BIND 9の脆弱性(High: CVE-2026-19630, CVE-2026-94300, CVE-2026-96888, CVE-2026-97313)と修正版(9.20.30, 9.21.27)リリース

10/22/2026にBIND 9の脆弱性(High: CVE-2026-19630, CVE-2026-94300, CVE-2026-96888, CVE-2026-97313)が公開されました。今回はこちらの脆弱性の概要と、各ディストリビューションの対応について纏めます。

[過去関連リンク]

• BIND 9の脆弱性(High: CVE-2026-19666, CVE-2026-19667, CVE-2026-76163, CVE-2026-77692, CVE-2026-80274, CVE-2026-81563, CVE-2026-81736, Medium: CVE-2026-19033, CVE-2026-19662, CVE-2026-19668, CVE-2026-19941, CVE-2026-75029, CVE-2026-77119, CVE-2026-78301)と修正バージョン(9.20.29, 9.21.26)
• BIND 9の脆弱性(High: CVE-2026-11331, CVE-2026-11605, CVE-2026-11622, CVE-2026-11721, CVE-2026-12617, CVE-2026-13204, CVE-2026-13321, Medium: CVE-2026-10723, CVE-2026-10822)と修正バージョン(9.20.26, 9.21.24)
• BIND9の脆弱性(High: CVE-2026-3039, CVE-2026-3593, CVE-2026-5946, CVE-2026-5947, Medium: CVE-206-3592, CVE-206-5950)と9.18.49, 9.20.23, 9.21.22公開
• BIND 9の脆弱性(High: CVE-2026-1519, CVE-2026-3104, Medium: CVE-2026-3119, CVE-2026-3591)と9.18.47, 9.20.21, 9.21.20のリリース
• BIND9の脆弱性(HIGH: CVE-2025-13878)と新バージョン(9.18.44, 9.20.18, 9.21.17)
• BIND 9の脆弱性(High: CVE-2025-8677, CVE-2025-40778, CVE-2025-40780)と新バージョン(9.18.41, 9.20.15, 9.21.14)
• BIND 9の脆弱性(High: CVE-2025-40776, CVE-2025-40777)と新バージョン(9.18.38, 9.20.11, 9.21.10)
• BINDの脆弱性(High: CVE-2025-40775)と新バージョン(9.18.37, 9.20.9, 9.21.8)
• BIND 9の脆弱性情報(High: CVE-2024-11187, CVE-2024-12705)と新バージョン(9.18.33, 9.20.5 9.21.4)

CVSS/プライオリティ

• CVE-2026-19630
  • 影響するバージョン
    • BIND 9.11.0 -> 9.18.50, 9.20.0 -> 9.20.29, 9.21.0 -> 9.21.26
    • BIND Supported Preview Edition 9.11.3-S1 -> 9.18.50-S1, 9.20.9-S1 -> 9.20.29-S1
  • Priority/CVSS SCORE
    • CNA(CVSSv4): Not disclosed:
    • CNA(CVSSv31): 7.5: HIGH
    • NVD(CVSSv4): Not disclosed
    • NVD(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
  • CVSS Vector
    • CNA(CVSSv4): Not disclosed
    • CNA(CVSSv31): CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
    • NVD(CVSSv4): Not disclosed
    • NVD(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
  • EPSS Score/Percentile
    • DATE(JST): 2026-10-21
    • EPSS: Not Available
    • Percentile: Not Available
• CVE-2026-94300
  • 影響するバージョン
    • BIND 9.11.0 -> 9.18.50, 9.20.0 -> 9.20.29, 9.21.0 -> 9.21.26
    • BIND Supported Preview Edition 9.11.3-S1 -> 9.18.50-S1, 9.20.9-S1 -> 9.20.29-S1
  • Priority/CVSS SCORE
    • CNA(CVSSv4): Not disclosed:
    • CNA(CVSSv31): 8.1: HIGH
    • NVD(CVSSv4): Not disclosed
    • NVD(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
  • CVSS Vector
    • CNA(CVSSv4): Not disclosed
    • CNA(CVSSv31): CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
    • NVD(CVSSv4): Not disclosed
    • NVD(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
  • EPSS Score/Percentile
    • DATE(JST): 2026-10-21
    • EPSS: Not Available
    • Percentile: Not Available
• CVE-2026-96888
  • 影響するバージョン
    • BIND 9.11.0 -> 9.18.50, 9.20.0 -> 9.20.29, 9.21.0 -> 9.21.26
    • BIND Supported Preview Edition 9.11.3-S1 -> 9.18.50-S1, 9.20.9-S1 -> 9.20.29-S1
  • Priority/CVSS SCORE
    • CNA(CVSSv4): Not disclosed:
    • CNA(CVSSv31): 7.5: HIGH
    • NVD(CVSSv4): Not disclosed
    • NVD(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
  • CVSS Vector
    • CNA(CVSSv4): Not disclosed
    • CNA(CVSSv31): CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
    • NVD(CVSSv4): Not disclosed
    • NVD(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
  • EPSS Score/Percentile
    • DATE(JST): 2026-10-21
    • EPSS: Not Available
    • Percentile: Not Available
• CVE-2026-97313
  • 影響するバージョン
    • BIND 9.11.0 -> 9.18.50, 9.20.0 -> 9.20.29, 9.21.0 -> 9.21.26
    • BIND Supported Preview Edition 9.11.3-S1 -> 9.18.50-S1, 9.20.9-S1 -> 9.20.29-S1
  • Priority/CVSS SCORE
    • CNA(CVSSv4): Not disclosed:
    • CNA(CVSSv31): 7.5: HIGH
    • NVD(CVSSv4): Not disclosed
    • NVD(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
  • CVSS Vector
    • CNA(CVSSv4): Not disclosed
    • CNA(CVSSv31): CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
    • NVD(CVSSv4): Not disclosed
    • NVD(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
  • EPSS Score/Percentile
    • DATE(JST): 2026-10-21
    • EPSS: Not Available
    • Percentile: Not Available

