Разработчики BIND выпустили исправления сразу для четырнадцати уязвимостей. Семь из них оцениваются как высокорисковые, а еще одна позволяет без аутентификации спровоцировать аварийное завершение процесса named на серверах, которые обрабатывают запросы DNS-over-HTTPS (DoH).

Специалисты Internet Systems Consortium (ISC) устранили все уязвимости в стабильной версии BIND 9.20.29, тогда как в development-ветке 9.21.26 исправлены только тринадцать проблем, поскольку проблема CVE-2026-19662 ее не затрагивает. Также патчи вошли в состав BIND 9.20.29-S1 для пользователей Supported Preview Edition.

Всего семь из четырнадцати багов получили оценку 7,5 балла по шкале CVSS и рейтинг «High». Остальные оценены как «Medium» и набрали от 5,3 до 6,5 балла.

Наиболее опасная проблема получила идентификатор CVE-2026-77692 (7,5 балла по шкале CVSS). Она затрагивает BIND-серверы с поддержкой DoH. Для эксплуатации этого бага атакующему достаточно отправить запрос с некорректной подписью SIG(0), а затем закрыть соединение до того, как named завершит проверку подписи. В результате это приводит к аварийному завершению процесса, причем какая-либо аутентификация для атаки не требуется.

Еще одна уязвимость, CVE-2026-76163 (7,5 балла по шкале CVSS), тоже может эксплуатироваться одним запросом. В этом случае специально сформированный TKEY-запрос может вызвать сбой named, если в конфигурации named.conf отсутствует глобальный блок options.

Остальные исправленные проблемы в основном затрагивают рекурсивные резолверы, а для их эксплуатации злоумышленнику потребуется подконтрольный DNS-сервер, который будет возвращать специально подготовленные ответы. Результатом таких атак может стать аварийное завершение работы резолвера, чрезмерное потребление процессорных ресурсов или памяти, а в некоторых случаях — ошибки при проверке DNSSEC, из-за которых резолвер может принять поддельные DNS-ответы.

В частности, баги CVE-2026-81563 и CVE-2026-81736 связаны с кешированными записями SVCB/HTTPS и могут привести к исчерпанию памяти или ресурсов CPU. Еще две уязвимости, CVE-2026-19941 и CVE-2026-77119, при определенных условиях позволяют обойти проверки DNSSEC и добиться принятия поддельных ответов. Специалисты ISC классифицируют эти атаки как отравление кеша.

Эксперты отмечают, что двенадцать из четырнадцати уязвимостей затрагивают ветку BIND 9.18 вплоть до версии 9.18.50. Так как ее поддержка завершилась в июне 2026 года, исправления для нее не выйдут. Еще в мае разработчики рекомендовали пользователям как можно скорее переходить на BIND 9.20, подчеркивая, что EOL-версии следует считать уязвимыми перед любыми новыми CVE.

В ISC сообщили, что пока им неизвестно о случаях эксплуатации новых уязвимостей в реальных атаках. При этом в BIND 9.20.29 добавили системные тесты как минимум для шести из четырнадцати багов, которые фактически раскрывают условия их эксплуатации. Например, тест для CVE-2026-77692 отправляет некорректный SIG(0)-запрос через DoH, закрывает соединение и проверяет, продолжает ли работать named.