Atualização do BIND 9 corrige 14 falhas, incluindo crash sem autenticação no DNS-over-HTTPS

17 de Setembro de 2026

O Internet Systems Consortium (ISC) lançou o BIND 9.20.29 e o 9.21.26 para corrigir 14 falhas de segurança divulgadas em 16 de setembro no BIND 9, seu software de servidor DNS de código aberto. Uma delas afeta qualquer servidor BIND que responda a consultas DNS-over-HTTPS (DoH).

Um remetente sem credenciais pode derrubar o processo do servidor, chamado named, com uma única solicitação que contenha uma assinatura SIG(0) inválida, caso a conexão seja encerrada antes de o named concluir a verificação da assinatura.

O ISC informou em seus comunicados que não tem conhecimento de exploração ativa de nenhuma das 14 falhas.

Quais versões corrigem o quê

As versões corrigidas, descritas nas notas de lançamento do ISC, são:

BIND 9.20.29, no ramo estável atual: corrige as 14 falhas
BIND 9.21.26, no ramo de desenvolvimento: corrige 13, porque a CVE-2026-19662 não afeta a versão 9.21
BIND 9.20.29-S1, a Supported Preview Edition para clientes com suporte: corrige as 14 falhas

O ISC não lista alternativas de mitigação para nenhuma das 14 vulnerabilidades.

Doze das 14 também afetam o ramo antigo 9.18, até a versão 9.18.50, sua última atualização. O ISC encerrou o suporte ao 9.18 no fim de junho e não lista nenhuma versão do 9.18 que as corrija.

Em maio, o ISC disse que usuários do 9.18 devem planejar a atualização para o 9.20 o quanto antes. Sua matriz de vulnerabilidades acrescenta que "versões em fim de vida devem ser consideradas vulneráveis a novas CVEs".

Os pacotes do sistema operacional são uma questão separada. O Debian 12 distribui um pacote baseado no 9.18.49, e seu rastreador de segurança não havia listado nenhuma das 14 falhas até 06:20 UTC de 17 de setembro.

O que um atacante precisa

Duas das 14 podem ser acionadas apenas com uma solicitação, sem que o atacante precise de seu próprio servidor DNS, e ambas afetam apenas os ramos 9.20 e 9.21. A falha de DoH é a CVE-2026-77692 . A segunda, CVE-2026-76163 , permite que uma consulta do tipo TKEY derrube o named quando o arquivo named.conf não tem um bloco global de opções.

As outras falhas que causam crash exigem um resolvedor recursivo, o tipo de servidor que pesquisa nomes em nome dos clientes, para receber dados preparados a partir de um servidor controlado pelo atacante.

Uma única resposta preparada pode derrubar um resolvedor em configuração padrão ( CVE-2026-19667 ), um resolvedor que use dns64 com break-dnssec yes ( CVE-2026-19666 ) ou um resolvedor validante que receba uma resposta wildcard contendo provas NSEC e NSEC3 ao mesmo tempo ( CVE-2026-80274 ). A quarta, CVE-2026-19662 , depende de uma ordem e de um tempo específicos das respostas e não afeta a versão 9.21.

Outras quatro falhas consomem a CPU ou a memória do resolvedor em vez de derrubá-lo, e duas delas exploram registros de alias SVCB/HTTPS em cache, nas CVE-2026-81563 e CVE-2026-81736 . O ISC classifica sete das 14 como altas, todas com nota 7,5 na CVSS 3.1: os crashes acima, exceto a CVE-2026-19662 , além das duas falhas em SVCB/HTTPS. As outras sete são médias, com notas entre 5,3 e 6,5.

As quatro falhas restantes afetam a integridade dos dados DNS, ou seja, o que um servidor entrega ou o que um resolvedor aceita, e não crashes nem esgotamento de recursos. O ISC classifica todas como médias, e cada uma delas depende de condições sobre onde o atacante está ou o que já controla.

Duas permitem que um resolvedor validante aceite uma prova DNSSEC incorreta. Na CVE-2026-19941 , um registro NSEC assinado de uma zona não relacionada pode passar como prova de que não existe wildcard. Um atacante na rota, ou um encaminhador malicioso, que controle uma zona assinada poderia usar isso para fazer com que uma resposta NXDOMAIN forjada fosse aceita para um nome que deveria resolver por meio de um wildcard, e a resposta passaria na validação DNSSEC.

Na CVE-2026-77119 , um registro NSEC3 assinado de uma zona irmã não relacionada pode passar como prova de que uma delegação não é assinada. Um atacante capaz de injetar respostas às consultas do resolvedor poderia então fazer com que uma resposta não assinada forjada fosse aceita para nomes abaixo dessa delegação. O ISC descreve os dois cenários como envenenamento de cache.