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

CVE概要(詳細はCVEのサイトをご確認ください)

• https://www.cve.org/CVERecord?id=CVE-2026-19630
  • 受信メッセージ処理におけるリソース枯渇増幅
  • 悪用可能：リモート
  • BINDリゾルバでは、特定の構造を持つ受信DNSプロトコルメッセージは、BINDによる制限なしに、追加の処理を引き起こします。このような構造を悪意を持って多数含むDNSメッセージは、処理中にBINDが大量のCPU時間とメモリを消費する原因となります。
• https://www.cve.org/CVERecord?id=CVE-2026-94300
  • 同時発生するGSS-TSIGメッセージによるメモリが破損
  • 悪用可能：リモート
  • GSS-TSIGで署名されたUDPメッセージを再生すると、namedのメモリが破損する可能性があります。前に署名されたUDPメッセージを傍受できる攻撃者は、ネゴシエートされたTSIGキーが有効な間にそれを再生できます。また、攻撃者が制御するゾーンに細工されたクエリを送信することで、リモートコード実行が実現する可能性があります。
• https://www.cve.org/CVERecord?id=CVE-2026-96888
  • リダイレクトゾーンが厳密に最小のQNAMEで使用されている場合、namedが予期せず終了する可能性
  • 悪用可能：リモート
  • “redirect”ゾーンと”qname-minimization strict”の両方が設定されているBINDリゾルバは、リダイレクト処理中にアサーションエラーで異常終了する可能性があります。
• https://www.cve.org/CVERecord?id=CVE-2026-97313
  • 特定のRPZ構成とクエリパターンにより、予期しない終了が発生する可能性
  • 悪用可能：リモート
  • 再帰要求（RD=1）を含むクエリの後に非再帰クエリ（RD=0）が続く再帰型BINDサーバーは、アサーション失敗で終了し、サービス拒否を引き起こす可能性があります。この脆弱性が発生するには、BINDサーバーが再帰クエリを許可し、かつ少なくとも2つのRPZゾーンが設定されている必要があります。1つはデフォルト設定の”recursive-only yes”であり、もう1つは”recursive-only no”です。

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください

• Debian
  • https://security-tracker.debian.org/tracker/CVE-2026-19630
  • https://security-tracker.debian.org/tracker/CVE-2026-94300
  • https://security-tracker.debian.org/tracker/CVE-2026-96888
  • https://security-tracker.debian.org/tracker/CVE-2026-97313
• Red Hat Enterprise Linux/CentOS/Rocky Linux/Alma Linux
  • https://access.redhat.com/security/cve/CVE-2026-19630
  • https://access.redhat.com/security/cve/CVE-2026-94300
  • https://access.redhat.com/security/cve/CVE-2026-96888
  • https://access.redhat.com/security/cve/CVE-2026-97313
• Ubuntu
  • https://ubuntu.com/security/CVE-2026-19630
  • https://ubuntu.com/security/CVE-2026-94300
  • https://ubuntu.com/security/CVE-2026-96888
  • https://ubuntu.com/security/CVE-2026-97313
• SUSE/openSUSE
  • https://www.suse.com/security/cve/CVE-2026-19630.html
  • https://www.suse.com/security/cve/CVE-2026-94300.html
  • https://www.suse.com/security/cve/CVE-2026-96888.html
  • https://www.suse.com/security/cve/CVE-2026-97313.html

対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。

[参考]

• https://kb.isc.org/docs/cve-2026-19630
• https://kb.isc.org/docs/cve-2026-94300
• https://kb.isc.org/docs/cve-2026-96888
• https://kb.isc.org/docs/cve-2026-97313