最常用DNS软件BIND曝四个高危漏洞，其一可致代码执行

开发互联网上最常用的DNS服务器软件之一BIND 9的互联网系统联盟（ISC）于2026年10月21日发布新版本，修复了四个高危安全漏洞。根据ISC关于CVE-2026-94300的公告，其中最严重的是一个可被远程利用、会导致内存损坏的漏洞。ISC称其影响为程序崩溃和/或可能的远程代码执行，CVSS 3.1评分为8.1。

BIND是什么

BIND是运行DNS（把域名转换为IP地址的系统）的历史最悠久、使用最广泛的服务器软件，既用于发布域名自身记录的权威服务器，也用于回答用户查询的解析器（resolver），在企业内网、互联网服务提供商和托管公司中都很常见。

最严重的漏洞：GSS-TSIG

GSS-TSIG是一种利用Kerberos等认证系统为DNS消息签名的方法，尤其用于在Active Directory环境中安全地更新DNS记录。根据ISC的公告，重放经GSS-TSIG签名的UDP消息可能会损坏BIND的named进程内存。攻击者需要截获一条事先签名的消息并在密钥仍有效时重放，同时还要向自己控制的区域发送特制查询。ISC表示该漏洞可被远程利用，而代码执行被描述为取决于这些额外步骤的一种可能性。公告没有单独说明哪些配置会使服务器受影响。

受影响版本为9.11.0至9.18.50、9.20.0至9.20.29以及9.21.0至9.21.26；ISC受支持预览版（S1）中9.11.3-S1至9.18.50-S1和9.20.9-S1至9.20.29-S1也受影响。ISC表示该漏洞是在内部测试中发现的，OpenAI的Dave Aitel也独立发现并负责任地报告了这一问题。

另外三个漏洞

• CVE-2026-19630（CVSS 7.5）：解析器在接收大量特定结构的消息时会消耗过多CPU和内存，导致拒绝服务。由ISC内部测试发现。
• CVE-2026-96888（CVSS 7.5）：配置了“redirect”区域并启用严格QNAME最小化（qname-minimization strict）的解析器，在处理重定向时可能意外终止。
• CVE-2026-97313（CVSS 7.5）：使用两个RPZ区域（一个设为recursive-only yes，另一个设为recursive-only no）的服务器，在特定查询顺序下可能退出。

后两个漏洞由Vitaly Simonovich报告。ISC表示四个漏洞均无已知临时解决办法，也未发现在野利用。

应对建议

ISC建议针对全部四个漏洞升级到9.20.30或9.21.27，S1用户升级到9.20.30-S1。公告未列出9.18分支的修复，ISC下载页面已将9.18.50标为停止支持，因此使用该分支的用户需要迁移到受支持的9.20分支。ISC也通过自己的Copr、Launchpad、Debian和Docker渠道提供更新软件包，发行版自己的软件包则需关注各自的安全公告。

尤其是在Active Directory中使用GSS-TSIG的机构，应优先更新DNS服务器，并检查哪些人能够访问动态更新。运营解析器的服务提供商和托管公司也不应因为拒绝服务漏洞而推迟更新。

以上信息来自ISC的安全公告和漏洞矩阵。评分为ISC自己的评估，代码执行在公告中被列为可能的后果，目前尚无公开的利用代码。由于DNS基础设施几乎支撑着所有互联网服务，打补丁后也值得留意服务器日志中异常的崩溃和重启。建议同时关注独立安全研究人员的评估，从不同角度了解情况。