CISA inserisce UnrealIRCd e Check Point nel KEV: due vulnerabilità già sfruttate minacciano server e gateway

Executive Summary

• CISA inserisce due nuove vulnerabilità nel catalogo KEV. CVE-2026-114713 interessa UnrealIRCd e CVE-2026-123039 riguarda diversi prodotti Check Point. Per entrambe esistono evidenze di sfruttamento reale.
• UnrealIRCd permette di eseguire comandi con autorità del server. La vulnerabilità colpisce le reti IRC con più server collegati ed è stata corretta con UnrealIRCd 6.2.7.1.
• Check Point espone i sistemi a escalation locale fino a root. Il problema riguarda il demone DynamicCLI di Gaia OS. Il produttore ha pubblicato aggiornamenti Jumbo Hotfix e conferma alcuni casi di sfruttamento.

La Cybersecurity and Infrastructure Security Agency (CISA) ha aggiornato il 13 novembre 2026 il catalogo delle vulnerabilità sfruttate attivamente, inserendo due falle che interessano UnrealIRCd e Check Point. I nuovi identificativi sono CVE-2026-114713 e CVE-2026-123039, due problemi differenti per modalità di attacco ma accomunati dalla possibilità di ottenere autorizzazioni elevate su componenti infrastrutturali. Nel primo caso un normale utente IRC può impartire comandi con l’autorità di un server, mentre nel secondo un utente locale autenticato può raggiungere i privilegi root su determinati sistemi Gaia OS. Entrambe le vulnerabilità dispongono già di rimedi ufficiali, mentre per le agenzie federali statunitensi la scadenza indicata nel catalogo KEV è il 16 novembre 2026.

CVE-2026-114713 permette di eseguire comandi privilegiati su UnrealIRCd

La vulnerabilità CVE-2026-114713 interessa il modulo labeled-response di UnrealIRCd, software utilizzato per realizzare server Internet Relay Chat. Il problema nasce dalla gestione non corretta del tag label previsto dal protocollo IRCv3. Quando il contenuto viene restituito nelle risposte senza un’adeguata neutralizzazione dei delimitatori, un aggressore può introdurre caratteri speciali capaci di alterare la struttura del traffico tra server. In una rete composta da almeno due server IRC collegati, questa manipolazione consente di iniettare comandi che vengono interpretati con l’autorità del server stesso. Non è necessario possedere privilegi amministrativi: secondo l’advisory del progetto, un normale utente collegato alla rete può sfruttare la debolezza per eseguire operazioni riservate agli operatori IRC, comprese azioni di disconnessione e blocco degli utenti. La vulnerabilità interessa UnrealIRCd dalla serie 6.0.0 fino alle versioni precedenti alla 6.2.7.1 e presenta un punteggio CVSS 8,6. Il produttore la considera uno dei problemi di sicurezza più importanti individuati nel progetto negli ultimi quindici anni.

La scoperta è emersa durante un audit interno supportato anche da strumenti di intelligenza artificiale, che ha portato all’individuazione complessiva di nove problemi di sicurezza. Il progetto ha pubblicato UnrealIRCd 6.2.7.1 il 7 novembre, insieme a una procedura di hot patching che consente, nelle configurazioni supportate, di correggere le vulnerabilità senza interrompere il servizio. Esiste anche una mitigazione temporanea attraverso le regole spamfilter, ma non sostituisce la correzione degli altri difetti individuati. La possibilità di compromettere il rapporto di fiducia tra nodi ricorda quanto osservato nelle vulnerabilità già sfruttate su Arista e Collabora, dove il rischio effettivo dipendeva dalla posizione del componente vulnerabile nell’infrastruttura. Nel caso UnrealIRCd il punto decisivo è la presenza di server collegati, non la semplice installazione del software.

Leggi anche: BeyondTrust e Fortinet nel KEV: CISA ordina patch e bonifica immediata

Check Point CVE-2026-123039 concede privilegi root attraverso DynamicCLI

La seconda vulnerabilità riguarda CVE-2026-123039, classificata con punteggio CVSS 7,8, e interessa il demone DynamicCLI presente in Gaia OS, sistema operativo utilizzato da diversi prodotti Check Point. Il servizio opera con privilegi root e mette a disposizione un socket locale per ricevere comandi. Secondo la descrizione tecnica della vulnerabilità, il socket risulta accessibile in scrittura da utenti locali e non verifica adeguatamente l’autorizzazione dei processi che vi si collegano. Un soggetto che abbia già ottenuto un account sul dispositivo può quindi inviare comandi al demone e farli eseguire con privilegi superiori ai propri. Non si tratta di una vulnerabilità che permette automaticamente l’accesso remoto senza autenticazione: la presenza di una sessione locale con privilegi limitati costituisce una condizione necessaria. Il rischio diventa particolarmente significativo quando l’attaccante dispone già di un primo accesso e tenta di conquistare il controllo completo dell’appliance.

