UnrealIRCd CVE-2026-114713: Sıradan Kullanıcıya Sunucu Yetkisi Veren Açık Saldırıda, 6.2.7.1 ve Sıcak Yama

Açık nedir? (What is CVE-2026-114713)

UnrealIRCd, dünyada en yaygın kullanılan IRC sunucu yazılımlarından biri. IRCv3 standardındaki "labeled-response" özelliği, istemcinin gönderdiği komuta bir etiket (label) eklemesine ve sunucunun cevabı aynı etiketle döndürmesine olanak tanır. Böylece istemci hangi cevabın hangi komuta ait olduğunu bilir.

Sorun, UnrealIRCd'nin bu etiketi cevaplara ve sunucular arası trafiğe yazarken satır sonu gibi ayırıcı karakterleri doğru kaçışlamamasıdır (CWE-140). IRC metin tabanlı bir protokol olduğu için etikete satır sonu sokabilen bir kullanıcı, sunucular arası bağlantıya kendi komut satırını ekleyebilir. Bu satır diğer sunucu tarafından sunucunun kendi komutu gibi işlenir.

Proje bakımcısının oss-security listesindeki duyurusuna göre bu yolla "herhangi bir sıradan kullanıcı KILL, GLINE ve daha birçok kötü işlem yapabilir". Yani kullanıcıları ağdan atmak, IP yasakları koymak gibi IRC operatörü yetkisi gerektiren işler yetkisiz yapılabilir. Duyuruda açığın internette aktif olarak kullanıldığı da belirtildi.

CVE kaydındaki CVSS 3.1 puanı 8,6 (ağ üzerinden, kimlik doğrulamasız, kullanıcı etkileşimi yok, kapsam değişiyor, bütünlük etkisi yüksek). CISA açığı 13 Kasım 2026'da Bilinen İstismar Edilen Açıklar (KEV) kataloğuna "UnrealIRCd Improper Neutralization of Delimiters" başlığıyla ekledi.

Etkilenen ve düzeltilmiş sürümler (Affected versions)

Kaynaklar arasında küçük bir fark var: Red Hat'in hata kaydı 6.0.0–6.2.7 aralığını, bazı CVE veritabanları "6.2.7.1 öncesi tüm sürümleri" etkilenen olarak gösteriyor. Pratikte sonuç aynı: 6.2.7.1'den eski her kurulum yamalanmalı.

Sıcak yama ve yükseltme (Hot-patch and upgrade)

UnrealIRCd 6 sürümleri, sunucuyu yeniden başlatmadan modül değiştiren bir sıcak yama mekanizmasına sahip. Kullanıcıları ağdan düşürmemek için önerilen yol budur (Windows'ta çalışmaz):

./unrealircd hot-patch bundle-20261107

Komut ağdaki her sunucuda ayrı ayrı çalıştırılmalı. Son satırda yamanın kurulduğu ve yapılandırmanın yeniden yüklendiği yazmalıdır. Doğrulamak için:

./unrealircd module-status | grep labeled-response

• 5.0-hot-patch-bundle-20261107 görünüyorsa sıcak yama uygulanmış.
• 6.2.7.1 görünüyorsa sunucu düzeltilmiş sürümü çalıştırıyor.
• Yalnız 5.0 görünüyorsa yama uygulanmamış.
• Çıktı boşsa IRC üzerinden MODULE -all komutuyla kontrol edin.

Sıcak yama başarısız olursa ya da yeniden başlatma sorun değilse tam yükseltme yapılır: Unix benzeri sistemlerde ./unrealircd upgrade ardından yeniden başlatma, Windows'ta 6.2.7.1 kurulum dosyasının indirilmesi.

Geçici önlemler (Workarounds)

Hemen uygulanabilecek önlem: Duyuruda, bir IRC operatörünün ağ genelinde zararlı label= değerlerini engelleyen bir SPAMFILTER kuralı eklemesi öneriliyor. Bu kural yalnız ağdaki tüm sunucular 6.0.4 veya daha yeni ise koruma sağlıyor ve aynı sürümde kapatılan diğer sorunları çözmüyor. Kuralın tam metni proje duyurusunda yer alıyor.

UnrealIRCd 5 için: tüm sunucuların yapılandırmasına aşağıdaki satır eklenir ve sunucular yeniden başlatılır. Yalnız yapılandırmayı yeniden yüklemek (rehash) yetmez.

blacklist-module "labeled-response";

Bu önlem labeled-response özelliğini kapatır; bu özelliği kullanan modern IRC istemcileri cevapları etiketsiz alır ama bağlantı çalışmaya devam eder.

Aynı sürümde kapatılan diğer sorunlar (Other fixes)

6.2.7.1 ve sıcak yama toplam dokuz sorunu kapatıyor. CVE numarası olan yalnız ilki:

1. Sunucu/IRC operatörü yetkisiyle komut çalıştırma (CVE-2026-114713)
2. Kullanıcıların başka kullanıcıların gizlenmiş IP adresini ortaya çıkarabilmesi
3. Ayrı bir IP adresi sızıntısı
4. Kara liste yeniden kontrolünün sunucuyu kilitleyebilmesi
5. Normal bir kullanıcının tetikleyebildiği, servislerden gelen CHGIDENT'te çökme
6. Sayaç hatası nedeniyle yeniden başlatılana kadar her yeni bağlantıya "sunucu dolu" mesajı verilmesi
7. Servislerin koyabileceği yasak sayısının set::maxbans değerinin iki katıyla sınırlanması
8. TLS yeniden anlaşmalarıyla olası taşma (flood) sorunu
9. whowasdb modülünde olası çökme

Duyuruya göre hatalar, yapay zekâ destekli bir iç denetim sırasında bulundu. Bu, son aylarda açık kaynak projelerde sıkça görülen bir eğilim: denetim araçları hızlanınca yıllardır kodda duran hatalar art arda ortaya çıkıyor. Sunucu tarafındaki benzer bir zincir için CISA'nın 9 Kasım KEV eklemeleri yazımıza bakabilirsiniz.

Sık sorulan sorular

Kendi IRC sunucum yok, etkilenir miyim?

Hayır. Açık sunucu yazılımında; IRC istemcisi kullananların bir şey yapması gerekmiyor. Ancak bağlandığınız ağın yöneticileri yama yapmadıysa o ağda yetkisiz KILL ve yasaklarla karşılaşabilirsiniz.

Sıcak yama sonrası yeniden başlatma gerekir mi?

Hayır. Sıcak yama, modülü çalışan sunucuda değiştirir. Daha sonra planlı bir bakımda 6.2.7.1'e tam yükseltme yapılması önerilir.

Tek sunucuyu yamalamak yeterli mi?

Hayır. Saldırı sunucular arası trafiği kullandığı için ağdaki her sunucu yamalanmalıdır.

İlgili sayfalar: Web hosting · Web yazılım hizmetleri · İletişim

Kapak fotoğrafı: Deavmi / Wikimedia Commons (CC BY-SA 3.0)