BIND 9의 2026년 10월 보안 패치 현황
인터넷 시스템 컨소시엄(ISC)은 2026년 10월 21일 BIND 9.20.30(안정 브랜치)과 9.21.27(개발 브랜치)을 릴리스했습니다. 이번 업데이트는 4개의 고위험 취약점을 패치하며, CVE-2026-94300이 가장 심각합니다.
주요 보안 취약점
- CVE-2026-94300 (CVSS 8.1): GSS-TSIG 핸들링의 메모리 손상 취약점으로, 원격 코드 실행(RCE) 가능성이 있습니다. UDP를 통한 서명된 GSS-TSIG 메시지 재전송으로 named 프로세스의 Kerberos 상태가 손상될 수 있습니다.
- CVE-2026-5946: CLASS != IN 클래스의 부적절한 처리로 인해 비-IN 뷰에서 재귀, 동적 업데이트(UPDATE), 존 변경 알림(NOTIFY)이 비활성화됩니다.
- CVE-2026-5947: 쿼리 폭주 중 SIG(0) 검증이 정의되지 않은 동작을 초래할 수 있습니다.
- CVE-2026-3039: GSS-API TKEY 협상 중 서버 메모리 소진 취약점입니다.
업그레이드 권고 및 현황
ISC는 영향을 받는 BIND 9.11.0~9.18.50, 9.20.0~9.20.29, 9.21.0~9.21.26 버전 사용자에게 즉시 업그레이드를 권장합니다. BIND 9.18은 2026년 6월에 지원 종료(EOL)되었으므로 패치 없이 9.20으로 마이그레이션해야 합니다. ISC는 현재까지 이 취약점들의 능동적 악용을 인지하지 못했습니다.