「BIND 9」にキャッシュ汚染など複数脆弱性 - 修正版を公開

Internet Systems Consortium（ISC）は、「BIND 9」のセキュリティアップデートを公開した。あわせて9件の脆弱性を解消している。日本レジストリサービスなどは緊急対応を呼びかけている。

現地時間2026年7月22日に9件のセキュリティアドバイザリを公開し、アップデートをリリースしたもの。ブランチによって影響を受ける脆弱性は異なるが、あわせて9件の脆弱性に対処した。7件については重要度を「高（High）」と評価しており、いずれもアドバイザリの公開時点で悪用は確認されていないという。

「CVE-2026-13321」は、Next Domain Nameフィールドが署名者のゾーン外を指す「NSECレコード」を受け入れる脆弱性。攻撃者が管理するDNSSEC署名済みゾーンを用いてゾーン横断型のキャッシュポイズニングを引き起こすおそれがある。

また「CVE-2026-11721」では、「RRSIG」のラベル数とワイルドカード処理の不整合によりキャッシュポイズニングが生じるおそれがある。さらにワイルドカードCNAMEポリシーを含む「RPZルール」がバイパスされる「CVE-2026-11331」が確認された。

あわせて「CVE-2026-11605」「CVE-2026-11622」「CVE-2026-12617」「CVE-2026-13204」など、サービス拒否に関連する脆弱性が判明している。

（Security NEXT - 2026/07/24 ）ツイート