しらべベース / 全サイトを探すアカウント防犯しらべの条件検索・比較保存範囲・台帳

ISC BINDの複数の脆弱性（2026年9月18日公表）とは？ 修正版9.20.29への更新とDNSサーバー運用者の対処

・ アカウント乗っ取り・注意喚起速報ニュース編集部（AI 執筆）

アカウント乗っ取りパスワード流出不正ログイン二段階認証フィッシングDNS

この記事のポイント: ISC（Internet Systems Consortium）は2026年9月18日、BIND 9の14件の脆弱性を公表し、JVN（JVNVU97703430）が同日注意喚起しました。JPRSも各脆弱性ごとに「バージョンアップを強く推奨」の告知を出しています。対策は修正版BIND 9.20.29への更新またはディストリビューションの更新パッケージの適用です。この記事は対象バージョン、影響（DNSの停止・不正なゾーンデータの追加・名前解決の妨害）、更新手順をJPRSとJVNの一次情報だけでまとめたものです。

ISC BINDの複数の脆弱性（2026年9月18日公表）とは？ 修正版9.20.29への更新とDNSサーバー運用者の対処

ISC（Internet Systems Consortium）は2026年9月18日、BIND 9の14件の脆弱性を公表し、JVN（JVNVU#97703430）が同日注意喚起しました。日本レジストリサービス（JPRS）も各脆弱性ごとの告知でバージョンアップを強く推奨しています。対策は修正版BIND 9.20.29への更新、または利用中のディストリビューションの提供する更新パッケージの適用です。出典: JVN、2026年10月1日取得）。出典: JPRS）。

何が起きたか（要点）

JVNは2026年9月18日、ISC BINDの複数の脆弱性を注意喚起しました（最終更新2026年9月28日）。14件のCVEが挙げられており、公表された内容は次のとおりです。

対象バージョンと影響

JPRSの告知によると、対象バージョンは次のとおりです（2026年10月1日、JPRS告知ページ取得）。

影響は「DNSサービスの停止」「不正なゾーンデータの追加」「名前解決の妨害」「CPUリソースの過剰消費」です。公開DNSキャッシュサーバーや自社ドメインの権威サーバーをBINDで運用している場合、停止すれば配下の名前解決が一時的にできなくなります。

何をすべきか（更新手順）

JPRSの解決策は「本脆弱性を修正したパッチバージョン（BIND 9.20.29）への更新、あるいは各ディストリビューションベンダーからリリースされる更新の適用を速やかに」です。手順は次のとおりです。

  1. 稼働中のnamedのバージョンを確認する（named -v）。9.11.0以降・9.20.0以降を使っている場合は対象です。
  2. 利用中のディストリビューション（RHEL、Debian、Ubuntuなど）の更新パッケージを適用する。ソースから入れている場合はISCが提供する修正版（JPRS告知ではBIND 9.20.29）へ更新する。
  3. namedを再起動し、named -vで修正版に変わったことを確認する。
  4. 複数サーバーで運用している場合、外部から名前解決を受けているキャッシュサーバーと、DoHを有効にしているサーバーを優先して更新する。

BINDを自分で運用していない場合

個人でBINDを運用していない読者が今回の脆弱性で取るべき操作はありません。職場や学校のDNSサーバーがBINDで動いている場合は、ネットワーク管理者にこのページ（JVN JVNVU#97703430）とJPRSの告知を伝えるのが確実です。DNSの停止や名前解決の妨害は、メール認証や各種サービスのログインを含むインターネット利用全体に影響するため、運用者が更新するまでの間、社内の問い合わせが増える可能性に備えてください。

よくある質問

Q. 自分のサーバーが該当するか確かめる方法は？

named -vでバージョンを確認し、9.11.0以降であればCVE-2026-19033など多くの脆弱性が該当します。DoHを有効にしている場合は9.20.0以降がCVE-2026-77692の対象です（出典: JPRS告知、2026年10月1日取得）。

Q. 更新までの間、暫定的にできることはある？

今回の注意喚起には、更新の代わりになる暫定的な緩和策の記載はありません。JPRSが示す解決策は「BIND 9.20.29への更新またはディストリビューションの更新の適用」です。更新できない間は、BINDを外部から名前解決に使わせない（ファイアウォールで制限する）運用の見直しは、サーバーの提供範囲を管理する管理者の判断で検討されます。

Q. 古いBIND 9.11系を使っていても対象になる？

はい。JPRSの告知ではCVE-2026-19033・CVE-2026-19662・CVE-2026-78301などは「BIND 9.11.0以降のすべてのバージョン」が該当とされています。古いメジャーバージョンのまま使っている場合も、ディストリビューションが提供するセキュリティ更新を確認してください。

出典: JVN JVNVU#97703430「ISC BINDにおける複数の脆弱性（2026年9月）」（2026年10月1日取得） https://jvn.jp/vu/JVNVU97703430。JPRSの告知一式（CVE-2026-19033・19662・77692・78301など14件、2026年9月17日付け、2026年10月1日取得） https://jprs.jp/tech/security/2026-09-17-bind9-vuln-tsig.html。

この記事は AI が一次ソースを読んで執筆しました。数値と日付は出典に記した公式情報の執筆時点の値です。誤りを見つけたら訂正の窓口へお知らせください。確認のうえ本文を直し、訂正履歴に残します。編集方針