先に要点
- DNS サーバー BIND 9 に、GSS-TSIG で署名された UDP メッセージを再送されるとメモリが壊れる脆弱性（CVE-2026-94300、CVSS 8.1）が見つかりました。ISC は2026年10月21日に公開しています。
- ISC によると、影響はnamed の異常終了、または遠隔からのコード実行の可能性です。攻撃者が自分で管理するゾーンに細工した問い合わせを送れる場合に、コード実行に至り得ると説明されています。
- 修正版は9.20.30 版と 9.21.27 版です。9.18 系の修正版は告知に載っていないため、9.18 系を使っている場合は 9.20 系への移行を検討することになります。
- 回避策は「既知のものは無い」とされています。ISC は悪用の事例を把握していないと記載しており、CISA の悪用確認済みの一覧（KEV）にも、2026年10月31日の時点で載っていません。
Active Directory 連携の動的更新などで GSS-TSIG を使っている BIND の管理者向けの記事です。「自分のサーバーは当たるのか」「どの版に上げればよいのか」を、確認の順番から更新までたどれるようにまとめました。
この記事は、ISC のセキュリティ告知（CVE-2026-94300、2026年10月21日公開）と、CISA の KEV の検索結果をもとにしています（いずれも2026年10月31日に確認）。版番号は更新されることがあるので、作業の前に ISC の告知で最新を確かめてください。
何が起きたのか
告知の題名は「Concurrent GSS-TSIG messages corrupt memory」です。ISC の説明では、有効な TSIG 鍵が交渉されている間に、捕らえた GSS-TSIG 署名つきの UDP メッセージを再送すると、named のメモリが壊れるとされています。
| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-94300 |
| 深刻度 | CVSS 8.1（高）。攻撃条件の複雑さは「高」、認証と利用者の操作は不要 |
| 起きること | メモリの破壊。named の異常終了、または遠隔からのコード実行の可能性 |
| 悪用 | ISC は「悪用を把握していない」と記載 |
| KEV | 2026年10月31日の確認で、掲載なし |
| 回避策 | 既知のものは無し |
| 発見の経緯 | ISC の社内テストで発見。外部の研究者からも独立に報告があった |
2026年10月31日の時点で、悪用の事例は告知にも KEV にもありません。ただし、告知はすでに公開されており、回避策も無いため、修正版が出ている系統は早めに更新するのが基本です。KEV の見方は KEV カタログと優先順位の付け方 を参照してください。
影響を受ける版と修正版
ISC が示す、影響を受ける版と修正版です。使っている版がどの行に入るかを見てください。
| 系統 | 影響を受ける版 | 修正版 |
|---|---|---|
| BIND 9.11 系から 9.18 系 | 9.11.0 版から 9.18.50 版まで | 告知に記載なし（9.20 系への移行を検討） |
| BIND 9.20 系 | 9.20.0 版から 9.20.29 版まで | 9.20.30 版 |
| BIND 9.21 系（開発版） | 9.21.0 版から 9.21.26 版まで | 9.21.27 版 |
| Supported Preview Edition | 9.11.3-S1 版から 9.18.50-S1 版まで、9.20.9-S1 版から 9.20.29-S1 版まで | 9.20.30-S1 版（ISC のサポート契約者向け） |
告知には、9.18 系の修正版が載っていません。ISC は「現在の版に最も近い修正版へ更新する」ことを勧めています。つまり、9.18 系の方は 9.20.30 版以降への移行が必要になると読めます。ディストリビューションの BIND を使っている場合は、各ディストリビューションが修正を取り込んだ版を出していないか、提供元の情報も確かめてください。
自分のサーバーは対象か
告知は、GSS-TSIG の再送に関する問題として説明しています。まず、GSS-TSIG を使っているかを確かめます。次の確認は、この記事の筆者の考えによる手順です（告知が定める手順ではありません）。
確認1：版
named -v で版を表示し、上の表の範囲に入るかを見ます。範囲外なら、この脆弱性の対象ではありません。
確認2：GSS-TSIG の設定
named.conf（include 先も含む）に、GSS-TSIG 用の設定があるかを見ます。BIND の管理者向け資料では tkey-gssapi-keytab や tkey-gssapi-credential が該当します。
確認3：到達できる範囲
