選び方・手順 2026.10.24 読了約13分

ISC BIND における複数の脆弱性（2026年10月）｜対象の版・修正版と、DNS サーバーの管理者がやること【随時更新】

（最終更新：10 月 24 日 19:58）DNS サーバーのソフト BIND 9 の複数の脆弱性について、対象の版と修正版、回避策がないこと、立場ごとにやることを公式の発表で整理します。

最終更新：10 月 24 日 19:58（日本時間） 続報が出たら追記します。
すぐ見る：よくある疑問／保守を任せている会社／技術的な詳細／対象の版と修正版／ DNS サーバーの管理者がやること／経緯

ひとことで言うと

DNS を動かすソフト BIND に、サービスが止まるおそれのある弱点。直った版は 9.20.30（10 月 21 日公表）

ドメイン名からサーバーの場所を調べる仕組み（DNS）を動かすソフト「BIND 9」に、4 つの弱点（脆弱性）が見つかった。DNS が止まるおそれがあり、1 つは外からプログラムを動かされる（リモートコード実行）おそれもある
自社のサーバーで BIND を動かしているなら、直った版（9.20.30・9.21.27）へ更新する。更新までのつなぎの対策（回避策）はない
古い 9.18 系列はサポートが終わっていて、直った版は出ない。開発元の ISC は、悪用は確認していないとしている

どうすればいい？

よくある疑問と答え

うちの会社は対象？ 自社や保守の会社が、BIND で DNS サーバーを動かしているときです。レンタルサーバーやクラウドの DNS を使っているだけなら、ソフトを更新するのはサービスの会社で、自社の作業は基本的にありません（この記事での整理）。
→ DNS の持ち方ごとにやること
放っておくとどうなる？ DNS のサービスが止まるおそれがあります。DNS が止まると、ドメイン名でホームページを開けなくなったり、メールが届かなくなったりします（この記事での整理）。
→ 4 つの脆弱性の中身
どの版にすればいい？ 9.20 系列は 9.20.30 へ、9.21 系列は 9.21.27 へ更新します。OS のパッケージで入れたものは、OS の提供元から出る更新を当てます。
→ 対象の版と修正版
9.18 系列を使っている。どうする？ 9.18 系列はサポートが終わっていて、直った版は出ません。直った版のある 9.20.30 への更新を計画します。
すぐに更新できないときは？ ISC と JPRS は、一時的な回避策はないとしています。条件に当てはまるサーバーから先に更新します（この記事での整理）。
→ 管理者の作業の順番
もう悪用されている？ ISC は、悪用は確認していないとしています。
サーバーの保守を任せている会社は？ 任せている会社に、自社の DNS サーバーで BIND を使っているか、使っているなら更新の予定を聞きます（この記事での整理）。
→ 保守を任せている会社がやること

詳しくは：対象の版と修正版／ DNS サーバーの管理者がやること／保守を任せている・サービスを使っている事業者

この記事では、ISC BIND の脆弱性（2026 年 10 月）について、BIND の開発元の ISC（Internet Systems Consortium）のセキュリティアドバイザリと、「.jp」のドメイン名の登録管理を担う日本レジストリサービス（JPRS）の注意喚起、JPCERT/CC と IPA が運営する脆弱性の情報サイト JVN の発表だけをもとに、対象の版と修正版と、DNS サーバーの管理者・サーバーの保守を任せている事業者がやることを整理します。攻撃の手順の細かい情報は載せていません。

BIND とは

BIND（BIND 9）は、ドメイン名から IP アドレスを調べる DNS の仕組みを動かすためのソフトです。ホームページを開くときやメールを送るときに、裏側で使われています。

使われ方は 2 つあります。自社のドメインの情報を答えるサーバー（権威 DNS サーバー）と、社内のパソコンなどの代わりに名前を調べるサーバー（フルリゾルバー。キャッシュ DNS サーバーとも呼ぶ）です。今回の 4 つの弱点は、どちらの使い方か、どんな設定かによって当てはまるものが違います（この記事での整理）。

