Cảnh báo: Lỗ hổng nghiêm trọng trên UnrealIRCd đang bị khai thác để thực thi lệnh từ xa

Cơ quan An ninh Cơ sở hạ tầng và An ninh mạng Hoa Kỳ (CISA) vừa chính thức bổ sung một lỗ hổng bảo mật nghiêm trọng ảnh hưởng đến UnrealIRCd, một phần mềm máy chủ Internet Relay Chat (IRC) mã nguồn mở, vào danh mục các lỗ hổng bị khai thác thực tế (Known Exploited Vulnerabilities – KEV).

Lỗ hổng này được định danh là CVE-2026-114713 với điểm CVSS lên tới 8.6. Đây là lỗi liên quan đến việc xử lý không đúng các ký tự phân tách (delimiters), cho phép kẻ tấn công thực thi các lệnh tùy ý với đặc quyền của máy chủ hoặc IRCOp.

Chi tiết kỹ thuật

Theo mô tả từ Cơ sở dữ liệu lỗ hổng quốc gia (NVD), module labeled-response trong các phiên bản UnrealIRCd từ 6.0.0 đến trước 6.2.7.1 không thực hiện thoát (escape) thẻ tin nhắn ‘label’ của IRCv3 khi phản hồi. Điều này tạo điều kiện cho bất kỳ người dùng nào trên mạng lưới có từ hai máy chủ liên kết trở lên có thể chèn các lệnh server-to-server, từ đó thực thi lệnh với quyền hạn cao nhất của hệ thống.

Bram Matthys (Syzop), trưởng dự án UnrealIRCd, cho biết đây là lỗ hổng nghiêm trọng nhất được phát hiện trong phần mềm này suốt 15 năm qua. Ông xác nhận rằng các cuộc tấn công thực tế đã bắt đầu xuất hiện chỉ một ngày sau khi bản vá 6.2.7.1 được phát hành vào ngày 7/11/2026.

Khuyến nghị cho quản trị viên

Hiện tại, các chi tiết cụ thể về mục tiêu và phương thức tấn công vẫn đang được điều tra. Tuy nhiên, các chuyên gia bảo mật khuyến cáo:

• Cập nhật ngay lập tức: Người dùng cần nâng cấp máy chủ lên phiên bản UnrealIRCd 6.2.7.1 càng sớm càng tốt.
• Giải pháp tạm thời: Nếu chưa thể cập nhật, quản trị viên nên triển khai bộ lọc spam (spamfilter) theo hướng dẫn từ nhà phát triển để giảm thiểu rủi ro.

Các cơ quan thuộc Chính phủ Hoa Kỳ đã được yêu cầu áp dụng các bản vá cần thiết trước ngày 16/11/2026 theo Chỉ thị vận hành bắt buộc (BOD) 26-04.

Nguồn tham khảo: The Hacker News