanan yang Diketahui Telah Dieksploitasi (KEV), menyusul adanya laporan serangan aktif.
Celah dengan kode CVE-2026-114713 dan skor CVSS 8,6 ini merupakan kasus kegagalan netralisasi pembatas, yang berpotensi dimanfaatkan guna menjalankan perintah arbitrer menggunakan hak akses server atau IRCOp.
"Modul labeled-response pada UnrealIRCd versi 6.0.0 sebelum 6.2.7.1 tidak menyaring tag pesan 'label' IRCv3 saat mengirimkannya kembali ke balasan, memungkinkan pengguna mana pun di jaringan dengan dua server terhubung atau lebih untuk menyuntikkan perintah antar-server yang dieksekusi setingkat otoritas server," tulis National Vulnerability Database (NVD) NIST.
Langkah CISA diambil hampir sepekan setelah pemimpin proyek, pengembang, sekaligus pemelihara UnrealIRCd, Bram Matthys (dikenal sebagai Syzop), merilis versi 6.2.7.1. Pembaruan tersebut mengatasi sejumlah kerentanan keamanan yang berhasil ditemukan berkat bantuan kecerdasan buatan, termasuk CVE-2026-114713.
"Kami memantau pihak berbahaya sedang mengeksploitasi masalah ini di internet saat ini," ungkap Matthys. "Semoga semua pengelola telah memasang hot-patch atau memperbarui server mereka, atau setidaknya menerapkan solusi sementara spamfilter. Jika belum, lakukan segera!"
Upaya eksploitasi dilaporkan mulai bermunculan sehari pasca peluncuran perbaikan darurat pada 7 November 2026. Kendati demikian, rincian pasti mengenai aktivitas berbahaya serta tujuan akhirnya masih belum terungkap. Sang pengembang menyebut celah ini sebagai "masalah paling kritis" di UnrealIRCd dalam kurun waktu 15 tahun terakhir.
Lembaga-lembaga di lingkungan Federal Civilian Executive Branch (FCEB) diberi tenggat hingga 16 November 2026 guna menerapkan perbaikan sesuai Binding Operational Directive (BOD) 26-04: Prioritizing Security Updates Based on Risk.