そのサーバーに、どのネットワークから問い合わせや更新が届くかを整理します。社内だけか、外部からも届くかで優先度が変わります。
GSS-TSIG は、Kerberos を使って DNS の動的更新を安全に行う仕組みで、Windows の Active Directory 環境でよく使われます。設定が無ければ、この問題の入口になる機能を使っていないことになりますが、告知は具体的な設定条件を細かく説明していません。迷う場合は、版が範囲に入っている時点で更新の計画を立てるのが安全です。
更新の手順
確認から更新までの流れ
- 1版と設定を確かめる
named -v で版を確認し、GSS-TSIG の設定があるかを named.conf で調べる。複数台あるなら一覧にする。
- 2優先順位を付ける
外部から問い合わせが届くサーバーと、AD 連携の動的更新を受けるサーバーを先にする。
- 3設定とゾーンを退避する
named.conf とゾーンファイルをバックアップし、更新の時間帯を決める。冗長構成なら片方ずつ行う。
- 4修正版へ更新する
9.20 系は 9.20.30 版以降へ。9.18 系は 9.20 系への移行を計画する。配布元のパッケージを使う場合は、そのパッケージの修正版を待つ。
- 5更新後に確認する
named が起動し、名前解決と動的更新が動くことを確かめる。ログに異常終了の記録が残っていないかも見る。
更新後は、予期しない named の再起動や異常終了の記録がないかをログで確かめておくと、手がかりになります。ただし、記録が無いことは「攻撃されていない」証拠にはなりません。
すぐに更新できないとき
ISC の告知は、回避策を「既知のものは無い」としています。このため、この記事も、告知にない緩和策を勧めることはしません。更新までの間にできる、一般的な運用上の工夫を並べます。これらはこの記事の筆者の考えであり、脆弱性を防ぐものではありません。
| 工夫 | ねらい | 注意点 |
|---|---|---|
| サーバーに届く元のネットワークを絞る | 攻撃の機会を減らす | 必要な利用者や AD の通信を止めないよう、事前に洗い出す |
| 異常終了の監視を強める | 異常に早く気づく | named の再起動を検知する仕組みを先に用意する |
| 更新の日程を前倒しする | 無防備な期間を短くする | 冗長構成を活用し、片方ずつ行う |
GSS-TSIG そのものを止めると、AD 連携の動的更新が動かなくなるおそれがあります。設定を変える前に、影響を整理してください。
普段の運用で見直したいこと
版の一覧を持つ
DNS サーバーが何台あり、どの版かを一覧にしておくと、告知が出たときの確認が早くなります。
サポートされる系統を使う
今回のように、古い系統に修正版が出ないことがあります。サポート期間を確かめて、移行を計画しておきます。
DNS の基本は、ネームサーバーと DNS レコードの違いや DNS の反映とTTL も参考になります。2026年の更新の状況は、2026年のセキュリティ更新の記録にまとめています。なお、CVE は共通の脆弱性番号で、CVSS は深刻度の目安です。
よくある質問
GSS-TSIG を使っていなければ影響しませんか？
告知は、GSS-TSIG のメッセージに関する問題と説明しています。GSS-TSIG を使っていないなら、入口になる機能が無いと考えられますが、告知は設定条件を詳しく書いていません。判断に迷うときは、版が範囲に入るかを基準に更新を検討してください。
すでに攻撃されていますか？
ISC は、2026年10月21日の告知で悪用を把握していないと記載しています。CISA の KEV にも、2026年10月31日の確認で載っていません。続報が出る可能性はあります。
9.18 系のまま使い続けられますか？
告知に 9.18 系の修正版は載っていません。影響を受ける版に 9.18.50 版までが含まれるため、修正を受けるには 9.20.30 版以降への移行が必要と読めます。ディストリビューションが独自に修正を出す場合もあるので、提供元の情報も確かめてください。
回避策はありますか？
ISC は「既知の回避策は無い」としています。修正版への更新が対策です。
まとめ
- BIND 9 に、GSS-TSIG 署名つき UDP メッセージの再送でメモリが壊れる脆弱性（CVE-2026-94300、CVSS 8.1）。ISC が2026年10月21日に公開
- 影響は named の異常終了、または遠隔からのコード実行の可能性。回避策は無く、悪用は把握されていない。KEV にも2026年10月31日の時点で掲載なし
- 修正版は 9.20.30 版と 9.21.27 版。9.18 系の修正版は告知に載っておらず、9.20 系への移行が必要
- 版、GSS-TSIG の設定、到達範囲の順に確認し、外部に面したサーバーと AD 連携のサーバーから更新する