Pada 21 Oktober, dua pelayan DNS sumber terbuka utama mengeluarkan kemas kini keselamatan pada hari yang sama: BIND 9.20.30 daripada ISC (keluaran pembangunan 9.21.27) membaiki empat kelemahan berisiko tinggi, dan Unbound 1.26.2 daripada NLnet Labs membaiki lima (1 tinggi, 3 sederhana, 1 rendah). Jika anda menjalankan penyelesai rekursif atau DNS berautoriti sendiri pada VPS, perkara ini berkaitan dengan anda; jika pelayan hanya menggunakan tetapan penyelesai lalai sistem (seperti systemd-resolved pada Ubuntu) dan tidak memasang bind9 mahupun unbound, anda tidak terjejas — named -v dan unbound -V akan menunjukkan sama ada salah satunya dipasang.

BIND: Empat Kelemahan Berisiko Tinggi, Semuanya Boleh Dieksploitasi dari Jauh

  • CVE-2026-94300 (CVSS 8.1): memainkan semula mesej UDP yang ditandatangani dengan GSS-TSIG boleh merosakkan memori dalam named. Penyerang yang dapat menangkap mesej UDP yang pernah ditandatangani boleh memainkannya semula selagi kunci TSIG yang dirundingkan masih sah dan, dengan turut menghantar pertanyaan yang direka khas ke zon yang dikawalnya, berpotensi mencapai pelaksanaan kod jauh. GSS-TSIG lazimnya digunakan dalam persediaan yang disepadukan dengan Active Directory.
  • CVE-2026-19630 (CVSS 7.5): penyelesai memproses mesej DNS masuk yang mempunyai struktur tertentu tanpa sebarang had, jadi mesej yang direka secara berniat jahat boleh menghabiskan CPU dan memori.
  • CVE-2026-96888 (CVSS 7.5): penyelesai yang dikonfigurasikan dengan zon redirect dan qname-minimization strict sekali gus boleh terhenti akibat kegagalan penegasan semasa memproses pengalihan.
  • CVE-2026-97313 (CVSS 7.5): pelayan yang membenarkan rekursi dan mempunyai sekurang-kurangnya dua zon RPZ — satu dengan recursive-only yes dan satu lagi dengan recursive-only no — boleh keluar akibat kegagalan penegasan apabila pertanyaan RD=1 diikuti oleh pertanyaan RD=0.
  • Terjejas: 9.11.0 hingga 9.18.50, 9.20.0 hingga 9.20.29 dan 9.21.0 hingga 9.21.26 (mulai 9.16.0 bagi 96888 dan 97313). Bagi kesemua empat, ISC menyenaraikan tiada penyelesaian sementara yang diketahui, dan ia tidak mengetahui sebarang eksploitasi aktif.
  • Perhatikan bahawa halaman muat turun ISC kini menandakan 9.18.50 sebagai EOL: cabang 9.18 berada dalam julat terjejas, tetapi keluaran yang dibaiki oleh ISC hanyalah 9.20.30 dan 9.21.27. 9.20 disokong sehingga suku kedua 2028.

Unbound: Yang Paling Teruk Hanya Menjejaskan Pengguna DoQ

  • CVE-2026-97206 (tinggi, menjejaskan 1.22.0 hingga 1.26.1): dalam operasi berbilang bebenang, klien DNS-over-QUIC (DoQ) jauh boleh mencetuskan migrasi laluan QUIC yang membawa kepada penggunaan selepas dibebaskan dan ranap. Jika anda tidak menyediakan DoQ, kelemahan ini tidak terpakai.
  • CVE-2026-109125 (sederhana, keracunan cache): saluran sisi cache yang boleh digunakan untuk menduga port sumber huluan hanya wujud apabila unwanted-reply-threshold ditetapkan melebihi 0, iaitu bukan tetapan lalai.
  • CVE-2026-96405 (sederhana): banyak penuding mampatan berantai boleh membuatkan Unbound menggunakan banyak CPU; 1.26.2 menambah had jumlah penyahmampatan sebanyak 2048 bagi setiap paket jawapan huluan dan 128,000 bagi setiap paket pemindahan zon.
  • CVE-2026-50106 (sederhana) dan CVE-2026-35501 (rendah) kedua-duanya berkaitan pengesahan DNSSEC apabila sauh kepercayaan pulau (island trust anchor) dikonfigurasikan.

Status Pengedaran (setakat 26 Oktober)

Debian 13 sudah mempunyai pakej yang dibaiki: bind9 1:9.20.30-1~deb13u1 dan unbound 1.26.2-0+deb13u1. Ubuntu 22.04 dan 24.04 membawa bind9 daripada siri 9.18 (9.18.39), dan CVE ini masih bertanda needs-triage atau needed dalam halaman Ubuntu; Debian 12 juga belum dibaiki. Perhatikan bahawa USN-8929-1 Ubuntu bertarikh 14 Oktober membaiki kumpulan kelemahan BIND yang lebih awal, bukan empat ini. Sementara menunggu tampung, ketatkan akses: buka penyelesai rekursif anda hanya kepada pelayan dan rangkaian peribadi anda sendiri, jangan sekali-kali menjalankan penyelesai terbuka, dan gunakan tembok api untuk mengehadkan sumber yang boleh mencapai port 53 — lihat pengukuhan keselamatan VPS dengan ufw dan kunci SSH; jika pelayan anda disalah guna sebagai geganti serangan amplifikasi, lihat tindak balas kecemasan terhadap serangan CC / DDoS. Jika anda hanya mahu menghalakan domain ke VPS anda, DNS dihoskan daripada pendaftar atau penyedia DNS anda sudah memadai dan tidak perlu menjalankan DNS sendiri; lihat menghalakan domain ke VPS anda.