ב-BIND, תוכנת שרת ה-DNS הנפוצה ביותר ברשת, יש חולשה שמאפשרת לתוקף מרוחק להפיל את השירות בשאילתה אחת. התוקף אינו קורא מידע ואינו משתלט על המכונה, הוא רק מכבה את השירות, ואת זה הוא יכול לעשות שוב ושוב. ב-8 באוקטובר 2026 נוספה החולשה לרשימת החולשות שידוע כי תוקפים משתמשים בהן, אחת-עשרה שנים אחרי שהתיקון יצא.

מה החולשה?

שרת DNS הוא הרכיב שמתרגם שמות של אתרים לכתובות IP. בלעדיו מכשירים ברשת מפסיקים למצוא כמעט כל דבר, גם כשהחיבור לאינטרנט עצמו תקין לחלוטין.

בתוך BIND יש קוד שמטפל בשאילתות מסוג TKEY, סוג שנועד להחלפת מפתחות הצפנה בין שרתים. בקוד הזה יש שורת בדיקה מסוג assert, שאומרת לתוכנה שמצב מסוים אסור שיתרחש, ואם הוא בכל זאת מתרחש התוכנה עוצרת את עצמה מיד ובכוונה. שאילתת TKEY שבנויה בצורה מסוימת מגיעה בדיוק למצב הזה, והתוצאה היא שהתהליך named, הוא השירות עצמו, יוצא ונסגר.

זה אינו באג שמאפשר להשתלט על השרת. הוא מאפשר לכבות אותו, וזה מספיק.

מי מושפע?

לפי הרשומה, BIND בגרסאות 9.x שלפני 9.9.7-P2 ובגרסאות 9.10.x שלפני 9.10.2-P3.

הקהל הרלוונטי הוא מי שמריץ שרת DNS משלו: ספקי אינטרנט, אוניברסיטאות, חברות אחסון וארגונים שמנהלים דומיין פנימי. גולש פרטי אינו מריץ BIND, אבל הוא מרגיש את התוצאה מיד כששרת ה-DNS של הספק שלו נופל. ברשומה מופיעה גם הודעת אבטחה של Juniper, שמשלבת את BIND בתוך מוצריה, וזה אופייני: BIND יושב גם בתוך ציוד תקשורת ומערכות שלא תמיד חושבים עליהן כעל שרתי DNS.

האם מנוצלת בפועל?

כן. ב-8 באוקטובר 2026 הכניסה סוכנות הסייבר האמריקאית CISA את החולשה לקטלוג ה-KEV, שבו היא מרכזת חולשות שתועד שימוש בהן בידי תוקפים, וקבעה לגופים הפדרליים לטפל בה עד 11 באוקטובר 2026.

חולשה בת אחת-עשרה שנה שנכנסת לקטלוג היום מלמדת בעיקר דבר אחד: עדיין יש בחוץ שרתים שלא עודכנו מאז.

מה עושים?

עדכנו את BIND ל-9.9.7-P2 או ל-9.10.2-P3 ומעלה, לפי הענף שאתם מריצים. הודעת האבטחה של ISC מפרטת את הגרסאות.

אם אתם על הפצת לינוקס, העדכון כנראה מחכה במנהל החבילות ואין צורך להרכיב את BIND מהמקור. ברשומה מופיעות הודעות העדכון של Fedora מאותה תקופה כדוגמה.

מי שמריץ ציוד תקשורת שמשלב BIND, ובכלל זה מוצרי Juniper שמופיעים ברשומה, צריך לחפש את העדכון אצל יצרן הציוד ולא אצל ISC.

ולבסוף, בדקו אם שרת ה-DNS שלכם בכלל צריך לקבל שאילתות מכל האינטרנט. שרת שמשרת רק את הרשת הארגונית אינו אמור להיות נגיש מבחוץ, וסגירה שלו מקטינה את החשיפה לא רק לחולשה הזאת.