# ISC ostrzega przed podatnością CVE-2026-94300 w serwerze DNS BIND9, są wersje z poprawką

Internet Systems Consortium opisało podatność w BIND9, która może prowadzić do utraty dostępu do usługi, a w niektórych przypadkach do zdalnego wykonania kodu. Poprawki są w wersjach 9.20.30, 9.21.27 i 9.20.30-S1, obejścia brak.

- Adres: <https://pelnomocnikcyber.pl/aktualnosci/bind9-cve-2026-94300-aktualizacja/>
- Rodzaj: Streszczenie
- Data publikacji: 28.10.2026
- Kategoria: [Aktualności](https://pelnomocnikcyber.pl/kategorie/aktualnosci/)
- Redakcja: [Paweł Rosół](https://pelnomocnikcyber.pl/autor/pawel-rosol/)
- Źródło: [Sekurak](https://sekurak.pl/powazna-luka-w-bind9-cve-2026-94300-atakujacy-moze-doprowadzic-do-utraty-dostepu-do-uslugi-lub-rce/) (28 października 2026)
- Licencja: [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.pl)

Internet Systems Consortium (ISC) ostrzegło przed podatnością CVE-2026-94300 w BIND9, otwartoźródłowym oprogramowaniu pełniącym rolę serwera DNS. Według Sekuraka błąd pozwala uszkodzić pamięć w procesie `named`, co może prowadzić do utraty dostępu do usługi, a w niektórych przypadkach do zdalnego wykonania kodu. Podatność ma wynik 8.1 w CVSS v3.1.

Sekurak opisuje przyczynę tak: obsługa współdzielonego stanu sesji Kerberos w GSS-TSIG nie była odpowiednio zsynchronizowana. Atakujący mógł przechwycić poprawnie podpisany komunikat UDP i wysłać go serwerowi ponownie. Serwer nie odrzucał takiego pakietu jako powtórzonego, tylko próbował go przetworzyć, co dawało wyścig i dwukrotne zwolnienie tego samego obszaru pamięci. Atak jest według tego źródła skomplikowany i wymaga ściśle określonych warunków, ale nie wymaga uprawnień ani interakcji ze strony użytkownika.

Podatne są wersje BIND 9 od 9.11.0 do 9.18.50, od 9.20.0 do 9.20.29 i od 9.21.0 do 9.21.26 oraz wersje Supported Preview od 9.11.3-S1 do 9.18.50-S1 i od 9.20.9-S1 do 9.20.29-S1. Poprawki zawierają wydania **9.20.30, 9.21.27 i 9.20.30-S1**. Sekurak pisze, że nie ma obejścia, a jedynym rozwiązaniem jest aktualizacja, oraz że ISC nie ma wiedzy o aktywnym wykorzystaniu tej podatności. Jeśli twój podmiot używa BIND9, sprawdź wersję i zaplanuj aktualizację.

Kanadyjskie Centrum Cyberbezpieczeństwa opublikowało 21 października 2026 r. komunikat AV26-1072 dotyczący tego samego produktu. Wymienia w nim jeszcze trzy podatności: CVE-2026-19630, CVE-2026-96888 i CVE-2026-97313. Te same cztery identyfikatory są w biuletynie Debiana DSA-6576-1, według którego pakiet bind9 w wydaniu trixie jest w wersji 1:9.20.30-1~deb13u1 oznaczony jako naprawiony, a w wersji 1:9.20.26-1~deb13u1 jako podatny.

## Źródła

- [Sekurak: Poważna luka w BIND9 (CVE-2026-94300): atakujący może doprowadzić do utraty dostępu do usługi lub RCE.](https://sekurak.pl/powazna-luka-w-bind9-cve-2026-94300-atakujacy-moze-doprowadzic-do-utraty-dostepu-do-uslugi-lub-rce/)
- [Canadian Centre for Cyber Security: ISC BIND security advisory (AV26-1072) - Canadian Centre for Cyber Security](https://cyber.gc.ca/en/alerts-advisories/isc-bind-security-advisory-av26-1072)
- [Debian Security Tracker: DSA-6576-1](https://security-tracker.debian.org/tracker/DSA-6576-1)

## Pojęcia w tym tekście

- [Podatność](https://pelnomocnikcyber.pl/slownik/podatnosc/): Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
- [CVSS](https://pelnomocnikcyber.pl/slownik/cvss/): Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach.

## Jak powstała ta wiadomość

Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych 28 października 2026; tekst sprawdził i zatwierdził autor przed publikacją.