Ravie Lakshmanan – 14 Kasım 2026 Açıklık / Ağ Güvenliği
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA, Cuma günü açık kaynaklı İnternet Relay Chat (IRC) sunucusu UnrealIRCd'yi etkileyen yüksek önem dereceli bir güvenlik açığını aktif sömürü raporlarının ardından Bilinen Sömürülen Açıklıklar kataloğuna ekledi.
Açık, CVE-2026-114713 olarak izleniyor ve CVSS puanı 8.6. Sınırlayıcıların uygunsuz şekilde nötralize edilmesi nedeniyle sunucu/IRCOp ayrıcalıklarıyla keyfi komutların çalıştırılmasına olanak tanıyor.
NIST Ulusal Kırılganlık Veritabanı'ndaki açıklamaya göre: "UnrealIRCd 6.0.0 sürümünden 6.2.7.1'e kadar olan sürümlerdeki etiketli yanıt modülü, IRCv3 'label' mesaj etiketini yanıtlarda yansıtılırken kaçış yapmıyor; bu durum iki veya daha fazla bağlı sunucusu olan bir ağdaki herhangi bir kullanıcının sunucu otoritesiyle yürütülen sunucu-sunucu komutlarını enjekte etmesine izin veriyor."
Ekleme, UnrealIRCd'nin proje lideri, geliştiricisi ve bakımcısı Bram Matthys'in takma adı Syzop tarafından yapay zekânın yardımıyla tespit edilen birden fazla güvenlik açığını gidermek için UnrealIRCd 6.2.7.1'i yayınlamasından yaklaşık bir hafta sonra geldi; bu açıklar arasında CVE-2026-114713 de bulunuyor.
Matthys, "Şu anda kötü adamların bu sorunu internette sömürdüğünü görüyoruz" dedi. "Umarım herkes sunucusunu hızlı yama ile güncellemiş ya da en azından spam filtre geçici çözümünü devreye almıştır. Değilse, derhal yapın!"
Sömürü girişimlerinin, 7 Kasım 2026'da yamanın yayınlanmasından bir gün sonra başladığı belirtiliyor. Kötü niyetli faaliyetlerin tam detayları ve nihai hedefleri hâlâ bilinmiyor. Bakımcı, açığı son 15 yılda UnrealIRCd'de bulunan "en kritik sorun" olarak tanımladı.
Federal Sivil Yürütme Şubesi kurumlarının, Bağlayıcı Operasyonel Direktif BOD 26-04: Risk Temelli Güvenlik Güncellemelerinin Önceliklendirilmesi kapsamında düzeltmeleri 16 Kasım 2026'ya kadar uygulaması gerekiyor.
