BIND 9に14件の脆弱性、DoSやキャッシュ汚染の恐れ――ISCが修正版を公開

要点

• オープンソースのDNSサーバー「BIND 9」に、サービス停止やキャッシュ汚染を引き起こす計14件の脆弱性が判明した。

• 認証不要の単一リクエストでプロセスを停止させられる欠陥など、7件がCVSSスコア7.5の「High」と判定されている。

• 開発元のISCは現行安定版「9.20.29」などの修正版を公開し、回避策が存在しないため速やかなアップデートを呼びかけている。

• 2026年6月末にサポートを終了した「9.18」系列にも12件が該当するが、同系列への修正パッチ提供は行われない。

• ISCのアドバイザリによると、公表時点でこれらの脆弱性を悪用した攻撃は確認されていない。

• インターネット関連の標準仕様やソフトウェア開発を手がけるInternet Systems Consortium（ISC）は2026年9月16日、オープンソースのDNSサーバー「BIND 9」に関する14件のセキュリティ脆弱性を公表し、修正バージョンをリリースした。

• 今回の更新では、DNS問い合わせを暗号化するDNS-over-HTTPS（DoH）環境において認証なしでサーバープロセスを強制終了させられる問題や、偽造データの混入を招く不具合などが修正された。ISCのアドバイザリによると、公表時点でこれらの脆弱性を悪用した攻撃事例は確認されていないという。

提供された修正版とサポート終了ブランチへの影響

修正版としてリリースされたのは、現行の安定版ブランチである「BIND 9.20.29」、開発版ブランチの「BIND 9.21.26」、およびサポート契約者向けの「BIND 9.20.29-S1」である。9.20系列では14件すべてが解消されており、9.21系列では同ブランチに影響のない1件（CVE-2026-19662）を除く13件が修正された。

ISCはいずれの脆弱性についても設定変更などの回避策（ワークアラウンド）を提示しておらず、修正版への更新を強く推奨している。

一方、2026年6月末にサポート終了（EOL）を迎えた「9.18」系列（最終版9.18.50を含む）についても、14件中12件の脆弱性が影響することが明らかになった。ISCは9.18系列に対する修正版を提供する予定はなく、サポート終了バージョンは新たな脆弱性に対して無防備であると想定すべきだとして、9.20系列への移行を急ぐよう案内している。なお、Debian 12など一部のOSディストリビューションでは9.18.49ベースのパッケージが採用されているが、9月17日時点のセキュリティトラッカーには本件への対応状況は記載されていない。

認証なし・単一リクエストでクラッシュを誘発する脆弱性

公表された14件のうち、7件が共通脆弱性評価システムCVSS 3.1で7.5の「High」と評価されており、残りの7件は5.3から6.5の「Medium」となっている。

Highに分類された脆弱性のうち、攻撃者が自身のDNSサーバーを用意することなく、リクエストの送信のみでサーバープロセス「named」をクラッシュさせられるものが2件存在する。これらはいずれも9.20および9.21系列のみに影響する。

1つ目の「CVE-2026-77692」は、HTTPS経由で暗号化DNS通信を行うDoHの応答サーバーに影響する。認証情報を持たない攻撃者が無効なSIG(0)署名を含む単一のリクエストを送信し、namedが署名検証を終える前に接続を切断することで、プロセスを異常終了させることが可能だという。

2つ目の「CVE-2026-76163」は、設定ファイル（named.conf）に全体設定であるグローバルoptionsブロックが存在しない環境において、TKEYタイプのクエリを受信した際にnamedがクラッシュする不具合である。

再帰リゾルバの停止障害とリソース枯渇

その他のクラッシュを引き起こす脆弱性は、端末に代わって名前解決を行う「再帰リゾルバ」が、攻撃者の制御下にあるサーバーから細工されたデータを受信した際に発生する。

標準設定のリゾルバを単一の細工された応答で停止させる「CVE-2026-19667」のほか、IPv6移行技術であるdns64で「break-dnssec yes」を設定している環境をクラッシュさせる「CVE-2026-19666」、電子署名検証でNSECとNSEC3の両方の証明を含むワイルドカード応答を受け取った際に停止する「CVE-2026-80274」などが含まれる。また、応答の順序とタイミングに依存してクラッシュする「CVE-2026-19662」（9.20系列のみ）も修正された。

プロセスの強制終了には至らないものの、キャッシュされたSVCBやHTTPSのエイリアスレコードを利用してリゾルバのCPUやメモリを枯渇させる2件の欠陥（CVE-2026-81563、CVE-2026-81736）も、深刻度Highとして対処されている。

DNSSEC検証の回避やデータ整合性の侵害

クラッシュやリソース枯渇のほか、DNSデータの整合性に関わる脆弱性も4件（すべてMedium）報告されている。これらは特定の通信経路上や管理権限を前提とするものだ。

このうち2件は、DNS応答に電子署名を付与して改ざんを防ぐ拡張仕様「DNSSEC」の検証不備に関するものだ。「CVE-2026-19941」では、無関係なゾーンの署名付きNSECレコードがワイルドカード不在の証明として誤認され、通信経路上に位置する攻撃者などが偽造したNXDOMAIN（存在しないドメイン）応答をリゾルバに受け入れさせることが可能になる。また、「CVE-2026-77119」では無関係な兄弟ゾーンのNSEC3レコードを未署名委任の証明として誤認させ、偽造された未署名応答を受理させることができる。ISCはこれらをキャッシュポイズニング（偽のDNS情報をキャッシュさせる攻撃）として説明している。

残る2件はゾーン転送（サーバー間でゾーン情報を同期する機能）に関する問題である。「CVE-2026-19033」は、TSIG共有鍵による認証転送を行うセカンダリサーバーにおいて、TCP経由の増分ゾーン転送（IXFR）の最終メッセージに署名が含まれていなくても、署名確認前に新データの配信を開始してしまいロールバックされない問題である。修正により全メッセージへのTSIG署名が必須化されたが、現代のサーバーは既に全メッセージに署名しているため実務上の影響はないとISCは見込んでいる。

また「CVE-2026-78301」は、権威サーバーに不正なゾーンを読み込ませることが可能な攻撃者が、ゾーン外への不正な委任を発生させ、リゾルバに攻撃者側のレコードをキャッシュさせることが可能になる欠陥である。