Sieben der von ISC behobenen Schwachstellen tragen die Einstufung „hoch" und sind aus der Ferne ausnutzbar. Sie werden als CVE-2026-80274, CVE-2026-76163, CVE-2026-19666, CVE-2026-81563, CVE-2026-77692, CVE-2026-19667 und CVE-2026-81736 geführt. Die Folgen reichen von einem unerwarteten Programmabbruch über Speichererschöpfung und die Beendigung des Prozesses named bis hin zu allgemeiner Ressourcenerschöpfung — in jedem Fall entstehen Denial-of-Service-Zustände.
Die Auslöser sind unterschiedlich: Laut ISC genügen etwa nicht zusammenpassende NOQNAME-Beweise, Anfragen des Typs QTYPE TKEY, fehlerhafte Antworten eines autoritativen Servers, SVCB/HTTPS-Einträge im AliasMode, speziell gebaute DNS-over-HTTPS-Anfragen oder negative Antworten mit einer Größe von 65.536 Byte.
Als kritischste der Lücken gilt CVE-2026-77692, weil sie ohne Authentifizierung über das Netz ausgenutzt werden kann und named mit einer einzelnen DoH-Anfrage zum Absturz bringt. „Ein Angreifer kann named zum Abbruch bringen, indem er eine speziell gestaltete DNS-over-HTTPS-Anfrage mit einem kryptografisch ungültigen SIG(0)-Record sendet und die Transportverbindung danach vorzeitig schließt", erläutert ISC.
Hinzu kommen sieben Schwachstellen mittleren Schweregrads. Sie können nach Angaben des Konsortiums zu Cache Poisoning führen, den Speicherverbrauch des negativen Caches in die Höhe treiben, CPU-Erschöpfung samt Paketverlust auslösen, dafür sorgen, dass beliebige vom Angreifer gelieferte Daten in eine Zone gelangen, oder ebenfalls in Denial-of-Service-Zuständen enden.
Alle 14 Fehler sind mit den Veröffentlichungen von BIND 9.21.26 und BIND 9.20.29 behoben. ISC erklärt, keine Kenntnis davon zu haben, dass eine der Schwachstellen bereits aktiv ausgenutzt wird, rät Betreibern aber zu einem zügigen Update. Weitergehende Angaben stehen auf der Seite mit den BIND-Sicherheitshinweisen sowie in den Release Notes zu BIND 9 bereit.