Check Point indica come interessati Security Gateway, Security Management Server, Multi-Domain Security Management e Log Server, nelle versioni comprese tra R80.30 e R82.20, secondo la matrice di applicabilità del proprio advisory. Il produttore conferma di essere a conoscenza di alcuni casi di sfruttamento e raccomanda l’installazione dei nuovi Jumbo Hotfix previsti dalla documentazione sk1000362. Come mitigazione temporanea è possibile interrompere il servizio DynamicCLI, qualora la perdita delle relative funzionalità sia accettabile per l’organizzazione. Questa nuova falla arriva dopo le due vulnerabilità Check Point già sfruttate contro server di gestione e gateway VPN, inserite nel KEV a settembre. Le tecniche sono differenti, ma il problema operativo rimane lo stesso: la compromissione di apparati destinati alla sicurezza può offrire agli aggressori una posizione privilegiata all’interno della rete.

CISA impone una remediation basata sul rischio e sulla verifica delle compromissioni

Il bollettino ufficiale pubblicato da CISA il 13 novembre conferma l’inserimento di entrambe le CVE nel catalogo Known Exploited Vulnerabilities, riservato a vulnerabilità per le quali esistono evidenze di sfruttamento. La presenza nel KEV non dimostra che ogni sistema vulnerabile sia stato compromesso, ma cambia la priorità operativa: non si tratta più soltanto di difetti teoricamente sfruttabili. Per entrambe le vulnerabilità il catalogo riporta la data del 16 novembre 2026 come scadenza federale di intervento. La direttiva BOD 26-04, introdotta nel giugno 2026, collega i tempi di remediation all’esposizione del dispositivo, alla possibilità di automatizzare l’attacco e all’impatto tecnico dell’exploit, includendo nei casi previsti anche la verifica forense dei sistemi.

Questa impostazione supera la logica secondo cui basta installare una patch per considerare chiuso un incidente. Se una vulnerabilità è stata sfruttata prima dell’aggiornamento, le organizzazioni devono valutare la presenza di account abusivi, configurazioni alterate e tracce di compromissione. Il precedente dell’inserimento di SharePoint e Check Point nel KEV aveva già evidenziato la necessità di distinguere l’eliminazione della vulnerabilità dalla bonifica dei sistemi eventualmente violati. Per UnrealIRCd occorre controllare le reti con server collegati e verificare l’applicazione della correzione 6.2.7.1; per Check Point diventano prioritari l’inventario delle versioni Gaia, l’installazione del Jumbo Hotfix appropriato e l’analisi delle attività amministrative sospette.

Le due vulnerabilità mostrano rischi diversi per infrastrutture e apparati di sicurezza

UnrealIRCd e Check Point non devono essere trattati come un’unica categoria tecnica. CVE-2026-114713 sfrutta una debolezza nel trattamento dei delimitatori di un protocollo di comunicazione e può consentire a un normale utente remoto di interferire con la gestione della rete IRC, quando ricorrono le condizioni richieste. CVE-2026-123039, invece, è una vulnerabilità di escalation locale che diventa decisiva dopo un primo accesso all’appliance. La distinzione è essenziale per programmare le attività di remediation, perché cambiano requisiti dell’attaccante, superficie esposta e possibili indicatori di compromissione. Il caso si inserisce nella crescente attenzione per le vulnerabilità di gateway VPN e sistemi di gestione Check Point, dove l’impatto non dipende soltanto dal punteggio CVSS ma dal ruolo dell’apparato nella rete. La priorità è individuare i sistemi vulnerabili, correggerli e verificare se siano già stati utilizzati come punto di accesso.

Continua con: CISA mette GitLab e altri exploit nel KEV mentre Check Point avverte sui rischi VPN.

Le patch disponibili rendono immediata la responsabilità degli amministratori

Per entrambe le vulnerabilità esistono rimedi pubblicati dai rispettivi produttori, mentre CISA ha già confermato il passaggio allo sfruttamento reale. Il margine di intervento non dipende più dall’attesa di una futura patch, ma dalla capacità delle organizzazioni di identificare installazioni vulnerabili e applicare rapidamente gli aggiornamenti. Nel caso Check Point è inoltre necessario considerare la possibilità che privilegi limitati siano già stati ottenuti attraverso altre debolezze; nel caso UnrealIRCd occorre verificare la topologia della rete e l’effettiva protezione dei collegamenti tra server. Per aziende e amministrazioni italiane la direttiva federale statunitense non costituisce automaticamente un obbligo normativo, ma i criteri tecnici di priorità restano applicabili. La segnalazione KEV impone soprattutto di distinguere un servizio aggiornato da un’infrastruttura realmente verificata: la correzione impedisce nuovi abusi della falla, ma non cancella quelli eventualmente già avvenuti.