Présentation des correctifs

Le Internet Systems Consortium a publié les versions BIND 9.20.29 (branche stable) et BIND 9.21.26 (branche de développement) le 17 septembre 2026. Ces deux paquets corrigent quatorze vulnérabilités annoncées la veille. La version 9.20.29‑S1, destinée aux clients sous support, intègre les mêmes correctifs que la 9.20.29. La branche 9.21 ne corrige que treize des failles, la CVE‑2026‑19662 n’étant pas applicable.

Douze des failles affectent également la branche 9.18 jusqu’à la version 9.18.50, qui a atteint sa fin de vie en juin 2026. Aucun correctif n’est prévu pour les versions 9.18, et les paquets Debian 12, basés sur 9.18.49, ne répertorient pas ces vulnérabilités dans leur suivi de sécurité au moment de la publication.

Mécanismes des vulnérabilités critiques

Le CVE‑2026‑77692 exploite une requête DoH contenant une signature SIG(0) invalide. Si l’émetteur ferme la connexion avant que le serveur named ne termine la vérification, le processus se termine brutalement. Cette faille, notée 7.5 sur l’échelle CVSS 3.1, ne nécessite aucune authentification préalable.

Le CVE‑2026‑76163 déclenche un crash via une requête de type TKEY lorsque le fichier named.conf ne comporte pas de bloc options global. Le serveur tente de traiter la clé TKEY sans paramètres de configuration, entraînant un arrêt du processus.

Les failles CVE‑2026‑19667, CVE‑2026‑19666 et CVE‑2026‑80274 ciblent les résolveurs récursifs. Elles reposent sur des réponses malformées (par exemple un en‑tête de 65 536 octets ou un mélange de preuves NSEC/NSEC3) qui provoquent un dépassement de tampon ou une incohérence de validation DNSSEC, aboutissant à un crash ou à un SERVFAIL. Toutes portent une note CVSS de 7.5.

Deux vulnérabilités (CVE‑2026‑81563 et CVE‑2026‑81736) consomment les ressources CPU ou mémoire du résolveur via des enregistrements SVCB/HTTPS malveillants mis en cache. Les quatre dernières failles, notées « Medium », portent sur l’intégrité des données DNS : CVE‑2026‑19941 et CVE‑2026‑77119 permettent à un attaquant sur le chemin ou à un forwarder malveillant de faire accepter des preuves DNSSEC falsifiées, créant ainsi un risque de cache poisoning. CVE‑2026‑19033 exploite une incohérence lors d’un transfert incrémental IXFR signé TSIG, où le serveur secondaire peut publier une zone non signée si la signature finale n’arrive jamais. Enfin, CVE‑2026‑78301 autorise le chargement d’une zone malformée contenant un nœud NS ou DNAME au‑dessus de son origine, ce qui conduit à une délégation hors‑zone et à la mise en cache d’enregistrements contrôlés par l’attaquant.

Analyse de l'impact sur les déploiements

Les sept failles classées « High » (score 7.5) sont toutes susceptibles de provoquer un déni de service complet, ce qui rend les serveurs DNS publics ou les résolveurs d’entreprise particulièrement exposés. La combinaison d’un crash DoH et d’un crash de résolveur récursif peut interrompre la résolution pour des millions d’utilisateurs, surtout dans les environnements où le DoH est activé par défaut.

Les vulnérabilités de type cache poisoning (CVE‑2026‑19941, CVE‑2026‑77119) affectent la confiance accordée aux réponses DNSSEC. Un attaquant capable d’injecter des réponses sur le chemin peut ainsi faire accepter des réponses falsifiées, ouvrant la porte à des attaques de type man‑in‑the‑middle sur le trafic HTTPS qui repose sur la résolution DNS.

Les organisations utilisant encore la branche 9.18, notamment via des distributions Linux anciennes, restent vulnérables à toutes les failles sauf la CVE‑2026‑19662. L’absence de correctif officiel pour 9.18 impose une migration urgente vers 9.20 ou 9.21.

Recommandations de mise à jour

Les opérateurs doivent déployer immédiatement BIND 9.20.29 ou BIND 9.21.26 selon leur politique de version. Les environnements qui conservent la version 9.18 doivent planifier une migration avant la fin du trimestre, en vérifiant la disponibilité des paquets dans leurs dépôts.

Il est conseillé de vérifier que le fichier named.conf comporte un bloc options global afin de neutraliser le CVE‑2026‑76163. Les transferts IXFR doivent être configurés pour signer chaque message TSIG, conformément à la correction du CVE‑2026‑19033. Enfin, les résolveurs doivent désactiver le cache de zones SVCB/HTTPS non vérifiées jusqu’à ce que les correctifs soient appliqués, afin de limiter l’exploitation des CVE‑2026‑81563 et CVE‑2026‑81736.