加入 TWISA
選單

漏洞修補2026 年 10 月 22 日（四）

BIND記憶體損壞風險：更新DNS並檢查GSS-TSIG

CVE-2026-94300涉及GSS-TSIG簽署UDP訊息重播，可能造成named記憶體損壞或遠端執行。更新BIND並驗證備援、動態更新與名稱解析。

下載 PDF回資安告警
01

內文

DNS不只服務對外網站，也支援內部登入、應用與設備通訊。除了公開DNS，內部解析、備援、委外代管及產品內嵌的BIND也要盤點。

CVE-2026-94300，ISC 官方 CVSS v3.1 8.1，10/21 公開。涉及 GSS-TSIG 簽署的 UDP 訊息重播，可造成記憶體損壞及潛在遠端程式碼執行。企業DNS、委外DNS及跨據點名稱解析服務若採受影響 BIND，應核對是否使用相關機制。

攻擊流程BIND：簽署封包重播帶來的 DNS 風險
  1. 01

    取得有效簽署封包

    先取得 GSS-TSIG UDP 訊息，且 key 仍有效

  2. 02

    重播並搭配查詢

    結合攻擊者控制區域的查詢

  3. 03

    記憶體損壞

    可能使 named 異常或遠端執行程式

  4. 04

    名稱解析受影響

    可能中斷 DNS，進一步危及主機

ISC 通報表示尚未察覺實際攻擊。

修補： BIND 更新至 9.20.30／9.21.27，支援預覽版依 9.20.30-S1 更新。同步檢查備援節點、動態更新設定及名稱解析功能。

受影響版本與原廠更新資訊

受影響BIND版本：9.11.0至9.18.50、9.20.0至9.20.29、9.21.0至9.21.26。Supported Preview Edition為9.11.3-S1至9.18.50-S1、9.20.9-S1至9.20.29-S1。使用已停止支援的分支時，移轉至仍受支援的修補版本。

行動建議：從外部邊界查到內部核心

應變流程BIND：盤點DNS、修補版本並驗證動態更新
  1. 01

    找出所有DNS

    涵蓋內外部、備援、容器、產品內嵌及委外節點

    看看能怎麼應對2項資源

    TWISA 會員方案

    找出所有DNS

    以主機及弱點管理工具交叉盤點DNS服務，建立內部、外部、備援與委外節點清冊，逐一核對BIND執行版本與修補狀態。

  2. 02

    依分支更新

    更新至9.20.30／9.21.27；支援預覽版9.20.30-S1

    查看處理指引1項資源

    應對方式與指引

    依分支更新

    更新至9.20.30／9.21.27；支援預覽版9.20.30-S1

  3. 03

    主動驗證

    核對named版本、備援解析、GSS-TSIG與動態更新功能

  4. 04

    追查異常

    保全服務與主機紀錄，調查異常程序或資料存取

    看看能怎麼應對2項資源

    TWISA 會員方案

    追查異常

    發現named異常終止、可疑程序或非預期資料存取時，保全DNS與主機紀錄，調查受影響節點、帳號及內網連線。

防禦架構DNS服務：從封包與金鑰到主機權限

盤點DNS角色、BIND版本、GSS-TSIG、備援及委外維護範圍

業務連線依授權放行，各層分別落實防護

  1. 01

    DNS連線入口

    內外部DNS查詢與UDP流量

    看看能怎麼應對2項資源

    TWISA 會員方案

    DNS連線入口

    WatchGuard Firebox設定DNS的來源、目的及TCP／UDP服務規則；眾至INF系列分隔DNS網段與一般端點。依內部解析、對外權威服務及動態更新的不同用途，限制可達來源。

    依角色限制來源依DNS服務用途規劃可查詢來源與網路範圍，核對內外部節點

  2. 02

    GSS-TSIG與金鑰

    簽署訊息、協商金鑰與動態更新

    核對使用機制確認相關功能及金鑰管理，避免只檢查對外DNS

  3. 03

    BIND執行環境

    named、OS套件、容器與內嵌元件

    查看處理指引1項資源

    應對方式與指引

    BIND執行環境

    替換受影響套件或映像，核對正在提供服務的named

    更新並驗證執行版本替換受影響套件或映像，核對正在提供服務的named

  4. 04

    內部系統與服務帳號

    主機權限、名稱解析與相連系統

    看看能怎麼應對2項資源

    TWISA 會員方案

    內部系統與服務帳號

    在產品支援的Linux DNS主機，FortiEDR與NeithSeeker監控惡意程序及可疑外連，透過阻斷與端點隔離降低後續橫向活動。

    限制後續影響降低DNS程序權限並隔離服務，避免異常程序擴大存取

各層日誌與流量，送往監控與應變流程

  1. 蒐集DNS與主機紀錄保留查詢、更新、named錯誤與程序事件
  2. 追查可疑活動對照服務中斷、異常程序及非預期外連
    看看能怎麼應對2項資源

    TWISA 會員方案

    追查可疑活動

    發現named異常終止、可疑程序或非預期資料存取時，保全DNS與主機紀錄，調查受影響節點、帳號及內網連線。

  3. 修補後複測確認備援切換、解析與動態更新正常

網路與權限控制輔助降低曝險，不能取代BIND更新；ISC未提供已知workaround。

TWISA會員方案：DNS盤點與異常調查

歡迎洽詢各會員，取得更詳細的產品與服務介紹及說明。

其他資安告警

TWISA 會員方案：緩解風險與保護核心資料

通報更新日期：2026/10/24。產品支援與修補狀態以原廠最新資料為準。