Ursache ist eine fehlerhafte Neutralisierung von Trennzeichen. Laut Beschreibung in der National Vulnerability Database (NVD) des NIST maskiert das Modul labeled-response in UnrealIRCd ab Version 6.0.0 und vor 6.2.7.1 den IRCv3-Nachrichtentag „label“ nicht, wenn es ihn in Antworten zurückgibt. Dadurch kann jeder Nutzer eines Netzwerks mit zwei oder mehr verbundenen Servern Server-zu-Server-Befehle einschleusen, die mit Serverautorität ausgeführt werden.
Projektleiter, Entwickler und Maintainer Bram Matthys (Syzop) hatte knapp eine Woche vor der KEV-Aufnahme UnrealIRCd 6.2.7.1 veröffentlicht. Die Version behebt mehrere Schwachstellen, die mit Hilfe künstlicher Intelligenz gefunden wurden, darunter CVE-2026-114713. Matthys bezeichnete sie als das „kritischste Problem“ in UnrealIRCd seit 15 Jahren.
„Wir sehen gerade, wie Kriminelle diese Lücke im Internet ausnutzen“, sagte Matthys. Er hoffe, dass alle ihre Server per Hotpatch oder Update abgesichert oder zumindest den Workaround über den Spamfilter eingerichtet hätten; wer das nicht getan habe, solle es so schnell wie möglich nachholen.
Die Angriffsversuche begannen den Angaben zufolge einen Tag nach Veröffentlichung des Hotfixes am 7. November 2026. Einzelheiten zu den Angriffen und deren Ziele sind bislang unbekannt.
US-Bundesbehörden der zivilen Exekutive (FCEB) müssen die Korrekturen gemäß der Binding Operational Directive (BOD) 26-04 bis zum 16. November 2026 einspielen.