要点
- IRC サーバーの UnrealIRCd に、ふつうの利用者が管理者並みの命令を実行できてしまう欠陥（CVE-2026-114713）が見つかった。
- 開発者の告知によると、利用者は改行などの特殊な文字を、サーバー間の通信に差し込める。
- 修正版 6.2.7.1 が出ており、更新が急ぎである。
何が起きたか
UnrealIRCd は、チャットの仕組み IRC のサーバーソフトだ。自分でチャットサーバーを立てる個人や団体が使う。
開発者の Bram Matthys 氏は 2026年11月7日に、セキュリティ更新 6.2.7.1 を出した。2026年11月8日に oss-sec（脆弱性情報の公開用メーリングリスト）へ告知を投稿している。直す欠陥は全部で9件ある。
そのうち最も重いのが CVE-2026-114713 だ。IRC の拡張機能のひとつ「label」という付加情報の扱いに誤りがあり、改行などの特殊な文字をそのまま通してしまう。開発者の告知によると、利用者はこれをサーバー間の通信に差し込める。IRC は文字で命令をやり取りする仕組みなので、差し込んだ文字が命令として動く。その結果、利用者の強制切断（KILL）や接続禁止（GLINE）など、運営者（IRCOp）の権限が要る操作ができるという。告知は「過去15年で UnrealIRCd に見つかった最も重大な問題」と書いている。
悪用の状況には注意が要る。Red Hat の記録には「開発元が悪用の試みを報告している」という書き込みがある。書き込みの日時は 2026年11月8日 19:13（UTC）と記録されている。ただし、元の告知へのリンクは付いていない。開発者の告知からは、悪用の確認までは読み取れなかった。
日本の利用者への影響
日本での利用規模や被害の報告は、確認できなかった。UnrealIRCd は自前運用の IRC ネットワークで使われる。ふつうの企業システムや一般向けのサービスで見かけるソフトではない。ただ、自分で IRC サーバーを動かしている人や団体は、国内でも対象になりうる。
今すぐやること
- 自分の組織が UnrealIRCd を動かしているか確かめる。分からなければ、サーバーの管理者に聞く。
- 動かしているなら、版を確認する。6.0.0 から 6.2.7 までは対象である。
- 開発者は、更新より先に、運営者権限での一時的な遮断設定を行うよう勧めている。これで、すぐにある程度は守れるという。ただし、これは連結している全サーバーが 6.0.4 以上のときだけ効く。ほかの8件は直らない。中身は開発者の告知を見る。
- そのうえで、再起動なしで当てられる修正パッチ（ホットパッチ）か、6.2.7.1 への更新を行う。開発者はどちらかを勧めている。連結している全サーバーに当てる。
- 版 5 は2023年にサポートが終わっている。開発者は「6 に上げるべき」としている。
背景
今回の欠陥は、開発者が2026年2月から続けた AI を使った監査で見つかったという。開発者の告知によると、約100時間をかけたとされる。
IRC サーバーは、昔から攻撃者に狙われてきた。UnrealIRCd では2010年に、配布物にバックドア（裏口）が仕込まれた事件があった。古い版を放置しないことが、いちばんの備えである。
技術者向けの詳細
- 原因: IRCv3 label メッセージタグ（labeled-response モジュール）のエスケープ不備。
- 対象: 6.0.0〜6.2.7。版 5 も同様に影響を受ける（EOL）。3.2.x と 4 は未確認だが、一部の別件は 3.2.x まで遡るという。
- 修正: 6.2.7.1。Red Hat の記録では、悪用には連結した複数ノードの構成が要る。
- ホットパッチ（Windows 以外）:
./unrealircd hot-patch bundle-20261107 - 確認:
./unrealircd module-status | grep labeled-response。labeled-response 5.0-hot-patch-bundle-20261107と出れば適用済み。 - 更新（再起動あり）:
./unrealircd upgrade。Windows は 6.2.7.1 を配布元から入れる。 - 版 5 の暫定策: 設定に
blacklist-module "labeled-response";を足し、全サーバーを再起動する（rehash では足りない）。 - 連結の有無: 設定ファイルの link ブロックを確認する。
- 同時に直る別件: IP アドレス漏れ（2件）、クラッシュ、満員誤判定、TLS 再交渉の洪水など。