UbuntuがBIND(DNSサーバー)の脆弱性24件を修正 USN-8929-1

Canonical(Ubuntu)が、DNSサーバーの定番ソフト「BIND(bind9)」の脆弱性24件に対応する更新「USN-8929-1」を公開しました。DNSは、社名やサービスの名前を、通信先の住所(IPアドレス)に変換する、インターネットと社内ネットワークの土台です。そのBINDに、まとめて多くの修正が入りました。

何が修正されたのか

USN-8929-1は、24件のCVEをまとめて修正します。内容を大まかに分けると、次のようになります。

• サービス妨害(DoS): 細工したデータでBINDを異常終了させたり、メモリやCPUを使い果たさせたりする問題です。今回の多くがこの種類で、不正なDNSKEYの処理(CVE-2025-8677)や、過剰なNSEC3の反復(CVE-2026-1519)などが含まれます。
• キャッシュ汚染・ゾーン外データ: 本来と違う応答を信じ込ませる問題です(CVE-2025-40778、CVE-2026-11721、CVE-2026-78301)。
• DNSSECの検証回避・偽造: 署名で正しさを確かめる仕組みをすり抜ける問題です(CVE-2026-10723、CVE-2026-13321、CVE-2026-77119、CVE-2026-19941)。
• ポリシーの回避: RPZ(応答ポリシーゾーン)の制限が、ワイルドカードのCNAMEで迂回される問題です(CVE-2026-11331)。
• 情報漏えい: TSIGの検証前にゾーンのデータが提供され、許可されていないゾーンの内容がセカンダリに渡る問題です(CVE-2026-19033)。

多くの説明に「リモートの攻撃者が悪用する可能性がある」とあります。悪用が確認されたという記載はありませんが、DNSは止まると広い範囲に影響するため、早めの対応が望まれます。

影響を受けるのはどんな環境か

関係するのは、BIND(bind9)をDNSサーバーとして運用している組織です。インターネットに公開している権威DNSや、社内の問い合わせを受けるキャッシュDNSが対象になります。対象のUbuntuは、26.04 LTSから14.04 LTSまで幅広く、それぞれに修正版が用意されています。一部のCVEは、特定の版だけに影響します(たとえばCVE-2025-40778は18.04のみ、CVE-2026-19668は26.04のみ)。

情シスが今日やること

• BINDの利用と版を確認する: 自社でBIND(bind9)を動かしているサーバーを洗い出し、OSの版とbind9の版を確認します。
• 更新を適用して再起動する: Canonicalは「通常のシステム更新で必要な変更が適用される」としています。bind9のパッケージを更新し、適用後にBINDを再起動します。インターネットに公開しているDNSから優先します。
• 古い版のサポートを確認する: 20.04以前は、Ubuntu Proや追加のサポートが必要な場合があります。対象版と修正版の正確な番号は、USN-8929-1で確認します。
• 止められない場合の段取りを決める: DNSは止めると影響が大きいため、冗長化の状況を確認し、1台ずつ更新・再起動する順番を決めておきます。

DNSは、普段は意識されないぶん、止まったときの影響が大きい土台です。BINDを使っている場合は、今回の更新を通常のメンテナンスの枠で計画的に適用し、公開しているDNSから優先して進めてください。