AI・テック報道注目順 08
UnrealIRCdに悪用確認の脆弱性。修正版6.2.7.1と、更新後に確かめたい点
出来事・発表：2026-11-13 / 出典公開：2026-11-14
内容確認：2026/11/15 17:06 JST
記事公開： / 記事更新：
編集：failsafe AI NEWS / AIによる調査・要約
チャットサーバーソフトUnrealIRCdで、一般利用者がIRC上の管理権限を持つ命令を実行できる脆弱性の悪用を、開発者が確認した。修正は11月7日に公開済みで、13日にはCISAの既知悪用リストにも追加された。対象条件と、更新や修正の適用を確かめる方法を整理する。
押さえておきたい要点
- 6.0.0から6.2.7.1未満のlabeled-response機能と、複数サーバーの接続が問題となる
- 修正版6.2.7.1か公式ホットパッチを適用し、実際のモジュール状態も確認する
- 開発元の告知は7日、悪用の追記は8日、既知悪用リストへの登録は13日
修正の公開と、既知悪用の登録は別の日
開発者は11月7日に修正版を公開し、8日のフォーラム投稿で悪用の試みが始まったと報告した。CIRCLが収録するCISAデータでは、CVE-2026-114713の既知悪用登録日は13日で、14日には専門媒体も取り上げた。米連邦文民行政機関向けの対応期限として16日が記録されているが、世界の全運用者に同じ法的期限が設定されたという意味ではない。修正自体が13日に初公開されたとも読まない。
問題となるのは、つながったIRCサーバー間の命令
CVE記録は、6.0.0から6.2.7.1未満のlabeled-responseモジュールを対象とする。これは依頼と返答を対応させるタグを扱う機能だ。複数のサーバーを接続したネットワークで、一般利用者がサーバー権限のIRC命令を紛れ込ませられるという。開発者は利用者の切断や接続禁止などの操作を例示する。これはIRC内の権限の問題であり、説明にある命令実行をそのままOS全体の権限取得と置き換えない。
回避策と、全体の修正を区別する
開発元は修正版6.2.7.1への更新と、一部環境向けのホットパッチを案内した。再起動なしで修正を当てる方法だが、Windowsなどは更新が必要となる。一時回避のフィルターは全接続先が6.0.4以降であることが条件で、同時に告知された他の不具合は直らない。環境ごとに公式の手順を選ぶ。
修正後は、動いているモジュールまで確認
開発元は作業後に動作中のモジュールを調べ、修正版やパッチ識別子を確かめるよう案内した。旧5系にも影響があり、保守は終了している。今後は各接続先の適用状況と追加告知を確認したい。フォーラムとoss-securityは同じ開発者の説明で、別々の裏付けとは数えない。
確認できない点・読み方
悪用確認は開発者の説明で、当サイトが被害組織や攻撃ログを独立検証したものではない。CISA直接ページは取得できず、登録日はCIRCLが収録するCISAデータで照合した。IRC上の管理権限をOSのroot権限取得と混同しない。被害件数や攻撃者は推測しない。
GO TO THE SOURCE
出典を読む
本記事は出典に基づきAIを使用して作成した独自の要約です。転載記事・現地取材記事ではありません。