CVE-2026-114713: neutralización incorrecta de delimitadores en UnrealIRCd permite inyectar comandos entre servidores

CVE-2026-114713: inyección de comandos servidor a servidor en UnrealIRCd, explotada activamente

La CISA añadió el CVE-2026-114713 al catálogo Known Exploited Vulnerabilities (KEV) el 13 de noviembre de 2026, lo que confirma que existe explotación activa. Se trata de una vulnerabilidad de neutralización incorrecta de delimitadores (CWE-140) en UnrealIRCd, uno de los servidores IRC más usados. Según CISA, el uso en campañas de ransomware es desconocido. Al momento de la publicación no hay puntuación CVSS enriquecida por NVD.

La fecha límite para las agencias civiles federales de EE. UU. (FCEB) es el 16 de noviembre de 2026, solo tres días después de la inclusión. El plazo corto indica que CISA considera el riesgo elevado.

Análisis técnico

Cómo funciona el fallo

Según la descripción de CISA, UnrealIRCd no neutraliza correctamente ciertos delimitadores del protocolo. En una red con dos o más servidores enlazados, cualquier usuario puede incluir esos delimitadores en datos que el servidor reenvía a sus pares. El servidor receptor interpreta la entrada como comandos independientes de servidor a servidor y los ejecuta con autoridad de servidor.

Vector de ataque

Requisitos: acceso como usuario normal a una red IRC con al menos dos servidores enlazados.
Privilegios: no hacen falta privilegios de operador ni credenciales de enlace.
Resultado: los comandos inyectados circulan por el canal de confianza entre servidores, que normalmente no pasa por las comprobaciones de permisos aplicadas a los usuarios.

Los detalles de explotación y el parche están en el aviso del fabricante: foro oficial de UnrealIRCd. Este análisis no reproduce cargas útiles.

Impacto operacional y de seguridad

Suplantación de usuarios, canales y servidores, y manipulación del estado de la red.
Posible toma de control de canales, cambios de privilegios y desconexión de usuarios o servidores.
Un servidor IRC comprometido puede usarse como infraestructura de mando y control (C2) o como punto de apoyo hacia otros sistemas.
Riesgo de integridad y disponibilidad de toda la red enlazada, no solo del servidor atacado.

Productos afectados

Producto: UnrealIRCd (proveedor UnrealIRCd), en despliegues con enlaces entre dos o más servidores. Las versiones exactas afectadas y corregidas deben consultarse en el aviso del fabricante; no se listan aquí porque el payload CISA no las incluye.

Recomendaciones y mitigación

Acciones inmediatas recomendadas

Actualizar UnrealIRCd a la versión corregida indicada por el fabricante en todos los servidores enlazados.
Inventariar redes IRC propias y heredadas, incluidas las que solo usan equipos de desarrollo o soporte.
Evaluar la exposición a internet de cada activo, como exige la BOD 26-04.
Triage forense: revisar registros de enlaces y comandos de servidor inusuales, conforme a los «Forensics Triage Requirements» de CISA.
Restringir el acceso de usuarios a la red mientras se aplica el parche, y retirar el producto si no hay mitigaciones disponibles.