CVE-2026-114713CVSS 8.6IRCv3 label 命令注入
构造的 label 标签可向互联服务器的流量注入 IRC 命令。普通客户端可用服务器权限执行 KILL、GLINE 等命令。
UnrealIRCd 标签注入漏洞允许普通用户执行特权 IRC 命令
攻击者正利用 CVE-2026-114713，从普通客户端连接向互联的 UnrealIRCd 服务器注入服务器间命令。 6.2.7.1 和 11 月 7 日的热补丁修复了该漏洞及另外八项安全问题。
- 披露时间
- 2026年11月7日
- 公开披露日期
- 严重程度
- CVSS 8.6
- 本页收录 1 个 CVE
- 波及范围
- 至少有两台服务器互联、加载 labeled-response 模块且未修补的 UnrealIRCd 6 和 5 网络。
- unrealircd · irc · injection · exploited
- 在野利用
- 已发现
- UnrealIRCd 维护者于 11 月 8 日报告漏洞已被用于实际攻击。
发生了什么
连接到受影响 IRC 网络的客户端可发送构造的 IRCv3 label 标签。labeled-response 模块把未转义的
分隔符带入服务器间转发的回复，接收服务器会将其解释为额外的 IRC 命令。这条路径需要至少两台服务器互联。
注入的 IRC 命令以服务器权限执行。客户端可用 KILL 断开其他用户，或用 GLINE 实施全网封禁。
项目将此注入漏洞评为严重，MITRE 记录的 CVSS 3.1 评分为 8.6。维护者于 11 月 8 日确认在野利用， 尚未公布受害者数量或攻击指标。同批另外八项修复涉及两种用户 IP 泄露、重新检查黑名单时挂起、服务组件的 CHGIDENT 触发崩溃、错误地向新连接返回服务器已满、服务组件设置过多封禁、TLS 重新协商可能造成洪泛， 以及 WHOWAS 数据库可能崩溃。 临时过滤规则覆盖命令注入，其余问题须应用完整热补丁或安全版本。
马桶里有什么
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| UnrealIRCd 6 | 6.2.7.1 | 仍受支持。类 Unix 上的 6.0.0 至 6.2.7 可用热补丁。 |
| UnrealIRCd 5 | 无修复 | 已停止支持。迁移至 6.2.7.1 或更新版本期间，禁用 labeled-response 并重启。 |
案发时间线
2026 年 11 月 4 日
项目预告安全更新
预告让运维人员提前准备应用严重漏洞修复和热补丁。
11 月 7 日 15:00 UTC
UnrealIRCd 发布 6.2.7.1 和热补丁
维护者披露特权 IRC 命令注入漏洞和另外八项修复。
11 月 8 日 02:31 UTC
CVE 记录公开
MITRE 发布 CVE-2026-114713，CVSS 3.1 评分为 8.6。
2026 年 11 月 8 日
维护者报告实际攻击
项目更新公告，敦促管理员立即部署防护。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- UnrealIRCd 维护者公告及在野利用更新一手来源确认实际攻击及受影响的 5.x 系列，给出过滤、热修补、升级和验证步骤。
- UnrealIRCd 项目发布公告一手来源给出预告和 11 月 7 日安全更新的发布日期。
- MITRE CVE 记录一手来源明确服务器互联的前提和 CVSS 3.1 评分 8.6。记录正文描述 6.x，项目另行确认 5.x。
- 维护者在 oss-security 的披露一手来源解释 label 标签中未转义的换行符如何将 IRC 命令注入服务器链路。
- UnrealIRCd 热补丁故障排查一手来源说明如何排查热补丁失败，以及何时需要升级服务进程。
- GitHub 公告数据库别名将 GHSA-237f-p9h6-wq4r 列为 CVE-2026-114713 的别名。