UnrealIRCd 项目维护者在官方安全通告中确认，关键漏洞 CVE-2026-114713 正在互联网上被攻击者实际利用。该漏洞影响 UnrealIRCd 6.0.0 至 6.2.7，修复版 6.2.7.1 与免重启热补丁已于 2026 年 11 月 7 日发布。维护者称，这是该项目 15 年来发现的最严重问题。本文只讲防御：受影响版本、修复版本与自查步骤。
漏洞与影响范围
CVE-2026-114713（CVSS 8.6）位于 labeled-response 模块：该模块回显 IRCv3 的 label 消息标签时未做应有的转义，普通用户可借此向服务器间流量注入额外内容。在由两台或更多服务器联网组成的 IRC 网络中，被注入的内容会被接收服务器当作服务器间命令执行，执行者获得的是服务器权限——普通用户因此可以执行 KILL（踢出任意用户）、GLINE（全网封禁）等只有服务器或 IRC 操作员才能执行的操作。
受影响版本：UnrealIRCd 6.0.0 至 6.2.7。已停止支持的 UnrealIRCd 5 同样受该关键问题影响（该版本已于 2023 年 7 月 1 日停止支持，不应继续运行）。单台独立服务器（无联网）不在该漏洞的利用条件内，但仍应修复随同发布的其余 8 个安全问题。
修复版本
请按以下任一方式修复，两种方式同时修复本次发布的全部 9 个安全问题：
- 热补丁（免重启）：在每台 UnrealIRCd 服务器上执行 ./unrealircd hot-patch bundle-20261107，适用于 6.0.0 至 6.2.7。成功时屏幕末尾会显示“Patch installed and server rehashed correctly. All should be good now!”。
- 升级（需重启）：升级到 6.2.7.1（*NIX 上可执行 ./unrealircd upgrade，随后重启服务器；Windows 用户从官网下载 6.2.7.1）。
若尚未完成上述任一步，先立即部署临时缓解：在网络上以 IRC 操作员身份执行 /SPAMFILTER add -regex T block - Invalid_label ^label=(?![^\r\n;\x20]*\z)。该命令可为联网中的全部服务器挡住该关键问题，前提是所有服务器均为 6.0.4 或更新版本；但它不能替代补丁，其余 8 个问题仍需通过热补丁或升级修复。
自查清单
- 查版本：确认每台服务器的 UnrealIRCd 版本，低于 6.2.7.1 且未打热补丁的立即处理。
- 核对热补丁是否生效：在服务器 shell 执行 ./unrealircd module-status | grep labeled-response。显示 labeled-response 5.0-hot-patch-bundle-20261107 表示热补丁已装好；显示 6.2.7.1 表示正在运行修复版；若只显示 5.0（无补丁包后缀），表示热补丁未装上，需按官方 FAQ 排查或改用升级方式。也可以在 IRC 中以操作员身份用 MODULE -all 查看，远程服务器可用 MODULE -all 远程服务器名查看。
- 查联网服务器：热补丁与升级须在网络内每台服务器上都做，只修一台不能保护整个网络。
- 查日志：检查补丁前的日志中是否有异常的 label 标签内容（如内嵌控制字符或协议关键字），发现可疑活动按网络已遭入侵处理并排查异常的 KILL、GLINE 等操作记录。
- 处理停更版本：仍在运行 UnrealIRCd 5 的，应尽快升级到 UnrealIRCd 6；如暂时无法升级，须在全部服务器的配置文件中加入 blacklist-module "labeled-response"; 并重启服务器（注意是重启，不是 rehash）。
该漏洞目前未列入 CISA 已知被利用漏洞目录（KEV），但厂商已确认在野利用正在发生，未修复的联网 IRC 网络面临直接风险，请尽快处理。
来源：UnrealIRCd 官方论坛安全通告（维护者 Bram Matthys，2026-11-08 发布于 oss-security，通告后续更新确认在野利用）；NVD（CVE-2026-114713，CVSS 3.1 8.6）；CISA KEV 官方目录（2026.11.10 版，1,779 条，未列入）。