ISC BIND 脆弱性（2026年10月）とは？対象バージョンと9.20.30/9.21.27への更新を一次情報で解説（2026年10月22日公表）

アカウント乗っ取りパスワード流出不正ログイン二段階認証フィッシングISC BINDDNS

DNS サーバーの定番ソフト「ISC BIND 9」に、サービス停止やメモリ破壊につながる 4 件の脆弱性（CVE-2026-19630・CVE-2026-94300・CVE-2026-96888・CVE-2026-97313）が見つかり、Internet Systems Consortium（ISC）は2026年10月21日にアドバイザリを公開しました（出典: ISC アドバイザリ（CVE-2026-19630）、出典: JVN（JVNVU#91196958））。いずれも深刻度は High で、対象バージョンの BIND を運用している場合は、修正版 9.20.30 または 9.21.27 への更新が対策になります（出典: ISC、取得日 2026年10月24日）。

何が起きたか（要点）

ISC は2026年10月21日、BIND 9 の 4 件の脆弱性をまとめて公表しました。JPCERT/CC も2026年10月22日に JVNVU#91196958 として注意喚起しています（出典: JVN、取得日 2026年10月24日）。各 CVE の内容は次のとおりです（出典: ISC、取得日 2026年10月24日）。

• CVE-2026-19630: 受信メッセージ処理における増幅型のリソース枯渇。細工した DNS メッセージで CPU とメモリを大量消費させられ、サービス停止のおそれ。CVSS 7.5（出典: ISC）
• CVE-2026-94300: GSS-TSIG 署名付き UDP メッセージの再生によるメモリ破壊。プログラム異常終了のほか、条件次第でリモートコード実行の可能性。CVSS 8.1（出典: ISC）
• CVE-2026-96888: 「redirect」ゾーンと「qname-minimization strict」を両方設定したリゾルバが、処理中にアサーション失敗で異常終了する問題。CVSS 7.5（出典: ISC）
• CVE-2026-97313: 特定の RPZ 設定（recursive-only の設定が異なる 2 つ以上の RPZ ゾーン）で、再帰要求の後に非再帰要求が来ると異常終了する問題。CVSS 7.5（出典: ISC）
• 公表日: 2026年10月21日（ISC）／2026年10月22日（JVN）。深刻度は 4 件とも High、公表時点で既知の悪用は ISC が把握していない（出典: ISC・JVN）

対象バージョンと修正版

対象は BIND 9 の広範なバージョンです。CVE-2026-19630 と CVE-2026-94300 は 9.11.0〜9.18.50・9.20.0〜9.20.29・9.21.0〜9.21.26 が対象で、CVE-2026-96888 と CVE-2026-97313 は 9.16.0〜9.18.50・9.20.0〜9.20.29・9.21.0〜9.21.26 が対象です。Supported Preview Edition も対象に含まれます（出典: ISC、取得日 2026年10月24日）。修正版は 9.20.30 と 9.21.27（Preview は 9.20.30-S1）で、現在の系列に最も近い修正版へ更新します（出典: ISC）。回避策は公表されていません（出典: ISC）。

実務的な意味（運用者がすべきこと）

BIND 9 は組織の DNS 権威サーバー・リゾルバに広く使われているため、更新が行き届かない運用環境が残ると、DNS の応答停止や再起動の連鎖で業務システム全体が繋がらなくなる恐れがあります。今やることは次の 3 点です（出典: ISC、取得日 2026年10月24日）。

1. named -V などで稼働中の BIND 9 のバージョンを確認し、対象範囲に入るかを判定する
2. 対象であれば、9.20.30 または 9.21.27 へ更新する（9.18 系以前から上げる場合は移行手順を先に確認）
3. 更新が後ろにずれる場合は、DNS への過負荷や異常終了を監視し、再起動設定の見直しとキャッシュの異常消費を確認する

本件は認証そのものを破る脆弱性ではありませんが、名前解決が止まるとパスワード再設定や多要素認証の画面も届かず、乗っ取り被害への初動が遅れる原因になります。更新と併せて、DNS が止まった場合の連絡経路を用意しておくと有効です。

よくある質問

Q. 自分のサーバーが対象か分かりません。何を見ればよいですか？

稼働している BIND 9 のバージョンを確認します。9.11.0〜9.18.50・9.20.0〜9.20.29・9.21.0〜9.21.26 のいずれかに入っていれば対象です（CVE により 9.16.0 以降が対象のものもあります）。Supported Preview Edition も含まれます（出典: ISC、取得日 2026年10月24日）。

Q. 放っておくと何が起きますか？

CVE-2026-19630 では CPU・メモリの枯渇によるサービス停止、CVE-2026-94300 ではメモリ破壊による異常終了や条件次第でのリモートコード実行、CVE-2026-96888・CVE-2026-97313 では異常終了によるサービス停止が報告されています（出典: ISC、取得日 2026年10月24日）。

Q. 更新を先送りする回避策はありますか？

4 件とも ISC は「回避策は無い」と公表しています。CVE-2026-97313 は複数の RPZ ゾーンを特定の設定で使う構成が条件ですが、条件に当てはまらない場合も他の 3 件は対象になり得るため、更新が基本の対策です（出典: ISC）。

本サイトでは、アカウント乗っ取りが疑われるときの初動や被害拡大を防ぐ手順を対処ガイドにまとめています（内部リンク: アカウント乗っ取り対処ガイド・お問い合わせ）。

この記事は AI が一次ソースを読んで執筆しました。数値と日付は出典に記した公式情報の執筆時点の値です。誤りを見つけたら訂正の窓口へお知らせください。確認のうえ本文を直し、訂正履歴に残します。編集方針