Un fallo crítico en el servidor de IRC UnrealIRCd permite que un usuario normal ejecute comandos con autoridad de servidor. CISA lo ha añadido a su catálogo de vulnerabilidades explotadas activamente y el propio mantenedor del proyecto avisa de que los atacantes ya lo están usando en internet. El parche existe desde el 7 de noviembre: quien no lo haya aplicado tiene hasta el lunes 16 para hacerlo.
Qué ha pasado
El 13 de noviembre de 2026, la agencia estadounidense CISA añadió la vulnerabilidad CVE-2026-114713 a su catálogo KEV (Known Exploited Vulnerabilities), la lista de fallos que se sabe que se están explotando en ataques reales. La puntuación CVSS es de 8,6 (alta) y CISA exige a las agencias federales civiles que apliquen la corrección antes del 16 de noviembre de 2026, con triaje forense obligatorio según la directiva BOD 26-04.
El fallo afecta a UnrealIRCd 6.0.0 hasta 6.2.7 y reside en el módulo labeled-response, que viene activado en la configuración por defecto. El problema es de validación: el módulo no escapa correctamente la etiqueta label del protocolo IRCv3 cuando la devuelve en las respuestas. Un usuario normal puede introducir caracteres especiales en esa etiqueta para inyectar comandos de servidor a servidor, que el resto de la red ejecuta con autoridad de servidor.
El mantenedor del proyecto, Bram Matthys (Syzop), no se anda con rodeos: es «el problema más crítico encontrado en UnrealIRCd en los últimos 15 años». Y la advertencia es directa: «Estamos viendo a los malos explotando este problema en internet ahora mismo».
A quién afecta
UnrealIRCd es un servidor de IRC de código abierto muy usado por comunidades, redes de videojuegos y grupos de aficionados. El fallo solo es explotable en redes con dos o más servidores enlazados —un servidor aislado no reenvía la línea inyectada a ningún otro servidor, así que esa vía no aplica—, pero esa es precisamente la topología habitual de las redes de IRC con varios servidores.
Además del fallo crítico, la versión 6.2.7.1 corrige otros ocho problemas descubiertos en la misma auditoría, entre ellos uno que permite a un usuario normal «desenmascarar» a otro y revelar su dirección IP real. UnrealIRCd 5 también está afectado por el fallo crítico, y lleva sin soporte desde el 1 de julio de 2023: quien siga con esa versión no tiene parche, solo una medida de contención.
Cronología del incidente
- 7 de noviembre de 2026: UnrealIRCd publica la versión 6.2.7.1 y un hot-patch que corrige 9 problemas de seguridad sin necesidad de reiniciar el servidor.
- 8 de noviembre: comienzan los primeros intentos de explotación, apenas un día después de publicarse la corrección.
- 12 de noviembre: CISA marca la explotación como activa en su registro SSVC.
- 13 de noviembre: CISA añade CVE-2026-114713 al catálogo KEV, con fecha límite de corrección el 16 de noviembre.
- 14 de noviembre: The Hacker News informa de la inclusión en el KEV; el mantenedor confirma que la explotación continúa en internet.
Ni el proyecto ni CISA han publicado indicadores de compromiso, número de víctimas ni el objetivo final de los atacantes. Tampoco se sabe si hay uso en campañas de ransomware: CISA lo marca como «desconocido».
Qué puede hacer un atacante
Con un usuario cualquiera y acceso a una red con servidores enlazados, el atacante ejecuta comandos con autoridad de servidor o de IRCOp. Según el aviso oficial, eso significa que puede hacer KILL (expulsar usuarios de la red), GLINE (banear direcciones a nivel global) y «muchas más cosas malas». En la práctica, un atacante con ese nivel de control puede:
- Expulsar o banear a usuarios y operadores legítimos de toda la red.
- Suplantar la identidad del servidor para enviar comandos a otros servidores enlazados.
- Desenmascarar usuarios y revelar sus direcciones IP reales, con el riesgo de doxing y ataques dirigidos que eso conlleva.
