BIND 9: CVE-2026-94300 erlaubt Codeausführung

Dein Nameserver ist das Telefonbuch deines Netzes — und BIND 9 hat jetzt eine Lücke. Das Internet Systems Consortium (ISC) hat am 21. Oktober 2026 aktualisierte Versionen veröffentlicht, heise berichtete am 22. Oktober. Die Schwachstelle trägt die Kennung CVE-2026-94300 und wird mit CVSS 8,1 als hoch eingestuft.

WAS DAHINTERSTECKT

Der Fehler sitzt in der Verarbeitung von GSS-TSIG-signierten UDP-Paketen. Ein Angreifer muss solche Pakete mitschneiden und an den Server wiederholen, solange der ausgehandelte TSIG-Schlüssel noch gültig ist. BIND behandelt die wiederholten Pakete dann als neu, statt sie abzuweisen, was zu Speicherfehlern führt. Für Codeausführung braucht der Angreifer zusätzlich präparierte Anfragen an eine Zone, die er selbst kontrolliert.

Die Lücke ist aus dem Internet ausnutzbar. Die Maintainer kennen keine aktiven Exploits. Sie fanden den Fehler in internen Tests; unabhängig meldete ihn Dave Aitel von OpenAI per Responsible Disclosure.

BETROFFENE UND GEFIXTE VERSIONEN

Betroffen: BIND 9.11.0 bis 9.18.50, 9.20.0 bis 9.20.29, 9.21.0 bis 9.21.26 sowie die Preview-Versionen 9.11.3-S1 bis 9.18.50-S1 und 9.20.9-S1 bis 9.20.29-S1.
Behoben in: BIND 9.20.30, 9.21.27 und der Supported Preview Edition 9.20.30-S1 für ISC-Supportkunden.

Auffällig: Auch der Zweig 9.18 steht in der Liste. Für ihn nennt heise keine Fix-Version, ISC rät Nutzern von 9.18 laut Sekundärberichten zum Umstieg auf 9.20. Prüfe das im ISC-Advisory für deine Version.

KEINE ENTWARNUNG: ES GIBT KEINEN WORKAROUND

„Workarounds gibt es demnach keine“, schreibt heise. Es hilft nur das Update — und zwar zügig. Zusätzlich beobachtet wurden zuletzt Angriffe auf BIND-Server, die allerdings eine Lücke von 2015 betrafen. Die Aufmerksamkeit der Angreifer für Nameserver ist also real.

WAS DU JETZT TUN SOLLTEST

Version prüfen: named -v zeigt dir, welche BIND-Version läuft.
GSS-TSIG im Blick: Läuft bei dir Active-Directory-Anbindung oder dynamisches DNS mit GSS-TSIG? Dann ist das Update besonders dringend.
Paketquellen prüfen: Distributionen liefern BIND oft nach; schau nach, wann dein Paket den Fix bekommt.
Auf aktuellen Zweig wechseln: Wer noch 9.18 nutzt, sollte den Umstieg auf 9.20 einplanen.

Häufige Fragen

Bin ich als Homelab-Betreiber betroffen?

Nur wenn du BIND 9 selbst betreibst, etwa als Resolver oder autoritativen Nameserver in einem Container oder auf einem Server. Pi-hole, Unbound oder der Router-DNS nutzen BIND nicht. Prüfe mit named -v die Version. Liegt sie in den genannten Bereichen, solltest du auf eine gefixte Version aktualisieren.

Wird die Lücke schon ausgenutzt?

Die Maintainer kennen keine aktiven Exploits. Die Lücke wurde in internen Tests gefunden und zusätzlich unabhängig von Dave Aitel von OpenAI gemeldet. Weil der Angriff aus dem Internet möglich ist und kein Workaround existiert, ist trotzdem schnelles Aktualisieren sinnvoll, bevor Exploit-Code auftaucht.

Warum ist die Schwachstelle trotz CVSS 8,1 nicht kritisch?

Der Angriff verlangt einiges: Der Angreifer muss GSS-TSIG-signierte Pakete mitschneiden und innerhalb der Gültigkeit des Schlüssels wiederholen. Für Codeausführung braucht er außerdem eine Zone unter eigener Kontrolle. Die Komplexität gilt daher als hoch. Gefährlich bleibt der Fehler dennoch, weil er aus dem Netz erreichbar ist.

Gibt es einen Workaround?

Laut heise nein. Eine vorübergehende Konfigurationsänderung nennt die Meldung nicht, nur die Aktualisierung auf 9.20.30, 9.21.27 oder 9.20.30-S1. Wer sofort nicht updaten kann, sollte zumindest die Erreichbarkeit des Nameservers aus dem Internet auf das Nötige begrenzen und die Wartung kurzfristig einplanen.

Quellen

heise online — BIND 9: Codeschmuggel-Lücke im Nameserver (22.10.2026)

DNS-ALARM! BIND 9 hat eine Lücke mit möglicher Codeausführung — und es gibt keinen Workaround, nur das Update