CISA, Aktif Olarak Sömürülen UnrealIRCd Açığını KEV Kataloğuna Ekledi

Amerika Birleşik Devletleri Sibersecurity ve Altyapı Güvenliği Ajansı (CISA), açık kaynaklı bir İnternet Aktarım Sohbeti (IRC) sunucusu olan UnrealIRCd'yi etkileyen yüksek şiddetteki bir güvenlik açığını, aktif sömürüldüğüne dair raporların ardından bilinen sömürülen güvenlik açıkları (KEV) kataloğuna ekledi. CVE-2026-114713 olarak takip edilen ve CVSS puanı 8.6 olan açık, sunucu veya IRCOp ayrıcalıklarıyla keyfi komutların çalıştırılmasına olanak sağlayan sınırlayıcıların yetersiz nötrleştirilmesi niteliğinde.

Açığın Teknik Niteliği: Sunucudan Sunucuya Komut Enjeksiyonu​

Amerika Ulusal Standartlar ve Teknoloji Enstitüsünün (NIST) Ulusal Güvenlik Açığı Veritabanında (NVD) yer alan açıklamaya göre, UnrealIRCd 6.0.0 ile 6.2.7.1 öncesi sürümlerdeki etiketli yanıt (labeled-response) modülü, IRCv3 'label' mesaj etiketini yanıtlara geri yansıtırken kaçış işlemi uygulamıyor. Bu durum, iki veya daha fazla birbirine bağlı sunucudan oluşan bir ağdaki herhangi bir kullanıcının, sunucu yetkisiyle çalıştırılan sunucudan sunucuya komutlar enjekte etmesine imkân tanıyor.

Güvenlik Açığı Yapay Zekâ Destekli İncelemede Bulundu​

CISA'nın katkısı, UnrealIRCd proje lideri, geliştiricisi ve bakımcısı Bram Matthys'in (takma adıyla Syzop), yapay zekâ desteğiyle tespit edilen birden fazla güvenlik açığını gidermek için UnrealIRCd 6.2.7.1 sürümünü yayımlamasından yaklaşık bir hafta sonra geldi. CVE-2026-114713 de bu sürümde kapatılan açıklar arasında yer alıyor.
Matthys, saldırganların bu açığı internette şu anda sömürdüğünü belirterek, kullanıcıları sunucularını güncellemeye ya da en azından spamfilter geçici çözümünü uygulamaya çağırdı. Matthys, "Umarım herkes sunucusunu yamalamış veya güncellemiştir; değilse derhal yapın" ifadesini kullandı.

Yamadan Bir Gün Sonra Saldırılar Başladı​

Sömürü girişimlerinin, 7 Kasım 2026'da yayımlanan yamadan bir gün sonra başladığı bildiriliyor. Ancak kötü amaçlı faaliyetin ayrıntıları ve nihai hedefleri şu anda bilinmiyor. Matthys, güvenlik açığını UnrealIRCd'de son 15 yılda bulunan "en kritik sorun" olarak tanımladı.

Federal Kurumlara Yama İçin Süre​

Binding Operasyonel Direktif (BOD) 26-04: Risk Temelli Güvenlik Güncellemelerinin Önceliklendirilmesi kapsamında Federal Sivil Yürütme Kuruluşlarının (FCEB) yamaları uygulamak için 16 Kasım 2026 tarihine kadar süresi bulunuyor.

Sıkça Sorulan Sorular​

CVE-2026-114713 güvenlik açığı ne yapıyor?​

UnrealIRCd'nin etiketli yanıt modülü, IRCv3 'label' mesaj etiketini yanıtlara geri yansıtırken kaçış işlemi uygulamadığı için, iki veya daha fazla bağlı sunucudan oluşan bir ağdaki herhangi bir kullanıcı sunucudan sunucuya komutlar enjekte edebiliyor ve bu komutlar sunucu yetkisiyle çalıştırılıyor.

Güvenlik açığı hangi UnrealIRCd sürümlerini etkiliyor?​

UnrealIRCd 6.0.0 sürümünden başlayarak 6.2.7.1 öncesi sürümler etkileniyor. Açık, 6.2.7.1 sürümünde kapatıldı.

UnrealIRCd 6.2.7.1 sürümü ne zaman yayımlandı?​

Sürüm, proje lideri Bram Matthys (Syzop) tarafından birden fazla güvenlik açığını gidermek için yayımlandı; sömürü girişimleri, 7 Kasım 2026'da yayımlanan yamadan bir gün sonra başladı.

Saldırıların hedefi hakkında bilinen bir şey var mı?​

Kaynak bilgiye göre kötü amaçlı faaliyetin ayrıntıları ve nihai hedefleri şu anda bilinmiyor.

CISA bu açıyı neden KEV kataloğuna ekledi?​

CISA, açık kaynaklı IRC sunucusu UnrealIRCd'yi etkileyen bu yüksek şiddetteki açığın aktif olarak sömürüldüğüne dair raporlar üzerine, bilinen sömürülen güvenlik açıkları (KEV) kataloğuna ekledi; bu da Federal Sivil Yürütme Kuruluşlarına BOD 26-04 kapsamında 16 Kasım 2026'ya kadar yama uygulama zorunluluğu getiriyor.