ISC (Internet Systems Consortium), 21 Ekim 2026’da yaygın kullanılan DNS sunucu yazılımı BIND 9’da dört güvenlik açığını duyurdu. ISC dördünü de “yüksek” dereceli ve uzaktan istismar edilebilir olarak sınıflandırıyor; hiçbiri için geçici önlem (workaround) bilinmiyor. ISC’nin ifadesiyle dört açık için de bilinen aktif istismar yok.
Ne oldu
En yüksek puanlı açık CVE-2026-94300 (ISC’ye göre CVSS 3.1 puanı 8,1). ISC’nin duyurusuna göre GSS-TSIG ile imzalanmış UDP mesajlarının yeniden oynatılması “named” sürecinde bellek bozulmasına yol açabiliyor. Daha önce imzalanmış bir UDP mesajını ele geçirebilen saldırgan, müzakere edilmiş TSIG anahtarı hâlâ geçerliyken bu mesajı yeniden gönderebiliyor; saldırganın denetimindeki bir bölgeye hazırlanmış sorgular da göndermesiyle uzaktan kod çalıştırma olasılığı doğuyor. ISC açığı kendi iç testlerinde bulduğunu, OpenAI’dan Dave Aitel’in de bağımsız olarak bildirdiğini yazıyor.
Diğer üç açığın CVSS 3.1 puanı ISC’ye göre 7,5 ve üçü de hizmet dışı kalmaya yol açabiliyor:
- CVE-2026-19630: Çözümleyicide (resolver) belirli yapıdaki gelen DNS mesajları ek işlem gerektiriyor ve BIND bu işleme bir üst sınır koymuyor; bu yapılardan çok sayıda içeren bir mesaj aşırı işlemci ve bellek tüketimine neden olabiliyor. ISC iç testlerinde bulundu.
- CVE-2026-96888: Hem “redirect” bölgesi hem de “qname-minimization strict” ile yapılandırılmış bir çözümleyici, yönlendirmeyi işlerken beklenmedik biçimde durabiliyor.
- CVE-2026-97313: Özyinelemeli sorgulara izin veren ve biri “recursive-only yes”, diğeri “recursive-only no” ayarlı en az iki RPZ bölgesi olan bir sunucu, belirli bir sorgu sırasıyla beklenmedik biçimde durabiliyor.
Son iki açığı Vitaly Simonovich bildirdi.
Kimleri etkiler
CVE-2026-94300 ve CVE-2026-19630, BIND 9.11.0 ile 9.18.50 arasını; CVE-2026-96888 ve CVE-2026-97313 ise 9.16.0 ile 9.18.50 arasını etkiliyor. Dört açık da 9.20.0–9.20.29 ve 9.21.0–9.21.26 sürümlerinde bulunuyor; ISC’nin Supported Preview Edition sürümlerinde etkilenen aralıklar CVE-2026-94300, CVE-2026-19630 ve CVE-2026-97313 için 9.11.3-S1 ile 9.18.50-S1, CVE-2026-96888 için 9.16.8-S1 ile 9.18.50-S1, dördü için de 9.20.9-S1 ile 9.20.29-S1 arası. ISC’ye göre CVE-2026-97313’ten etkilenmek için sunucunun yukarıdaki RPZ yapılandırmasına sahip olması gerekiyor; CVE-2026-96888 ise redirect bölgesi ve qname-minimization strict ile yapılandırılmış çözümleyicilerde tanımlanıyor.
Üretici ne öneriyor
ISC, mevcut sürüme en yakın düzeltilmiş sürüme geçilmesini öneriyor: BIND 9.20.30, 9.21.27 ve Supported Preview Edition için 9.20.30-S1. Duyurudaki düzeltilmiş sürümler arasında 9.18 dalı yer almıyor; 9.18 için düzeltme yayımlanmadı. Dört duyurunun her birindeki genel notta ISC’nin ifadesi şöyle: “ISC patches only currently supported versions” (ISC yalnız şu anda desteklenen sürümlere yama yayımlar).
Duyurunun tamamı yan sütundaki bağlantıda; diğer üç açığın duyuruları ve sürüm tablosu ISC’nin BIND 9 güvenlik açıkları tablosunda.
