Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) pada hari Jumat resmi memasukkan celah keamanan berisiko tinggi yang menyerang server Internet Relay Chat (IRC) sumber terbuka, UnrealIRCd, ke dalam katalog Kerentanan Tereksploitasi yang Diketahui (KEV) setelah terdeteksi adanya eksploitasi aktif.
Kelemahan sistem tersebut dilacak menggunakan kode CVE-2026-114713 dengan skor CVSS 8,6. Masalah ini merupakan kegagalan netralisasi pembatas secara tepat, yang dapat dimanfaatkan penyerang untuk mengeksekusi instruksi arbitrer menggunakan hak akses server atau IRCOp.
"Modul labeled-response pada UnrealIRCd versi 6.0.0 sebelum 6.2.7.1 tidak menetralisir tag pesan ‘label’ IRCv3 saat mengembalikannya ke balasan, memungkinkan setiap pengguna di jaringan dengan dua atau lebih server terhubung untuk menyisipkan perintah server-ke-server yang dijalankan dengan otoritas server," demikian kutipan deskripsi kerentanan dalam Basis Data Kerentanan Nasional (NVD) NIST.
Pencatatan ini dilakukan hampir sepekan setelah pemimpin proyek, pengembang, sekaligus pengelola UnrealIRCd, Bram Matthys (dikenal sebagai Syzop), meluncurkan UnrealIRCd versi 6.2.7.1 guna menambal aneka kerentanan keamanan yang terdeteksi lewat bantuan kecerdasan buatan, termasuk celah CVE-2026-114713.
"Kami melihat pelaku kejahatan sedang mengeksploitasi masalah ini di internet saat ini," ungkap Matthys. "Semoga semua orang telah menerapkan perbaikan darurat atau memperbarui server mereka, atau minimal memasang solusi alternatif spamfilter. Jika belum, lakukan secepatnya!"
Aksi eksploitasi dilaporkan bermula sehari pasca perilisan pembaruan darurat pada tanggal 7 November 2026. Kendati demikian, rincian pasti mengenai aktivitas jahat serta tujuan akhirnya saat ini belum diketahui. Pengelola menganggap kerentanan tersebut sebagai "masalah paling kritis" yang dijumpai di UnrealIRCd selama rentang 15 tahun terakhir.
Instansi Cabang Eksekutif Sipil Federal (FCEB) diberi tenggat waktu hingga 16 November 2026 untuk mengimplementasikan pembaruan berdasarkan Petunjuk Operasional Mengikat (BOD) 26-04: Memprioritaskan Pembaruan Keamanan Berdasarkan Risiko.
