BIND 9、署名済み通信の再送でメモリー破損―コード実行につながるおそれ

ISCは2026年10月21日、DNSソフトウェアBIND 9の脆弱性CVE-2026-94300を一般公開しました。DNSサービスを動かすnamedプロセスのメモリーが破損し、停止や遠隔からのコード実行につながる可能性があります。CVSS基本値は8.1、重大度は「High」です。

攻撃では、GSS-TSIGで署名されたUDPメッセージを事前に取得し、署名に使う鍵が有効な間に再送する必要があります。さらに攻撃者が管理するDNSゾーンへの細工した問い合わせを組み合わせることで、コード実行に至る可能性があるとISCは説明しています。任意のDNS問い合わせだけで成立する、という発表ではありません。

影響範囲は9.11.0〜9.18.50、9.20.0〜9.20.29、9.21.0〜9.21.26などです。通常版の修正版として9.20.30と9.21.27、サポート契約者向けのSupported Preview Editionでは9.20.30-S1が示されています。

ISCは公表時点で悪用を把握しておらず、既知の回避策もないとしています。自社でBINDを運用している場合は、利用系列に対応する修正版を確認してください。告知の10月14日は事前通知の日付で、一般公開は21日です。