CISA 13 ноября добавила в каталог известных эксплуатируемых уязвимостей две записи: CVE-2026-114713 в UnrealIRCd с оценкой 8.6 и CVE-2026-123039 в продуктах Check Point с оценкой 7.8. Первая позволяет пользователю IRC-сети с двумя и более связанными серверами внедрять команды server-to-server, которые выполняются с полномочиями сервера. Вторая даёт локальному пользователю выполнение команд от root через DynamicCLI. Обе уязвимости исправлены, и обе, по данным каталога, уже используются в реальных атаках.
Что попало в каталог
Попадание в CISA KEV - это не оценка вероятности, а подтверждение: каталог пополняется уязвимостями, для которых есть свидетельства эксплуатации. Поэтому записи от 13 ноября означают, что обе ошибки уже применяли на практике, а не просто нашли и описали.
UnrealIRCd: внедрение команд server-to-server
UnrealIRCd - популярный IRC-сервер, на котором работают сети из нескольких связанных между собой серверов. В IRCv3 есть механизм labeled-response: клиент помечает запрос меткой label, а сервер возвращает её в ответе, чтобы клиент мог сопоставить ответ с запросом. Ошибка в module labeled-response в том, что при эхе метки в ответ сервер не экранирует её содержимое.
Из-за этого пользователь, у которого есть доступ к сети как минимум с двумя связанными серверами, может подставить в метку команды server-to-server. Сервер обработает их как команды от связанного сервера и выполнит с полномочиями сервера. Оценка CVSS 3.1 - 8.6: сетевой вектор, без привилегий и участия пользователя, область действия меняется, высокое влияние на целостность. Влияние на конфиденциальность и доступность в векторе не заявлено.
Уязвимы версии UnrealIRCd с 6.0.0 до 6.2.7 (не включая 6.2.7.1). Исправление вышло в 6.2.7.1, ошибка классифицирована как CWE-140, недостаточная нейтрализация разделителей. Для IRC-сети это означает риск того, что кто-то из пользователей сможет влиять на состояние сети и действия серверов, а не только общаться в каналах. Для сетей с одним сервером ошибка не срабатывает, но связанные серверы - обычная практика для тематических IRC-сетей.
Check Point: локальное повышение прав до root
Вторая запись - CVE-2026-123039 в Quantum Security Gateway и Quantum Security Management. Демон DynamicCLI в Gaia OS работает от root и слушает локальный сокет /tmp/dynamic_socket, созданный с правами 0777 и без аутентификации подключающихся процессов. Любой локальный пользователь, у которого уже есть доступ к системе, может отправить в сокет команду и получить её выполнение от root.
Оценка CVSS 3.1 - 7.8: локальный вектор, низкие привилегии, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность. Классы - CWE-862 (отсутствие проверки авторизации) и CWE-732 (некорректно назначенные права на критичный ресурс). Сама по себе ошибка не открывает удалённый вход, но превращает доступ с обычными правами в полный контроль над шлюзом или сервером управления.
Затронуты сборки R82.10 с Jumbo Hotfix Take 50 и ниже, R82.20 с Take 10 и ниже, R82 с Take 130 и ниже, R81.20 с Take 173 и ниже. Исправления вышли в Jumbo Hotfix Accumulator: R82.20 с Take 14, R82.10 с Take 52, R82 с Take 132, R81.20 с Take 174. Вендор отдельно отмечает, что эту уязвимость уже эксплуатировали против нескольких десятков клиентов, а временная мера - остановить процесс dynamic_server.
Эту же уязвимость мы упоминали в материале о цепочке PHP2Shell для шлюзов Check Point. Каталог KEV - отдельное событие: CISA подтвердила эксплуатацию, и по правилам издания такой выпуск выходит отдельно, даже если CVE уже звучал в другом посте.
Почему это важно
Для UnrealIRCd риск связан с доверием между связанными серверами. Если пользователь может отправлять команды от имени одного сервера другому, он влияет на маршрутизацию, состояние каналов и учётные записи в пределах полномочий сервера. Исправление в 6.2.7.1 нужно ставить на все связанные серверы: если обновится только часть сети, механизм останется доступным через старые узлы.
Для Check Point ключевой момент - уже подтверждённая эксплуатация. Атака требует локального доступа, но на шлюзах и серверах управления такой доступ часто есть у подрядчиков, администраторов и сервисных учётных записей. Получение root на устройстве, через которое проходит периметр, означает контроль над правилами, журналами и трафиком. Для обеих категорий систем промедление с патчем сохраняет возможность эксплуатации.
Что делать
Для UnrealIRCd - обновиться до 6.2.7.1 или новее на всех серверах сети, включая резервные и тестовые узлы, которые связаны с продакшеном. Пока обновление не установлено, стоит проверить, кто имеет доступ к сети и какие серверы связаны между собой.
Для Check Point - установить актуальные Jumbo Hotfix Take для своей ветки и проверить, что компонент dynamic_server входит в исправленную сборку. Если обновление откладывается, временная мера - остановить процесс dynamic_server; при этом перестанут работать команды Dynamic CLI, перечисленные в рекомендации вендора.
После обновления Check Point полезно проверить журнал /var/log/dynamicCli.log на команды, которые не используют ожидаемую обёртку Clish: это может указывать на попытки повышения прав. Для UnrealIRCd стоит просмотреть логи сети на необычные команды и активность пользователей с метками в запросах. Владельцам шлюзов Check Point полезно проверить, какие подрядчики и сервисные учётные записи имеют локальный доступ к устройствам.
В обоих случаях действует общее правило каталога: пополнение KEV означает подтверждённую эксплуатацию, поэтому обновление стоит ставить в приоритет и не откладывать до планового окна.
Ссылки
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- https://www.cve.org/CVERecord?id=CVE-2026-114713
- https://www.cve.org/CVERecord?id=CVE-2026-123039
