Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) pada hari Jumat resmi memasukkan kerentanan tingkat tinggi pada UnrealIRCd, sebuah perangkat lunak server Internet Relay Chat (IRC) sumber terbuka, ke dalam katalog Known Exploited Vulnerabilities (KEV) milik mereka menyusul adanya laporan eksploitasi aktif di dunia maya.
Celah keamanan ini tercatat dengan kode CVE-2026-114713 serta mengantongi skor CVSS sebesar 8,6. Masalah tersebut berakar dari kegagalan netralisasi pembatas karakter yang berisiko disalahgunakan oleh pihak asing guna menjalankan instruksi sembarang melalui hak akses tingkat server atau IRCOp.
"Modul labeled-response pada UnrealIRCd versi 6.0.0 hingga sebelum 6.2.7.1 tidak menyaring tag pesan ‘label’ IRCv3 saat mengirimkan kembali balasan, sehingga memungkinkan setiap pengguna dalam jaringan dengan dua atau lebih server terhubung untuk menyuntikkan perintah server-ke-server yang dieksekusi menggunakan wewenang server," ungkap deskripsi kerentanan di basis data National Vulnerability Database (NVD) kepunyaan NIST.
Pencatatan resmi ini berlangsung hampir sepekan semenjak pengembang, pemimpin proyek, sekaligus pengelola UnrealIRCd, Bram Matthys (dikenal sebagai Syzop), merilis pembaruan versi 6.2.7.1 untuk menutup sejumlah celah yang terdeteksi lewat bantuan kecerdasan buatan, termasuk kelemahan CVE-2026-114713.
"Kami mendapati pelaku kejahatan siber tengah mengeksploitasi masalah ini di internet saat ini," kata Matthys. "Kami berharap semua pihak telah memasang tambalan cepat atau memperbarui sistem mereka, atau setidaknya menerapkan solusi sementara filter spam. Jika belum dilakukan, segera selesaikan secepatnya!"
Upaya serangan dilaporkan mulai berlangsung sehari sesudah peluncuran perbaikan kilat pada tanggal 7 November 2026. Kendati demikian, rincian pasti perihal serangan jahat beserta target akhirnya masih belum terungkap. Pengelola platform menyebut kendala ini sebagai "masalah paling kritis" yang pernah menghantam sistem UnrealIRCd dalam 15 tahun terakhir.
Seluruh instansi Federal Civilian Executive Branch (FCEB) kini diwajibkan untuk mengimplementasikan pembaruan paling lambat hingga tanggal 16 November 2026 mendatang sesuai arahan Binding Operational Directive (BOD) 26-04 mengenai prioritas mitigasi keamanan berdasarkan risiko ancaman.
