blacksloth.fr

UnrealIRCd : la faille CVE-2026-114713, corrigée le 7 novembre, est exploitée

Le 7 novembre 2026, à 16 h (heure de Paris), Bram Matthys (« Syzop »), mainteneur d’UnrealIRCd, a publié la version 6.2.7.1 de ce serveur IRC, accompagnée d’un correctif à chaud. La mise à jour règle neuf failles de sécurité, dont une jugée critique, CVE-2026-114713. Six jours plus tard, le 13 novembre, la CISA américaine a inscrit cette faille à son catalogue des vulnérabilités connues comme exploitées. Cet article revient sur son fonctionnement, sur ce que l’on sait de son exploitation et sur les moyens de s’en protéger.

Une balise mal « échappée »

UnrealIRCd est un serveur IRC conçu pour fonctionner en réseau, où plusieurs serveurs liés entre eux se transmettent des commandes. La faille touche le module « labeled-response », qui gère la balise de message « label » d’IRCv3. Lorsque le serveur renvoie cette balise dans ses réponses, il ne neutralise pas les caractères spéciaux qu’elle peut contenir. Il s’agit donc d’une injection : des données fournies par l’utilisateur sont interprétées comme de la structure de protocole.

Concrètement, un utilisateur ordinaire connecté à un réseau d’au moins deux serveurs liés peut faire passer des commandes de serveur à serveur, exécutées avec l’autorité d’un serveur. Le mainteneur résume l’effet ainsi : la faille « permet à des utilisateurs normaux d’exécuter des commandes avec l’autorité du serveur ou d’un IRCOp » (traduit par nos soins). Il cite en exemple la déconnexion forcée d’utilisateurs (KILL) ou leur bannissement du réseau (GLINE). Les versions 6.0.0 à 6.2.7 incluse sont concernées, de même que la branche 5, qui n’est plus maintenue. Les autres versions en fin de vie n’ont pas été vérifiées.

Le mainteneur parle de « la faille la plus critique trouvée dans UnrealIRCd depuis 15 ans » (traduit par nos soins). Ce qualificatif est celui du projet : l’enregistrement CVE, tel que repris par OpenCVE, indique un score CVSS 3.1 de 8,6, soit « élevé » et non « critique » dans cette échelle. Red Hat classe de son côté le problème comme « important », tout en précisant que le logiciel ne figure pas dans ses produits.

Découverte lors d’un audit assisté par IA

Plusieurs problèmes importants ont été trouvés lors d’un audit interne mené avec l’aide d’une IA. Le mainteneur y ajoute un avis personnel, qui n’est pas une mesure : un démon réseau sans correctif de sécurité majeur depuis plusieurs mois a probablement été peu examiné par ce type d’outils.

Du correctif à l’exploitation

L’annonce de l’éditeur et celle du projet ne parlent pas, dans un premier temps, d’une attaque en cours. L’extrait publié sur la page d’actualités le 7 novembre et le message envoyé le 8 novembre sur la liste oss-security décrivent la faille et le correctif. Ils évoquent seulement, de façon générale, la possibilité que des personnes malveillantes aient cherché des failles.

L’exploitation active apparaît ensuite. Le 13 novembre, la CISA a ajouté CVE-2026-114713 à son catalogue KEV, avec une faille touchant des produits Check Point, « sur la base de preuves d’exploitation active » (traduit par nos soins). L’agence ne précise ni qui a signalé ces attaques, ni leur nature.

The Hacker News attribue par ailleurs à Bram Matthys cette phrase : « Nous voyons des personnes malveillantes exploiter cette faille sur Internet en ce moment » (traduit par nos soins). Cette mention reste invérifiable à ce stade, car elle ne figure pas sur la page d’actualités consultée et le fil du forum qui porte l’annonce nous est resté inaccessible. Un autre site la présente comme un ajout du projet à son avis. Le même article évoque des tentatives qui auraient commencé dès le lendemain de la publication du correctif, ce qu’aucune source primaire ne confirme.

Se protéger

La solution la plus complète consiste à passer à UnrealIRCd 6.2.7.1. Sur presque tous les réseaux en version 6, le correctif peut aussi être appliqué sans redémarrage, avec la commande de correctif à chaud du serveur et le lot « bundle-20261107 », à exécuter sur chaque serveur du réseau. Il est conseillé de vérifier ensuite que le module « labeled-response » apparaît bien corrigé dans l’état des modules.

Si aucune de ces deux options n’est possible immédiatement, le mainteneur propose une règle « spamfilter » qui bloque les balises « label » invalides. Elle ne protège le réseau que si tous les serveurs liés tournent en 6.0.4 ou plus récent. Pour la branche 5, la parade consiste à interdire le module « labeled-response » dans la configuration, puis à redémarrer. Comme cette branche n’est plus maintenue, une migration vers la version 6 s’impose à terme.

Il est également conseillé de passer en revue les journaux à la recherche de commandes de serveur (KILL, GLINE) qu’aucun opérateur ni aucune liaison connue n’aurait émises, ainsi que de modifications de configuration ou de listes de bannissement que personne n’a demandées. Cette piste de détection ne vient pas de l’éditeur, qui n’a pas, à notre connaissance, publié de signature de journaux. Elle peut d’ailleurs ne rien révéler, car une tentative bloquée ne laisse pas forcément de trace.

Ce que l’on ne sait pas encore

L’ampleur réelle des attaques, les objectifs des assaillants et l’identité de celui qui a alerté la CISA restent inconnus. On ignore aussi la formulation exacte de la mise à jour de l’avis par le projet. La fiche de la base américaine NVD n’ayant pas pu être consultée, les chiffres de gravité cités ici proviennent de l’enregistrement CVE tel que reproduit par OpenCVE.

Sources

In

, , , ,
Enable Notifications OK No thanks