BIND : des correctifs contre une corruption mémoire et des dénis de service DNS
Le CERT-FR a relayé le 22 octobre 2026 plusieurs vulnérabilités du serveur DNS BIND, après la publication des correctifs d’Internet Systems Consortium le 21 octobre.
La plus sensible, CVE-2026-94300, notée 8,1/10 selon CVSS v3.1, concerne une corruption mémoire associée aux échanges GSS-TSIG. Sous certaines conditions impliquant des échanges signés préexistants, elle peut provoquer l’arrêt du programme named et potentiellement une exécution de code à distance. Ce risque ne concerne donc pas indistinctement toutes les configurations DNS.
Les branches 9.20.0 à 9.20.29 et 9.21.0 à 9.21.26 sont notamment affectées. ISC mentionne également des versions plus anciennes, jusqu’à 9.18.50 incluses.
Les correctifs recommandés sont BIND 9.20.30, 9.21.27 ou 9.20.30-S1 pour l’édition Supported Preview, selon la branche utilisée. Une migration est à prévoir pour les branches qui ne reçoivent plus de correctifs.
La même livraison traite notamment CVE-2026-19630, un épuisement des ressources CPU et mémoire pouvant rendre un résolveur indisponible, noté 7,5/10 selon CVSS v3.1.
ISC indique ne pas avoir connaissance d’exploitation active pour ces deux failles et ne propose aucun contournement. Les administrateurs doivent vérifier la version et la configuration de leurs serveurs avant d’appliquer la mise à jour appropriée.
Mots-clés suggérés : BIND, DNS, ISC, cybersécurité, correctifs.
Sources :
ISC, avis officiel CVE-2026-94300, 21 octobre 2026
ISC, avis officiel CVE-2026-19630, 21 octobre 2026
CERT-FR, avis indépendant CERTFR-2026-AVI-1365, 22 octobre 2026