A CVE-2026-19033 diz respeito a um servidor secundário que copia uma zona de um primário e aceita transferências assinadas apenas com uma chave TSIG. Durante uma transferência incremental de várias mensagens, ou IXFR, via TCP, o named poderia começar a servir os novos dados da zona antes da chegada da última mensagem que trazia a assinatura, e não fazia rollback se essa assinatura nunca chegasse. Uma parte capaz de entregar essa transferência poderia fazer com que conteúdos não autorizados da zona fossem servidos sem possuir a chave.

A correção exige uma TSIG em cada mensagem de uma transferência recebida, e o ISC afirma que servidores de nomes modernos já assinam cada mensagem, por isso espera que não haja mudança na prática.

A CVE-2026-78301 exige mais acesso: um atacante que consiga carregar uma zona malformada em um servidor autoritativo, por exemplo por meio de uma transferência de zona. Uma zona que contenha um nó NS ou DNAME acima de sua própria origem passa então a ser tratada como um corte de zona, de modo que consultas por nomes dentro da zona retornam uma delegação fora da zona em vez dos dados da zona.

Se o servidor também fizer recursão, ele pode seguir a delegação e armazenar em cache registros enviados pelo atacante para nomes fora da zona, e o efeito permanece enquanto a zona malformada continuar carregada.

As 14 falhas

CVE-2026-77692 : nota 7,5, alta. Crasha o named. O servidor responde a DoH com uma solicitação SIG(0) inválida e a conexão é encerrada cedo. Afeta o intervalo 9.20.0 a 9.20.27 e 9.21.0 a 9.21.25. Corrigida em 9.20.29 e 9.21.26.

CVE-2026-76163 : nota 7,5, alta. Crasha o named. Consulta TKEY com arquivo named.conf sem bloco global de opções. Afeta o intervalo 9.20.0 a 9.20.27 e 9.21.0 a 9.21.25. Corrigida em 9.20.29 e 9.21.26.

CVE-2026-19667 : nota 7,5, alta. Crasha o resolvedor. Resposta negativa preparada com exatamente 65.536 bytes, vinda de um servidor controlado pelo atacante, em configuração padrão. Afeta o intervalo 9.11.0 a 9.18.50, 9.20.0 a 9.20.27 e 9.21.0 a 9.21.25. Corrigida em 9.20.29 e 9.21.26.

CVE-2026-19666 : nota 7,5, alta. Crasha o resolvedor. dns64 com break-dnssec yes e resposta malformada servida do cache. Afeta o intervalo 9.11.0 a 9.18.50, 9.20.0 a 9.20.27 e 9.21.0 a 9.21.25. Corrigida em 9.20.29 e 9.21.26.

CVE-2026-80274 : nota 7,5, alta. Crasha o resolvedor, gera SERVFAIL ou serve o registro de negação incorreto. Resolvedor validante com resposta wildcard contendo NSEC3 e NSEC sem assinatura no mesmo nome. Afeta o intervalo 9.11.0 a 9.18.50, 9.20.0 a 9.20.27 e 9.21.0 a 9.21.25. Corrigida em 9.20.29 e 9.21.26.

CVE-2026-19662 : nota 5,9, média. Crasha o resolvedor. Zona assinada controlada pelo atacante com ordem e timing específicos das respostas. Afeta o intervalo 9.11.0 a 9.18.50 e 9.20.0 a 9.20.27. Corrigida em 9.20.29.

CVE-2026-81563 : nota 7,5, alta. O cache cresce além do limite até a resolução falhar. O resolvedor segue repetidamente um alias SVCB/HTTPS com mais de 13 registros de destino. Afeta o intervalo 9.18.0 a 9.18.50, 9.20.0 a 9.20.27 e 9.21.0 a 9.21.25. Corrigida em 9.20.29 e 9.21.26.

CVE-2026-81736 : nota 7,5, alta. Esgotamento de CPU no resolvedor. Árvore de alias SVCB/HTTPS em cache, com o cliente permitindo recursão e uma zona controlada pelo atacante. Afeta o intervalo 9.18.0 a 9.18.50, 9.20.0 a 9.20.27 e 9.21.0 a 9.21.25. Corrigida em 9.20.29 e 9.21.26.

CVE-2026-19668 : nota 5,3, média. Esgotamento de CPU em resolvedor validante. Zona com muitas tags de chave e sem correspondência válida. O ISC afirma que os limites padrão de registros reduzem a exposição. Afeta o intervalo 9.11.0 a 9.18.50, 9.20.0 a 9.20.27 e 9.21.0 a 9.21.25. Corrigida em 9.20.29 e 9.21.26.

