BIND 9に脆弱性9件、DNSキャッシュ汚染とRCEの恐れも

定番DNSソフトに脆弱性9件、まとめて修正 #

ISC(Internet Systems Consortium)は7月22日、DNSサーバソフト「BIND 9」の安定版に存在する9件の脆弱性を修正したBIND 9.20.26 / 9.21.24を公開した。世界の再帰リゾルバ・権威DNSサーバの大半を支える定番ソフトだけに、影響範囲は広い。JPRSも緊急のバージョンアップ推奨を出している。

ハッカー視点で見る「詰み」の組み合わせ #

今回まとめて塞がれたのは性質の異なる3系統の穴だ。まず、NSEC/NSEC3レコードの扱いに不備があり、DNSSECの検証ロジックをすり抜けて偽の応答をキャッシュへ注入できるキャッシュポイズニング系(CVE-2026-13321、CVE-2026-10723など)。DNSSECは「署名検証があるから安全」と思われがちだが、実装側のロジックバグひとつで検証自体が形骸化する典型例だ。

次に、検証用リゾルバがメモリ消費を制御できなくなる不具合(CVE-2026-3592、CVE-2026-11622)。大量のクエリを送りつければリゾルバを落とせるDoSの入口になる。

そして最も重いのがDNS over HTTPS実装のuse-after-free(CVE-2026-3593)。メモリ破壊系のバグは悪用コード次第でリモートコード実行に発展する典型パターンで、権威サーバの乗っ取りにまで話がつながりかねない。

なぜ今すぐ上げるべきか #

BINDは可用性最優先で動いているインフラソフトゆえ、運用側はパッチ適用に慎重になりがちだ。だが今回は「検証回避」「DoS」「メモリ破壊」が同時に並ぶ構成で、後回しにするほど攻撃側の選択肢が増える。再帰リゾルバ・権威サーバとも9.20.26 / 9.21.24以降への更新が急務だ。ISCは今後BINDのセキュリティ更新自体を高頻度化する方針も表明しており、運用側もパッチ前提の体制に切り替える時期に来ている。