BIND 9の脆弱性4件：DNS停止・コード実行の条件と9.20.30への更新

ISCは2026年10月21日に4件を公表し、JVNは22日に掲載しました。BINDはドメイン名とIPアドレスを結び付けるDNSの代表的な実装です。企業が自分のドメインの情報を答える権威DNSと、利用者に代わって名前を調べる再帰DNSでは、同じソフトでも使う機能が異なります。

根拠はISCのCVE-2026-94300、19630、96888、97313です。ISCは4件について把握している実悪用はないと記載しています。これは攻撃が起きないという保証ではありません。

GSS-TSIGは認証の仕組みと結び付けてDNS通信に署名する方式です。今回のコード実行の問題を「外部から誰でも無条件に実行できる」と単純化しません。一方、19630の資源消費の問題に、GSS-TSIGや特殊なRPZ設定が必要だと決めつけるのも誤りです。

QNAME minimizationは問い合わせ先へ渡す名前の情報を必要な範囲へ抑える仕組み、redirect zoneは問い合わせ結果を別の回答へ置き換える設定です。RPZは、危険なドメインを遮断するなどDNSの応答に方針を適用する仕組みです。これらを使っているか、設定の名前と担当者を結び付けて点検します。

系列の位置付けはISCダウンロード一覧で確認できます。9.18を使うOSパッケージでも、配布元が修正を取り込む場合があります。上流の保守終了とOSベンダーのサポート契約は別に記録し、修正証拠を求めてください。

1. 1管理するDNSサーバーを全台列挙し、権威／再帰／両方の役割、配布元、実行中のnamedの版、冗長構成を記録する。
2. 2上表の設定条件を読み取り専用で点検する。DNSの秘密鍵や内部の完全なゾーン情報をLLMに渡さない。
3. 3修正版のリリースノートを確認し、設定検査と復旧手順を準備する。複数台構成は通常時の容量を確保して順次更新する。
4. 4再起動後の版とプロセスを確認し、自社の既知の名前で通常の名前解決、必要ならDNSSEC・正規の動的更新を確認する。攻撃用パケットは送らない。
5. 5エラー率・応答時間・CPU・メモリ・異常終了を監視し、全台の適用記録がそろってから完了にする。

ISCの4つの勧告はいずれも既知の回避策なしとしています。外部公開や再帰利用者の制限は一般的な露出低減ですが、正式な修正の代わりとは扱いません。一般利用者のPCでブラウザーを更新しても、組織のDNSサーバーは修正されません。マネージドDNSは提供事業者への確認が必要です。

以下は編集部が作成した棚卸し用の指示文です。LLMの回答は安全性の保証にはなりません。未確認項目を残し、担当者が公式資料と実際の稼働状態を照合してください。

点検指示文をダウンロード。基本の進め方は脆弱性のトリアージも参照してください。

確認日：2026年10月22日。公開された一次資料を確認した解説であり、編集部がこの脆弱性の攻撃やパッチ適用を実環境で再現したものではありません。手順のうち優先順位・台帳・回帰確認は編集上の提案です。