10 月 21 日，兩大開源 DNS 軟體同一天發布了安全更新：ISC 的 BIND 9.20.30（開發版 9.21.27）修復 4 個高危漏洞，NLnet Labs 的 Unbound 1.26.2 修復 5 個漏洞（1 個高危、3 個中危、1 個低危）。如果你在 VPS 上跑自己的遞迴解析器或權威 DNS，這條和你有關；如果伺服器只用系統預設的解析設定（比如 Ubuntu 的 systemd-resolved），沒有裝 bind9 或 unbound，就不受影響——可以用 named -v 和 unbound -V 確認有沒有裝。
BIND：4 個高危，全部可以遠端利用
- CVE-2026-94300（CVSS 8.1）：重放帶 GSS-TSIG 簽名的 UDP 訊息會導致 named 記憶體損壞。攻擊者如果能截獲一條之前簽過名的 UDP 訊息，就可以在協商出的 TSIG 金鑰仍然有效時重放它，再配合向自己控制的區域傳送構造的查詢，有可能實現遠端程式碼執行。用到 GSS-TSIG 的一般是和 Active Directory 整合的環境。
- CVE-2026-19630（CVSS 7.5）：解析器處理某種特定結構的傳入 DNS 訊息時沒有任何上限，惡意構造的訊息可以耗盡 CPU 和記憶體。
- CVE-2026-96888（CVSS 7.5）：同時設定了 redirect 區域和
qname-minimization strict的解析器，處理重新導向時可能因斷言失敗而退出。 - CVE-2026-97313（CVSS 7.5）：允許遞迴、並且至少設定了兩個 RPZ 區域（一個
recursive-only yes、一個recursive-only no）的伺服器，先收到 RD=1 的查詢、再收到 RD=0 的查詢時，可能因斷言失敗而退出。 - 受影響範圍：9.11.0 到 9.18.50、9.20.0 到 9.20.29、9.21.0 到 9.21.26（96888 和 97313 從 9.16.0 起）。ISC 對 4 個漏洞都寫著沒有已知的臨時緩解辦法，也都沒有發現在野利用。
- 要注意：ISC 下載頁上 9.18.50 已經標為 EOL，9.18 分支雖然在受影響範圍內，但 ISC 的修復版本只有 9.20.30 和 9.21.27。9.20 的支援期到 2028 年第二季度。
Unbound：最嚴重的那個只影響開了 DoQ 的
- CVE-2026-97206（高危，影響 1.22.0 到 1.26.1）：多執行緒執行時，遠端的 DNS-over-QUIC（DoQ）用戶端可以觸發 QUIC 路徑遷移，導致釋放後使用、程序崩潰。沒有提供 DoQ 服務的，不受這一條影響。
- CVE-2026-109125（中危，快取投毒）：只有把
unwanted-reply-threshold設為大於 0 時（這不是預設設定），才存在一個可用來探測上游源連接埠的快取側通道。 - CVE-2026-96405（中危）：大量鏈式壓縮指標會讓 Unbound 消耗大量 CPU；1.26.2 給每個上游回應封包加了 2048 次、每個區域傳送封包加了 128,000 次的總解壓上限。
- 另有 CVE-2026-50106（中危）和 CVE-2026-35501（低危），都和設定了「信任孤島」（island trust anchor）時的 DNSSEC 驗證有關。
發行版進度（截至 10 月 26 日）
Debian 13 已經出了修正套件：bind9 1:9.20.30-1~deb13u1，unbound 1.26.2-0+deb13u1。Ubuntu 22.04 和 24.04 自帶的是 9.18 系列的 bind9（9.18.39），這幾個 CVE 在 Ubuntu 的頁面上還標著待評估或待修復；Debian 12 也還沒修。注意 Ubuntu 10 月 14 日的 USN-8929-1 修的是之前一批 BIND 漏洞，不包括這 4 個。修補程式出來之前能做的是收緊存取：遞迴解析器只對自己的伺服器和內部網路開放，不要做開放解析器，用防火牆限制能存取 53 連接埠的來源，方法見 VPS 安全加固入門：ufw 防火牆與 SSH 金鑰登入；伺服器被當成放大攻擊跳板時的應急處理見 VPS 遭遇 CC / DDoS 攻擊的應急處理。如果你只是想把網域解析到 VPS，用註冊商或 DNS 服務商提供的託管解析就夠了，不必自建，參見把網域解析到 VPS：DNS 設定入門。