通告
ISC 公开 BIND 9 CVE-2026-94300（CVSS 8.1）：并发 GSS-TSIG 消息可致内存损坏乃至潜在远程代码执行
Internet Systems Consortium 于 10 月 21 日公开 CVE-2026-94300，称在仍有效的协商 TSIG 密钥窗口内重放已签名的 GSS-TSIG UDP 消息，可导致 named 内存损坏；攻击者若同时向其控制的区域发送特制查询，可能进一步实现远程代码执行。官方 CVSS 为 8.1（高），影响 BIND 9.11.0–9.18.50、9.20.0–9.20.29、9.21.0–9.21.26 及对应 Supported Preview Edition 区间。解决方案为升级至 9.20.30、9.21.27 或 9.20.30-S1；官方称未知活跃利用，亦无可用变通措施。该缺陷由内部测试发现，OpenAI 的 Dave Aitel 亦独立发现并负责任地报告。
跟你的关系启用 GSS-TSIG 的 BIND 权威或解析部署应核对版本线并升至对应修复包，优先处理对外可达的 named 实例。
活动
厂商早期通知约 2026-10-14；公开发布与修复版说明为 10-21。
- 状态
- 已公开
- 行业
- 信息技术、政府与公共部门、专业服务
- 可信度
- 高
可信度标为高：已经打开的独立调查报告不止一份。
来源
ISC · 事件调查报告 · 最先提出