¿Tecnología Geek te ahorra tiempo? Agréganos como tu fuente preferida en Google y ve más noticias nuestras en tus resultados. Fuente preferida en Google
El fallo crítico de UnrealIRCd, registrado como CVE-2026-114713, ya se explota en internet y permite que un usuario común ejecute comandos con autoridad de servidor. No hace falta robar una contraseña ni ser operador de la red: basta entrar como visitante a una red de chat con dos o más servidores enlazados y colar la orden por una etiqueta del protocolo. La Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA) lo sumó el 13 de noviembre a su catálogo de vulnerabilidades explotadas, con plazo de corrección para las agencias federales el 16 de noviembre.
UnrealIRCd es uno de los servidores de IRC (Internet Relay Chat, el sistema de salas de chat por texto anterior a las aplicaciones de mensajería) más usados del mundo, y sostiene redes públicas, comunidades de software libre y canales de soporte con décadas de historia. Su mantenedor, Bram Matthys, conocido como Syzop, describió el agujero como el problema más grave hallado en el programa en 15 años. La gravedad oficial también lo respalda: 8,6 sobre 10 en la escala CVSS.
El defecto vive en el módulo labeled-response. Ese componente repite en las respuestas del servidor la etiqueta label del estándar IRCv3, y lo hace sin escapar los caracteres que delimitan los comandos. Un usuario cualquiera puede esconder saltos de línea y órdenes completas dentro de esa etiqueta; cuando el servidor la devuelve, las órdenes viajan como tráfico entre servidores y se ejecutan con la autoridad del propio servidor. En la práctica, el visitante queda en condiciones de expulsar usuarios con KILL, vetar direcciones completas con GLINE y ejecutar operaciones reservadas a los operadores de la red, los IRCOp.
Una auditoría con IA encontró nueve fallos y los ataques tardaron un día
La historia arrancó dentro del propio proyecto. Durante una auditoría interna hecha con ayuda de inteligencia artificial, el equipo de UnrealIRCd dio con nueve problemas de seguridad y publicó la corrección el 7 de noviembre: la versión 6.2.7.1 y un parche en caliente, bundle-20261107, que se instala sin reiniciar el servidor y sin tumbar la red. El foro oficial de UnrealIRCd detalló que el paquete corrige, junto al fallo crítico, dos fugas que permitían revelar la dirección IP real de un usuario con la identidad oculta, además de cuelgues, bloqueos y fallos de denegación de servicio.
Esa tranquilidad duró horas. The Hacker News reportó que los intentos de explotación empezaron el 8 de noviembre, un día después de publicarse la corrección, y el propio Matthys actualizó su aviso con una frase seca: los atacantes están explotando el problema en internet en este momento, y quien no haya aplicado el parche o la mitigación debe hacerlo cuanto antes. Todavía no hay un grupo identificado detrás de los ataques ni un objetivo final confirmado; el botín inmediato es el control administrativo de redes enteras de chat, con su capacidad de manipular canales, espiar direcciones IP y cortar el servicio.
La entrada en el catálogo de CISA mueve el caso a otro nivel. Ese listado, el de vulnerabilidades que ya se explotan de forma activa, es la misma lista donde esta semana entró el fallo de Cisco BroadWorks CVE-2026-20320, y obliga a las agencias civiles federales a corregir por la Directiva Operativa Vinculante 26-04. El aviso del 13 de noviembre añadió dos entradas; la segunda afecta a productos de Check Point y ya contaba con cobertura propia. Para UnrealIRCd la fecha marcada es el lunes 16 de noviembre, tres días después del aviso.
Parche sin reiniciar, mitigación inmediata y un aviso para los servidores viejos
La salida rápida existe y está documentada por el proyecto. Como primer paso, un operador puede aplicar una regla de spamfilter que bloquea las etiquetas label malformadas y protege a todos los servidores enlazados, siempre que la red corra la versión 6.0.4 o una posterior. El arreglo completo llega con el parche en caliente en cada servidor, verificable con el estado del módulo labeled-response, o con la actualización a la 6.2.7.1, que sí exige reinicio. Las versiones afectadas por el fallo crítico van de la 6.0.0 a la 6.2.7, y el aviso avisa de un frente olvidado: UnrealIRCd 5, con soporte terminado desde el 1 de julio de 2023, carga el mismo defecto y solo admite una mitigación por configuración que desactiva el módulo.
El tramo más incómodo del aviso lo firma el propio mantenedor. Matthys contó que desde febrero de 2026 ha dedicado unas 100 horas a auditar el código con herramientas de inteligencia artificial, y que la mejora de calidad del último mes le parece difícil de ignorar. Su lectura, escrita en el foro del proyecto, apunta a cualquier programa de red que lleve meses sin correcciones de seguridad: o nadie lo ha revisado con estas herramientas, o alguien con malas intenciones sí lo hizo y no avisó. Las redes de IRC que siguen en versiones 3.2.x, 4 o 5 entran de lleno en ese retrato, con un plazo federal del 16 de noviembre que las empresas y comunidades fuera del Gobierno harían bien en tomarse como propio.
Fuente: CISA
La conversación sigue en el foro
Comenta esta noticia, pregunta lo que quieras y comparte tu experiencia con otros lectores en el foro de Tecnología Geek. Participar es gratis: solo necesitas tu cuenta del sitio.
Entrar al foro
