「攻撃者に権限なし」でも危険 BIND 9の脆弱性、回避策なく更新必須：過去のUDP通信を悪用

DNSは企業のシステムやインターネットサービスを支える基盤だ。そのDNSサーバソフトウェア「BIND 9」に、メモリ破損を引き起こし、リモートコード実行につながる恐れのある脆弱性が見つかった。深刻度はCVSS 8.1で、既知の回避策はない。過去の通信を悪用するという攻撃の仕組みと、影響を受けるバージョン、管理者が確認すべき修正対応を整理する。

[＠IT]

　ISC（Internet Systems Consortium）は2026年10月21日（現地時間）、DNSサーバソフトウェア「BIND 9」に存在する脆弱（ぜいじゃく）性「CVE-2026-94300」を公表した。

　GSS-TSIGで署名されたUDPメッセージの処理時にメモリ破損が発生する問題で、条件次第ではリモートコード実行につながる恐れがある。深刻度は「高」（High）で、CVSS v3.1の基本値は8.1。既知の回避策はなく、ISCは修正版への更新を呼び掛けている。

過去の通信を悪用　メモリ破損から遠隔コード実行の恐れ

　問題は、BIND 9のDNSサーバプロセス「named」において、GSS-TSIGで署名されたUDPメッセージを処理する際に発生する。

　攻撃者が過去に署名されたUDPメッセージを取得し、TSIG鍵が有効な期間内に再送すると、メモリ破損を引き起こす可能性がある。さらに、攻撃者が管理するゾーンに細工した問い合わせを送信する操作を組み合わせることで、リモートコード実行に至る恐れがあるという。

　ISCは、この脆弱性による影響として、プログラムの異常終了と潜在的なリモートコード実行を挙げている。CVSS v3.1の基本値は8.1で、ネットワーク経由で攻撃可能と評価された。一方、攻撃の複雑さは高く、攻撃に必要な権限や利用者の操作は不要とされる。

　ISCは現時点で、活動中の攻撃を認識していないと説明している。ただし既知の回避策はないため、影響を受けるバージョンを利用している場合は修正対応が必要だ。

BIND 9の複数系列が影響　修正版と対象バージョンを確認

　影響を受ける通常版は、BIND 9.11.0から9.18.50まで、9.20.0から9.20.29まで、9.21.0から9.21.26まで。

　ISCのサポート契約者のうち対象となる顧客に提供される「BIND Supported Preview Edition」では、9.11.3-S1から9.18.50-S1まで、9.20.9-S1から9.20.29-S1までが該当する。

　ISCが案内する修正版は、通常版が9.20.30と9.21.27、Supported Preview Editionが9.20.30-S1だ。ISCは、利用中のバージョンに最も近い修正版へのアップグレードを推奨している。

　ただし、ISCは現在サポート中のバージョンに対して修正パッチを提供する方針を示している。影響対象には古い系列も含まれるため、サポート終了版を利用している場合は、ISCの公式サイトでサポート状況を確認し、適切な更新先を検討する必要がある。

　脆弱性の発見の背景についてISCは、内部テストで問題を確認した他、OpenAIのデーブ・アイテル氏が独立して発見し、責任ある形で報告したと説明している。セキュリティ情報は2026年10月14日に初期通知が作成され、同月21日に一般公開された。

　管理者は、利用中のBIND 9のバージョンとサポート状況を確認し、公式情報に基づいて修正版への更新を進めたい。