- Desestabilizar la red con caídas y bloqueos aprovechando los otros fallos corregidos en la misma versión.
No es un robo de datos clásico: es una toma de control de la infraestructura de chat. Para una comunidad que depende de su red de IRC, el impacto es la pérdida total de control sobre su propio servicio.
Qué hacer ahora
- Aplica el parche cuanto antes. Si usas UnrealIRCd 6.0.0 a 6.2.7, tienes dos opciones: el hot-patch sin reinicio (
./unrealircd hot-patch bundle-20261107) o actualizar a la versión 6.2.7.1 y reiniciar. La fecha límite de CISA es el lunes 16 de noviembre, pero la explotación ya está en marcha: no hay margen para esperar. - Aplica primero la medida de contención. Antes de parchear, ejecuta como IRCOp en la red el filtro de spam que bloquea etiquetas label malformadas. Es protección inmediata, pero solo cubre el fallo crítico y solo si todos los servidores de la red están en 6.0.4 o superior. No sustituye al parche.
- Verifica que el parche quedó aplicado. Ejecuta
./unrealircd module-status | grep labeled-response: si muestra labeled-response 5.0-hot-patch-bundle-20261107 o la versión 6.2.7.1, estás protegido. Si solo dice 5.0, el hot-patch no se aplicó. - Si usas UnrealIRCd 5 (o anterior), migra. La versión 5 está fuera de soporte desde 2023 y no recibirá parche. Como contención temporal, añade
blacklist-module "labeled-response";a la configuración de todos los servidores y reinícialos. Pero la única salida real es actualizar a UnrealIRCd 6. - Revisa si ya te han atacado. CISA exige triaje forense para este CVE. Busca en los logs expulsiones (KILL) y baneos globales (GLINE) inusuales, conexiones de usuarios que aparecieron de repente con actividad de operador y cualquier cambio de configuración no autorizado. No hay IOCs públicos, así que la revisión tiene que ser manual y centrada en el comportamiento.
La mirada del SOC: qué vigilar
Este caso deja tres lecciones para quien defiende infraestructuras. La primera: el plazo entre parche y explotación se mide en horas. El hot-patch salió el 7 de noviembre y los ataques empezaron el 8. Un parche «para la semana que viene» ya es tarde cuando el propio mantenedor confirma explotación activa.
La segunda: el fallo lo encontró la IA. Los nueve problemas se detectaron en una auditoría interna asistida por IA —el mantenedor calcula unas 100 horas de trabajo con estas herramientas desde febrero de 2026—. Si los defensores usan IA para auditar, los atacantes también la usan para buscar. El software que lleva meses sin una revisión de seguridad seria es el siguiente objetivo, no el más seguro.
La tercera: lo «viejo y estable» también cae. IRC parece tecnología de otra época, pero sigue moviendo comunidades enteras, y un fallo en la etiqueta de un mensaje basta para tomar el control de toda una red. En un SOC, los servicios heredados que nadie mira son los que hay que inventariar primero: si no sabes que tienes un UnrealIRCd corriendo, tampoco sabrás que te lo han comprometido.
Fuentes
- The Hacker News — «Attackers Exploit UnrealIRCd Flaw That Enables Server-Level Command Injection»: https://thehackernews.com/2026/11/attackers-exploit-unrealircd-flaw-that.html
- CISA — Known Exploited Vulnerabilities Catalog (CVE-2026-114713, añadido el 13/11/2026, corrección antes del 16/11/2026): https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- UnrealIRCd Forums — «UnrealIRCd 6.2.7.1 released & hot-patch to fix 9 security issues, including one CRITICAL (CVE-2026-114713)»: https://forums.unrealircd.org/viewtopic.php?t=9487
- Ostorlab — «UnrealIRCd Command Injection, Exploited in the Wild (CVE-2026-114713)»: https://blog.ostorlab.co/unrealircd-command-injection-cve-2026-114713.html