O Consórcio de Sistemas para a Internet (ISC, na sigla em inglês) lançou o BIND 9.20.29 e o 9.21.26 para corrigir 14 falhas de segurança que divulgou em 16 de setembro no BIND 9, seu software de servidor DNS de código aberto. Uma delas afeta qualquer servidor BIND que responda requisições de DNS sobre HTTPS (DoH, na sigla em inglês).
Um remetente sem credenciais consegue travar o processo do servidor, chamado named, com uma única requisição que carrega uma assinatura SIG(0) inválida, caso o remetente feche a conexão antes de o named terminar de verificar a assinatura.
O ISC afirmou em seus comunicados que não tem conhecimento de que alguma das 14 falhas esteja sendo explorada.
Qual versão corrige o quê
As versões corrigidas, descritas nas notas de lançamento do ISC, são:
- BIND 9.20.29, no ramo estável atual: corrige todas as 14 falhas
- BIND 9.21.26, no ramo de desenvolvimento: corrige 13, porque a CVE-2026-19662 não afeta a 9.21
- BIND 9.20.29-S1, a Edição de Visualização Suportada para clientes com suporte: corrige todas as 14 falhas
O ISC não lista nenhuma solução alternativa para nenhuma das 14 falhas.
Doze das 14 também afetam o ramo mais antigo 9.18, até a versão 9.18.50 inclusive, que foi sua versão final. O ISC encerrou o suporte da 9.18 no fim de junho e não lista nenhuma versão 9.18 que corrija essas falhas.
O ISC afirmou em maio que usuários da 9.18 devem planejar atualizar para a 9.20 o mais rápido possível. Sua matriz de vulnerabilidades acrescenta que "versões em fim de vida (EOL, na sigla em inglês) devem ser consideradas vulneráveis a novas CVEs".
Os pacotes dos sistemas operacionais são uma questão à parte. O Debian 12 distribui um pacote baseado na 9.18.49, e seu rastreador de segurança não havia listado nenhuma das 14 falhas até as 06h20 (UTC) de 17 de setembro.
O que um atacante precisa
Duas das 14 falhas podem ser disparadas apenas por uma requisição, sem que o atacante precise ter um servidor DNS próprio, e ambas afetam somente os ramos 9.20 e 9.21. A falha de travamento no DoH é a CVE-2026-77692. A segunda, CVE-2026-76163, permite que uma consulta do tipo TKEY (chave de transação) trave o named quando o arquivo named.conf do servidor não tem um bloco global de opções.
Os outros travamentos precisam de um resolvedor recursivo, o tipo de servidor que consulta nomes em nome dos clientes, para receber dados forjados de um servidor controlado pelo atacante.
Uma única resposta forjada pode travar um resolvedor em uma configuração padrão (CVE-2026-19667), um resolvedor que utilize dns64 com a opção break-dnssec yes (CVE-2026-19666), ou um resolvedor com validação que receba uma resposta com curinga contendo comprovações NSEC e NSEC3 simultaneamente (CVE-2026-80274). Uma quarta falha, CVE-2026-19662, precisa de uma ordem e temporização específicas de respostas e não afeta a versão 9.21.
Mais quatro falhas consomem a CPU ou a memória do resolvedor em vez de travá-lo, duas delas por meio de registros de alias SVCB/HTTPS (CVE-2026-81563 e CVE-2026-81736). O ISC classifica sete das 14 falhas como Altas, todas com nota 7,5 no CVSS 3.1 (Sistema Comum de Pontuação de Vulnerabilidades): os travamentos citados, exceto a CVE-2026-19662, mais as duas falhas de SVCB/HTTPS. As outras sete são Médias, com notas de 5,3 a 6,5.
As quatro falhas restantes dizem respeito à integridade dos dados de DNS, o que um servidor serve ou o que um resolvedor aceita, em vez de travamentos ou esgotamento de recursos. O ISC classifica todas as quatro como Médias, e cada uma traz condições sobre onde o atacante está posicionado ou o que ele já controla.
Duas permitem que um resolvedor com validação aceite a prova DNSSEC (Extensões de Segurança do Sistema de Nomes de Domínio) errada. Com a CVE-2026-19941, um registro NSEC assinado de uma zona não relacionada pode passar como prova de que não existe um curinga. Um atacante no caminho da comunicação, ou um encaminhador malicioso, que controle uma zona assinada poderia usar isso para fazer com que uma resposta NXDOMAIN (domínio inexistente) forjada fosse aceita para um nome que deveria ser resolvido por um curinga, e a resposta passaria pela validação DNSSEC.
