BIND 9 安全更新：四个漏洞修在 9.20.30，还在用 9.18 的要打算了

ISC 在 10 月 21 日为全球使用最广的 DNS 服务器软件 BIND 9 发布安全更新，修复版为 9.20.30（稳定线）与 9.21.27（开发线），一次处理四个漏洞。受影响范围覆盖 9.20.0–9.20.29 与 9.21.0–9.21.26，9.18 及更老分支也在部分漏洞的影响名单上，但已没有对应的新修复版——还在跑 9.18 的服务器，是时候规划迁移了。

四个漏洞里，最重的一个与「向攻击者控制的区发起特制查询」有关，ISC 评估在特定条件下可能达到远程代码执行；其余几处以资源耗尽与崩溃型拒绝服务为主，包括一处可让 BIND 消耗不成比例的 CPU 与内存的问题（CVE-2026-19630，评分 7.5），以及两处与配置强相关的崩溃：递归服务器同时配置两个 recursive-only 设置不同的 RPZ 区时可能退出（CVE-2026-97313），解析器同时启用重定向区与严格 QNAME 最小化时可能触发断言失败（CVE-2026-96888）。ISC 表示，目前尚不知晓任何在野利用，也没有可用的变通办法——结论和这两天所有的安全新闻一样：升级是唯一的解法。

普通读者与 BIND 的距离其实比想象中近：你用的每一家宽带、每一个公共解析服务背后，都可能站着一台 BIND。自建 DNS、内网解析或权威服务器的朋友，本周请顺手把 named 的版本核一遍；只是上网的普通用户什么都不用做，但可以在本站的 IP 地址查询 页看看自己当前的网络出口，顺便有点参与感。

本站点评：DNS 是那种「平时没人想起、坏了全网皆知」的基础设施。昨天 PHP、Node.js，今天 BIND，这个补丁周的密度提醒我们：把基础设施软件的版本盘点做成例行清单，比任何单点防护都值。

相关阅读

· OpenBSD 8.0 发布：虚拟机拉到 64 核，这个「慢系统」补上了两块短板
· IP 地址查询（在线工具）

信息来源：ISC 安全公告（2026-10-21，经 SecurityOnline 整理报道）；文中点评为本站观点。