أربع ثغرات عالية الخطورة في BIND، برنامج DNS الأكثر انتشارًا، إحداها تفتح بابًا لتنفيذ الشيفرة

أصدر اتحاد أنظمة الإنترنت (ISC)، مطوّر BIND 9 أحد أكثر برامج خوادم DNS استخدامًا على الإنترنت، في 21 أكتوبر 2026 إصدارات تسد أربع ثغرات أمنية عالية الخطورة. وأخطرها، بحسب إرشاد ISC بشأن CVE-2026-94300، خلل يمكن استغلاله عن بُعد ويؤدي إلى إفساد الذاكرة. وتصف ISC أثره بأنه توقف البرنامج و/أو احتمال تنفيذ الشيفرة عن بُعد، بدرجة CVSS 3.1 تبلغ 8.1.

ما هو BIND

BIND هو أقدم برامج الخوادم وأوسعها انتشارًا لتشغيل نظام DNS الذي يحوّل أسماء النطاقات إلى عناوين IP. ويعمل على الخوادم الموثوقة التي تنشر سجلات النطاقات، وعلى المحللات (resolver) التي تجيب عن استعلامات المستخدمين، وهو شائع في شبكات المؤسسات ومزودي خدمة الإنترنت وشركات الاستضافة.

أخطر الثغرات: GSS-TSIG

GSS-TSIG طريقة لتوقيع رسائل DNS باستخدام أنظمة مصادقة مثل Kerberos، وتُستخدم خصوصًا لتحديث سجلات DNS بأمان في بيئات Active Directory. وبحسب إرشاد ISC، فإن إعادة إرسال رسائل UDP موقعة بـ GSS-TSIG قد تُفسد الذاكرة في عملية named الخاصة بـ BIND. ويحتاج المهاجم إلى التقاط رسالة موقعة سابقًا وإعادة إرسالها والمفتاح لا يزال صالحًا، إضافة إلى إرسال استعلامات معدّة إلى نطاق يتحكم فيه. وتقول ISC إن الثغرة قابلة للاستغلال عن بُعد، بينما يوصف تنفيذ الشيفرة بأنه احتمال يعتمد على هذه الخطوات الإضافية. ولا يحدد الإرشاد بشكل منفصل الإعدادات التي تجعل الخادم معرضًا.

والإصدارات المتأثرة من 9.11.0 إلى 9.18.50، ومن 9.20.0 إلى 9.20.29، ومن 9.21.0 إلى 9.21.26، كما تتأثر إصدارات المعاينة المدعومة (S1) من 9.11.3-S1 إلى 9.18.50-S1 ومن 9.20.9-S1 إلى 9.20.29-S1. وتقول ISC إنها اكتشفت الثغرة في اختباراتها الداخلية، وإن Dave Aitel من OpenAI اكتشفها أيضًا بشكل مستقل وأبلغ عنها بمسؤولية.

الثغرات الثلاث الأخرى

• CVE-2026-19630 (CVSS 7.5): يستهلك المحلل الذي يتلقى أعدادًا كبيرة من رسائل ذات بنية معينة قدرًا مفرطًا من المعالج والذاكرة، ما يؤدي إلى تعطيل الخدمة. اكتُشفت في اختبارات ISC الداخلية.
• CVE-2026-96888 (CVSS 7.5): قد يتوقف بشكل غير متوقع محلل لديه منطقة "redirect" ويفعّل التقليل الصارم لـ QNAME ‏(qname-minimization strict) أثناء معالجة إعادة التوجيه.
• CVE-2026-97313 (CVSS 7.5): قد يخرج خادم يستخدم منطقتي RPZ، إحداهما بإعداد recursive-only yes والأخرى recursive-only no، عند تسلسل معين من الاستعلامات.

وأبلغ Vitaly Simonovich عن الثغرتين الأخيرتين. ولا تعرف ISC حلولًا مؤقتة لأي من الثغرات الأربع، وتقول إنها ليست على علم بأي استغلال فعلي.

ما الذي ينبغي فعله

توصي ISC بالترقية إلى 9.20.30 أو 9.21.27 لسد الثغرات الأربع، وإلى 9.20.30-S1 لمستخدمي S1. ولا يذكر الإرشاد إصلاحًا لفرع 9.18، وتصنف صفحة التنزيل لدى ISC الإصدار 9.18.50 بأنه منتهي الدعم، لذا يحتاج مستخدمو هذا الفرع إلى الانتقال إلى فرع 9.20 المدعوم. وتوفر ISC حزمًا محدّثة عبر قنواتها في Copr وLaunchpad وDebian وDocker، أما حزم التوزيعات فيجب متابعتها عبر إرشاداتها الأمنية.

وعلى المؤسسات التي تستخدم GSS-TSIG مع Active Directory خصوصًا أن تحدّث خوادم DNS أولًا وتراجع من يمكنه الوصول إلى التحديثات الديناميكية. كما لا ينبغي لمزودي الخدمة وشركات الاستضافة التي تشغّل محللات أن تؤجل التحديث بسبب ثغرات تعطيل الخدمة.

تستند التفاصيل إلى إرشادات ISC الأمنية ومصفوفة الثغرات لديها. والدرجات هي تقييم ISC نفسها، ويرد تنفيذ الشيفرة في الإرشاد كنتيجة محتملة، ولا يوجد استغلال علني حتى الآن. ولأن بنية DNS تقع تحت كل خدمات الإنترنت تقريبًا، فمن المفيد مراقبة سجلات الخوادم بحثًا عن أعطال وإعادات تشغيل غير معتادة بعد التحديث. ننصح بمتابعة تقييمات الباحثين الأمنيين المستقلين للاطلاع على زوايا أخرى.