CVE-2026-75029 : nota 5,3, média. Uso de memória acima dos limites configurados. Resposta repete muitas vezes o mesmo registro SOA, CNAME ou DNAME. Afeta o intervalo 9.11.0 a 9.18.50, 9.20.0 a 9.20.27 e 9.21.0 a 9.21.25. Corrigida em 9.20.29 e 9.21.26.

CVE-2026-19941 : nota 5,9, média. NXDOMAIN forjado é aceito, o que o ISC chama de envenenamento de cache. Resolvedor validante com atacante controlando uma zona assinada no mesmo nível ou em nível superior, na rota ou como encaminhador. Afeta o intervalo 9.11.0 a 9.18.50, 9.20.0 a 9.20.27 e 9.21.0 a 9.21.25. Corrigida em 9.20.29 e 9.21.26.

CVE-2026-77119 : nota 5,9, média. Delegação segura rebaixada, resposta unsigned forjada é aceita. Resolvedor validante com atacante capaz de injetar respostas. Afeta o intervalo 9.11.0 a 9.18.50, 9.20.0 a 9.20.27 e 9.21.0 a 9.21.25. Corrigida em 9.20.29 e 9.21.26.

CVE-2026-19033 : nota 6,5, média. Dados de zona não autorizados servidos por um secundário. Transferências restritas por TSIG, com IXFR via TCP em várias mensagens entregue pelo atacante. Afeta o intervalo 9.11.0 a 9.18.50, 9.20.0 a 9.20.27 e 9.21.0 a 9.21.25. Corrigida em 9.20.29 e 9.21.26.

CVE-2026-78301 : nota 5,8, média. Dados fora da zona servidos como autoritativos, e envenenamento de cache se o servidor também fizer recursão. O atacante consegue carregar uma zona malformada, por exemplo por transferência de zona. Afeta o intervalo 9.11.0 a 9.18.50, 9.20.0 a 9.20.27 e 9.21.0 a 9.21.25. Corrigida em 9.20.29 e 9.21.26.

A Supported Preview Edition também é afetada nas faixas correspondentes -S1 e é corrigida no 9.20.29-S1. As notas são as avaliações CVSS 3.1 do próprio ISC.

Situação de exploração e testes públicos

Cada um dos 14 comunicados do ISC, publicados em 16 de setembro, informa que a empresa "não tem conhecimento de exploits ativos". Nenhuma das 14 falhas aparece no catálogo de Vulnerabilidades Conhecidas Exploradas da CISA, na versão publicada no mesmo dia.

Há, porém, testes públicos que reproduzem as falhas. Em maio, o ISC informou que passou a divulgar testes de reprodução quando publica uma vulnerabilidade, e a árvore de código-fonte do 9.20.29 adiciona testes de sistema para pelo menos seis das 14 falhas, incluindo um que envia uma solicitação SIG(0) inválida via DoH, encerra a conexão e verifica se o named continua funcionando.

Esses testes confirmam a correção, não são ferramentas de ataque, mas deixam claro quais são as condições de disparo.

As 14 falhas formam o maior conjunto entre as cinco divulgações de segurança do ISC para o BIND neste ano, após uma falha em janeiro, quatro em março, seis em maio e nove em julho.

Em maio, o ISC alertou que "os usuários devem esperar correções de segurança em cada manutenção mensal do BIND" pelo restante de 2026, mudança que, segundo a empresa, foi motivada por uma enxurrada de relatórios de vulnerabilidades gerados por modelos de linguagem grandes, tanto por pesquisadores quanto por atacantes.

As correções chegam no 9.20.29 e não no 9.20.28 porque o ISC retirou o 9.20.28 antes do lançamento, após testes prévios identificarem uma regressão.

Quatro das 14 falhas foram descobertas nos próprios testes do ISC. As demais foram reportadas por Vitaly Simonovich ( CVE-2026-77692 ), Rintaro Kawasugi ( CVE-2026-19666 e CVE-2026-19667 ), Samy Medjahed (Ap4sh) ( CVE-2026-19662 e CVE-2026-81563 ), Henrique Pereira ( CVE-2026-78301 e CVE-2026-81736 ), Owais Lone (thesecguy) ( CVE-2026-76163 ), um pesquisador identificado como hythyt ( CVE-2026-80274 ) e Zuyao Xu e Xiang Li, da Universidade de Nankai ( CVE-2026-19668 ).

Exclusivo para leitores do CaveiraTech, de R$ 89 por R$ 49/mês, para sempre. Hospedado em São Paulo com AntiDDoS, backup grátis e BGP grátis. Use Linux, Windows ou BSDs. Valide seu projeto agora sem dor de cabeça, sem IOF e com pagamentos via Pix. Ativação em 120s. Saiba mais...