10 月 21 日、2 大オープンソース DNS サーバーが同じ日にセキュリティ更新を公開しました。ISC の BIND 9.20.30（開発版 9.21.27）は深刻度「高」の脆弱性 4 件を、NLnet Labs の Unbound 1.26.2 は 5 件（高 1、中 3、低 1）を修正しています。VPS で自前の再帰リゾルバーや権威 DNS を動かしているなら関係があります。サーバーがシステム既定の名前解決の設定（Ubuntu の systemd-resolved など）を使っているだけで、bind9 も unbound も入っていなければ影響はありません。どちらかが入っているかは named -v と unbound -V で確認できます。

BIND：深刻度「高」が 4 件、すべてリモートから悪用可能

  • CVE-2026-94300（CVSS 8.1）：GSS-TSIG で署名された UDP メッセージを再送すると、named のメモリが破損するおそれがあります。以前に署名された UDP メッセージを傍受できる攻撃者は、ネゴシエートされた TSIG 鍵がまだ有効なうちにそれを再送し、さらに自分が管理するゾーンに細工したクエリを送ることで、リモートコード実行に至る可能性があります。GSS-TSIG は一般に Active Directory と連携した環境で使われます。
  • CVE-2026-19630（CVSS 7.5）：リゾルバーが特定の構造を持つ受信 DNS メッセージを上限なしに処理するため、悪意を持って細工されたメッセージで CPU とメモリを使い果たさせることができます。
  • CVE-2026-96888（CVSS 7.5）：redirect ゾーンと qname-minimization strict の両方を設定したリゾルバーは、リダイレクトの処理中にアサーション失敗で停止するおそれがあります。
  • CVE-2026-97313（CVSS 7.5）：再帰を許可し、少なくとも 2 つの RPZ ゾーン（recursive-only yes のものと recursive-only no のもの）を設定したサーバーは、RD=1 のクエリの後に RD=0 のクエリを受け取ると、アサーション失敗で終了するおそれがあります。
  • 影響範囲：9.11.0〜9.18.50、9.20.0〜9.20.29、9.21.0〜9.21.26（96888 と 97313 は 9.16.0 以降）。ISC は 4 件すべてについて既知の回避策はないとしており、実際の悪用も確認されていません。
  • 注意点として、ISC のダウンロードページでは 9.18.50 がすでに EOL と表示されています。9.18 系は影響範囲に入っていますが、ISC の修正版は 9.20.30 と 9.21.27 だけです。9.20 のサポートは 2028 年第 2 四半期までです。

Unbound：最も深刻な 1 件は DoQ を使う環境だけ

  • CVE-2026-97206（高、影響範囲 1.22.0〜1.26.1）：マルチスレッドで動作している場合、リモートの DNS-over-QUIC（DoQ）クライアントが QUIC のパス移行を引き起こし、解放後使用とクラッシュにつながるおそれがあります。DoQ を提供していなければ、この 1 件は該当しません。
  • CVE-2026-109125（中、キャッシュポイズニング）：上流の送信元ポートを探るのに使えるキャッシュのサイドチャネルは、unwanted-reply-threshold を 0 より大きく設定した場合（既定ではありません）にだけ存在します。
  • CVE-2026-96405（中）：連鎖した大量の圧縮ポインターによって、Unbound が CPU を大量に消費するおそれがあります。1.26.2 では、上流の応答パケット 1 つあたり 2048 回、ゾーン転送パケット 1 つあたり 128,000 回という展開処理の合計上限が加わりました。
  • このほか CVE-2026-50106（中）と CVE-2026-35501（低）は、いずれも「信頼の島」（island trust anchor）を設定している場合の DNSSEC 検証に関するものです。

ディストリビューションの対応状況（10 月 26 日時点）

Debian 13 にはすでに修正パッケージがあります。bind9 は 1:9.20.30-1~deb13u1、unbound は 1.26.2-0+deb13u1 です。Ubuntu 22.04 と 24.04 に含まれるのは 9.18 系の bind9（9.18.39）で、これらの CVE は Ubuntu のページでまだ needs-triage または needed のままです。Debian 12 も未修正です。なお、Ubuntu が 10 月 14 日に出した USN-8929-1 は以前の BIND の脆弱性群を修正したもので、今回の 4 件は含まれていません。パッチが出るまではアクセスを絞り込みましょう。再帰リゾルバーは自分のサーバーとプライベートネットワークにだけ開放し、オープンリゾルバーには決してせず、ファイアウォールで 53 番ポートに到達できる送信元を制限します。方法は ufw と SSH 鍵による VPS のセキュリティ強化を参照してください。サーバーが増幅攻撃の踏み台に悪用されている場合は CC / DDoS 攻撃を受けたときの緊急対応をご覧ください。ドメインを VPS に向けたいだけなら、レジストラや DNS 事業者のホスティング DNS で十分で、自前で運用する必要はありません。ドメインを VPS に向ける DNS 入門を参照してください。