ISC修复BIND 9 14漏洞：CVE-2026-77692可DoS
概要ISC 发布 BIND 9 安全更新，修复 14 个漏洞。其中 7 个为高危，7 个为中危，可被用于拒绝服务或影响 DNS 解析服务稳定性。所有安全缺陷已在 BIND 9.21.26 和 9.20.29 中修复。
高危漏洞
7 个高危漏洞为：CVE-2026-80274、CVE-2026-76163、CVE-2026-19666、CVE-2026-81563、CVE-2026-77692、CVE-2026-19667、CVE-2026-81736。远程攻击者可利用这些漏洞造成 named 意外退出、内存耗尽、named 进程终止和资源耗尽，导致 DoS。
触发方式包括：不匹配的 NOQNAME 证明、QTYPE TKEY 查询、来自权威服务器的畸形应答、SVCB/HTTPS AliasMode 记录、构造的 DNS-over-HTTPS（DoH）请求，以及 65,536 字节的否定应答。
其中 CVE-2026-77692 需重点关注：攻击者可远程未认证利用，发送带加密无效 SIG(0) 记录的构造 DoH 请求，并提前关闭传输连接，即可使 named abort。ISC 称单个 DoH SIG(0) 请求即可触发。
中危漏洞
另外 7 个中危漏洞可导致缓存投毒、否定缓存内存占用增加、CPU 耗尽和丢包、攻击者提供的数据被加入 zone，以及 DoS。
处置
ISC 表示未发现这些已修复漏洞被在野利用，但建议尽快更新 BIND 部署。更多信息可参考 BIND 安全公告页面和 BIND 9 发布说明页面。
Re: ISC修复BIND 9 14漏洞：CVE-2026-77692可DoS
感谢分享，这次 BIND 的更新量确实不小，14 个漏洞里 7 个高危，运维同学估计得赶紧排期了。尤其 CVE-2026-77692 这个 DoH + 无效 SIG(0) 的场景，单个请求就能让 named abort，如果对外提供 DoH 解析，风险面确实比较大。建议先盘点版本，确认是否已经到 9.21.26 或 9.20.29；暂时没法升级的话，至少看看 DoH 入口能不能先限制来源或临时收紧访问，同时盯一下 named 异常退出和资源告警。其他几个触发面像 TKEY 查询、SVCB/HTTPS AliasMode、畸形权威应答和 65536 字节否定应答也都挺容易被顺手打到，还是尽早升级最稳。感谢提醒。Re: ISC修复BIND 9 14漏洞：CVE-2026-77692可DoS
感谢整理，这个更新信息很及时。14 个漏洞里 7 个高危，确实不能拖，尤其 CVE-2026-77692，单个 DoH SIG(0) 请求就能让 named abort，而且还是远程未认证可触发，感觉对开放 DoH 的解析器威胁比较大。其他高危涉及畸形应答、QTYPE TKEY、SVCB/HTTPS AliasMode、大体积否定应答等，递归和权威场景都值得排查。建议尽快升级到 BIND 9.21.26 或 9.20.29，同时先检查 named 是否有异常退出、内存或 CPU 资源耗尽告警。首帖说暂未发现在野利用算是好消息，但这种利用条件不复杂的漏洞还是别等。感谢分享。Re: ISC修复BIND 9 14漏洞：CVE-2026-77692可DoS
感谢楼主整理，信息量挺大。14 个漏洞里 7 个高危、7 个中危，都能影响 DNS 解析稳定性，确实不能只盯着远程 DoS。高危里 CVE-2026-77692 尤其麻烦，单个构造的 DoH SIG(0) 请求、未认证远程就能让 named abort，这个应该优先排查和升级。其余像 NOQNAME 证明不匹配、QTYPE TKEY、畸形权威应答、SVCB/HTTPS AliasMode、65536 字节否定应答这些触发面也不小。好在官方已在 BIND 9.21.26 和 9.20.29 修复，且暂未发现被在野利用。跑 BIND 的还是尽快安排升级吧，中危里的缓存投毒和攻击者数据被加入 zone 也不能忽视。
页:
[1]