Com a CVE-2026-77119, um registro NSEC3 assinado de uma zona irmã não relacionada pode passar como prova de que uma delegação não está assinada. Um atacante capaz de injetar respostas nas consultas do resolvedor poderia, então, fazer com que uma resposta não assinada forjada fosse aceita para nomes abaixo dessa delegação. O ISC descreve os dois resultados como envenenamento de cache.
A CVE-2026-19033 diz respeito a um servidor secundário que copia uma zona de um servidor primário e aceita apenas transferências assinadas com uma chave TSIG (assinatura de transação). Durante uma transferência incremental (IXFR) de várias mensagens via TCP, o named poderia começar a servir os novos dados da zona antes da chegada da mensagem final que carrega a assinatura, e não reverteria a operação caso essa assinatura nunca chegasse. Uma parte capaz de entregar essa transferência poderia fazer com que conteúdos não autorizados da zona fossem servidos sem deter a chave.
A correção exige uma TSIG em cada mensagem de uma transferência recebida, e o ISC afirma que servidores de nomes modernos já assinam todas as mensagens, de modo que não espera mudanças na prática.
A CVE-2026-78301 exige mais acesso: um atacante que consiga carregar uma zona malformada em um servidor autoritativo, por exemplo, por meio de uma transferência de zona. Uma zona que contenha um nó NS ou DNAME acima de sua própria origem passa a ser tratada como um corte de zona, de modo que consultas para nomes dentro da zona retornam uma delegação fora da zona, em vez dos dados da zona.
Se o servidor também faz recursão, ele pode seguir a delegação e armazenar em cache registros fornecidos pelo atacante para nomes fora da zona, e o efeito dura enquanto a zona malformada permanecer carregada.
As 14 falhas
A Edição de Visualização Suportada é afetada nas faixas -S1 correspondentes e é corrigida na 9.20.29-S1. As pontuações são as classificações CVSS 3.1 atribuídas pelo próprio ISC.
Status de exploração e testes públicos
Cada um dos 14 comunicados do ISC, publicados em 16 de setembro, afirma que o consórcio "não tem conhecimento de nenhuma exploração ativa". Nenhuma das 14 falhas aparece no catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) da CISA até a versão do catálogo divulgada no mesmo dia.
Testes que reproduzem as falhas são públicos, porém. O ISC afirmou em maio que agora divulga testes de reprodução ao publicar uma vulnerabilidade, e a árvore de código-fonte da 9.20.29 adiciona testes de sistema para pelo menos seis das 14 falhas, incluindo um que envia uma requisição SIG(0) inválida via DoH, fecha a conexão e verifica se o named sobrevive.
Esses são testes que confirmam a correção, e não ferramentas de ataque, mas descrevem as condições para disparar a falha.
Quatorze é o maior número entre os cinco lançamentos de segurança do BIND do ISC neste ano, depois de uma falha em janeiro, quatro em março, seis em maio e nove em julho.
O ISC alertou em maio que "os usuários devem esperar correções de segurança em cada lançamento mensal de manutenção do BIND" pelo restante de 2026, uma mudança que, segundo o consórcio, foi motivada por um grande volume de relatórios de vulnerabilidades gerados por modelos de linguagem de grande porte (LLMs), tanto por pesquisadores quanto por atacantes.
As correções chegam na 9.20.29, em vez da 9.20.28, porque o ISC retirou a 9.20.28 antes do lançamento após testes pré-lançamento encontrarem uma regressão.
Quatro das 14 falhas foram encontradas nos próprios testes do ISC. As demais foram relatadas por Vitaly Simonovich (CVE-2026-77692), Rintaro Kawasugi (CVE-2026-19666 e CVE-2026-19667), Samy Medjahed (Ap4sh) (CVE-2026-19662 e CVE-2026-81563), Henrique Pereira (CVE-2026-78301 e CVE-2026-81736), Owais Lone (thesecguy) (CVE-2026-76163), um pesquisador creditado como hythyt (CVE-2026-80274) e Zuyao Xu e Xiang Li, da Universidade de Nankai (CVE-2026-19668).
