发生了什么
2026 年 11 月 13 日，美国网络安全与基础设施安全局（CISA）把 UnrealIRCd 漏洞 CVE-2026-114713 列入已知被利用漏洞（KEV）目录，联邦机构须在 2026 年 11 月 16 日前完成修复，并按要求开展取证分类。这是该漏洞继 11 月 13 日维护者确认在野利用之后的又一进展：CISA 的列入意味着已有可信的在野利用证据。
漏洞本身位于 UnrealIRCd 的 labeled-response 模块：服务器在回显 IRCv3 的 label 标签时未做转义，联网中任意一台服务器上的普通用户可以注入服务器间命令，并在联网内以服务器权限执行（例如 KILL、GLINE 等操作员命令）。CVSS 3.1 评分 8.6。
受影响范围与修复版本
受影响：UnrealIRCd 6.0.0 至 6.2.7；已停止维护的 v5 同样受影响。
修复版本：6.2.7.1（2026 年 11 月 7 日发布）；同日还发布了免重启热补丁 bundle-20261107，可在不重启服务器的情况下封堵该问题。另有 spamfilter 临时缓解命令（6.0.4 及以上版本可用），适用于暂时无法升级的场景。
关键提醒：修复必须在联网内的每一台服务器上都完成，只修其中一台不能保护整个网络——攻击者只需通过仍未修复的任意一台服务器即可注入命令。
自查步骤
- 核对版本：检查联网内每台服务器的 UnrealIRCd 版本，低于 6.2.7.1 的立即安排升级或打热补丁。
- 安装热补丁或升级：优先升级到 6.2.7.1；不能立即升级时先应用 bundle-20261107 热补丁，或按官方指引配置 spamfilter 临时规则。
- 核查异常操作：检查服务器日志中是否存在非操作员账号执行的 KILL、GLINE 等操作员命令，以及异常的服务器间命令记录。
- 排查联网配置：确认联网配置中是否存在未授权接入的服务器，收紧服务器互联（link）配置的准入。
- 联邦机构按 CISA 要求在 11 月 16 日前完成修复并开展取证分类；其他用户建议以同一期限为目标。
当前状态
截至北京时间 2026 年 11 月 14 日 03:13 核查：CVE-2026-114713 已于 2026 年 11 月 13 日列入 CISA KEV（联邦修复期限 2026 年 11 月 16 日），维护者已确认攻击者正在互联网上利用该漏洞；本栏目 11 月 13 日已发布在野利用指南，本文为 KEV 列入的跟进。后续如出现新的利用动态或修复更新，将另行跟进。
来源：CISA KEV 官方数据（2026.11.13 版）、UnrealIRCd 官方论坛安全通告、NVD。