CISA, Aktif Sömürülen UnrealIRCd Zafiyetini KEV Kataloğuna EkleDi

ABD Siber Güvenlik Altyapısı Ajansı (CISA), Cuma günü, kaynak kodu açık bir İnternet Kanalı Yönlendirme (IRC) sunucusu olan UnrealIRCd üzerindeki yüksek önem dereceli bir güvenlik zafiyetini, aktif istismar raporlarının ardından Bilinen İstismar Edilen Zafiyetler (KEV) kataloğuna ekledi. Bu zafiyet, CVE-2026-114713 olarak takip ediliyor ve CVSS skoru 8.6 olarak belirlendi.
Bu açık, sınırlayıcıları (delimiters) düzgün olarak nötralize edememe (improper neutralization of delimiters) sorunu niteliğinde olup, istismar edildiğinde sunucu/IRCOp yetkileriyle çalışma başlatmasına olanak tanıyor. NIST Ulusal Zafiyet Veritabanı (NVD)'ndeki açıklamaya göre, UnrealIRCd 6.0.0 ile 6.2.7.1 arasındaki sürümlerdeki "label-response" modülü, IRCv3 "label" mesaj etiketini yanıtlara yansıtırken kaçış (escape) işlemi yapmıyor. Bu durum, iki veya daha fazla sunucunun bağlı olduğu bir ağdaki herhangi bir kullanıcının, sunucu otoritesiyle yürütülen sunucu-ara sunucu komutlarını enjekte etmesine izin veriyor.
UnrealIRCd projesinin lideri, geliştiricisi ve bakıcısı Bram Matthys (Syzop), bu dahil olmak üzere yapay zekanın yardımıyla tespit edilen birden fazla güvenlik zafiyetini ele almak için 6.2.7.1 sürümünü yayınlayalı neredeyse bir hafta olmuşken bu adım atıldı. Matthys, "Şu anda internet üzerinde bu sorunu istismar eden kötü niyetli kişileri görüyoruz" diyerek, herkesin sunucularını acil yama ile düzeltmesi veya güncelleyip en azından spamfilter iş etme (workaround) çözümünün uygulanması gerektiğini vurguladı.
İstismar girişimlerinin, 7 Kasım 2026'da yayımlanan acil yamanın bir gün sonra başladığı bildiriliyor. Ancak kötü niyetli faaliyetin kesin detayları ve nihai hedefleri şu an için bilinmiyor. Proje sorumlusu bu zafiyeti, UnrealIRCd'nin son 15 yıldaki "en kritik sorunu" olarak nitelendirdi. Federal Sivil Yürütme Kolu (FCEB) ajansları, 26-04 sayılı Bağlayıcı Operasyonel Direktif (BOD) 26-04 kapsamında risk temelli güvenlik güncellemeleri önceliği doğrultusunda düzeltmeleri 16 Kasım 2026 tarihine kadar uygulaması gerekiyor.

Sıkça Sorulan Sorular​

UnrealIRCd'daki CVE-2026-114713 zafiyetinin CVSS skoru kaçtır?​

CVE-2026-114713 zafiyetinin CVSS skoru 8.6 olarak belirlenmiştir. Bu zafiyet, sınırlayıcıları düzgün olarak nötralize edememe sorunundan kaynaklanır ve istismar edildiğinde sunucu/IRCOp yetkileriyle çalışma başlatılmasına olanak tanır.

UnrealIRCd'daki bu zafiyeti gidermek için hangi sürüm yayınlanmıştır?​

UnrealIRCd projesinin lideri Bram Matthys, bu dahil olmak üzere yapay zekanın yardımıyla tespit edilen birden fazla güvenlik zafiyetini ele almak için UnrealIRCd 6.2.7.1 sürümünü yayınlanmıştır.

CISA, Federal Sivil Yürütme Kolu (FCEB) ajanslarına bu zafiyet için ne kadar süre tanımıştır?​

CISA, Federal Sivil Yürütme Kolu (FCEB) ajanslarına, 26-04 sayılı Bağlayıcı Operasyonel Direktif (BOD) 26-04 kapsamında risk temelli güvenlik güncellemeleri önceliği doğrultusunda düzeltmeleri 16 Kasım 2026 tarihine kadar uygulaması gerektiğini belirtmiştir.

UnrealIRCd'daki bu zafiyet ilk kez ne zaman tespit edilmiştir?​

Kaynak metinde zafiyetin ilk kez ne zaman tespit edildiğine dair bilgi yer almamaktadır. Zafiyetin, 7 Kasım 2026'da yayımlanan acil yamanın bir gün sonra istismara başlandığı belirtilmiştir.

CISA, UnrealIRCd'daki bu zafiyeti neden KEV kataloğuna eklemiştir?​

CISA, UnrealIRCd'daki CVE-2026-114713 zafiyetini aktif istismar raporlarının ardından Bilinen İstismar Edilen Zafiyetler (KEV) kataloğuna eklemiştir.