保守を任せている・サービスを使っている事業者

DNS の持ち方ごとに、自社で何をすればよいかをまとめます（この記事での整理）。今回の発表は BIND 9 についてのもので、自社で BIND を動かしていなければ、更新の作業は自社には生じません。

サーバーの保守を任せている 任せている会社に、自社の DNS サーバーで BIND を使っているか、使っているなら版と、今回の修正版への更新の予定を聞く。9.18 系列以前なら、移行の予定もあわせて聞く。
レンタルサーバー・クラウドの DNS を使っている レンタルサーバーやドメインの会社、クラウドの DNS のサービスの管理画面で、DNS のレコードを登録して使っているだけなら、DNS サーバーのソフトを更新するのはサービスの会社で、自社の作業は基本的にない。サービスの会社のお知らせや障害情報を見ておく。
クラウドや VPS のサーバーに自分で BIND を入れた サーバーの中のソフトを管理するのは自社になる。上の「DNS サーバーの管理者がやること」のとおり、版を確かめて更新する。

次に読む：同じ時期のサーバーのソフトの重大な脆弱性（PHP）／ホームページのセキュリティ対策の基本

技術的な詳細（DNS サーバーの管理者向け）

ここからは、DNS サーバーを運用している管理者・エンジニア向けです。プログラムの名前は named です。ISC と JPRS の発表に書かれた 4 つの脆弱性の中身を、発表の言葉に沿って並べます。

10 月 21 日の発表で分かっていることです。ISC によると、4 つの脆弱性の深刻度はどれも High（高）で、遠隔から悪用できるとされています。どれも一時的な回避策は知られておらず、悪用は確認していないとしています。

BIND 9 の 4 つの脆弱性（ISC・JPRS）
脆弱性	起きうること	深刻度（CVSS）
CVE-2026-19630（CPU・メモリの過剰な消費）	フルリゾルバーが、特定の構造を大量に含む DNS のメッセージを受け取ると、CPU とメモリを使いすぎ、サービスが止まる（サービス不能）おそれ	High・7.5
CVE-2026-94300（サービスの停止・リモートコード実行）	GSS-TSIG（DNS の通信に電子署名を付ける仕組みの一つ）で署名した UDP のメッセージを再送されると、named のメモリが壊れ、プログラムが止まったり、外からコードを実行されたりするおそれ	High・8.1
CVE-2026-96888（DNS サービスの停止）	「redirect」のゾーン（nxdomain-redirect）と「qname-minimization strict」を両方設定したフルリゾルバーが、異常終了するおそれ	High・7.5
CVE-2026-97313（DNS サービスの停止）	名前解決の要求を受け付け、RPZ のゾーンを 2 つ以上置き、「recursive-only yes」と「recursive-only no」を混ぜて設定しているサーバーが、異常終了するおそれ	High・7.5

日本語の注意喚起も出ています。JPRS は 10 月 22 日に、4 つの脆弱性それぞれの注意喚起を「緊急」として出し、バージョンアップを強く推奨しています。JPRS によると、CVE-2026-97313 は RPZ を該当する設定で使っている場合だけが対象です。

用語の補足です。RPZ（Response Policy Zones）は、フルリゾルバーが返す答えを運用者の方針で変えられる機能で、DNS を使ったブロッキングやフィルタリングに使われています。nxdomain-redirect は、問い合わせた名前が存在しないときに、決まった IP アドレスを返すようにする機能です。JPRS は、CVE-2026-96888 と CVE-2026-97313 を、これらを表のように設定している場合に起きる問題としています。

対象の版と修正版

ISC の発表のとおりです。BIND 9 の次の版が対象です。

BIND 9 の系列ごとの対象の版と修正版（ISC）
系列	対象の版	修正版
9.20 系列	9.20.0 から 9.20.29	9.20.30
9.21 系列（開発版）	9.21.0 から 9.21.26	9.21.27
9.18 系列以前	9.11.0 から 9.18.50（CVE-2026-96888・CVE-2026-97313 は 9.16.0 から）	なし（サポート終了）

ISC の解決策の欄に挙がっている修正版は 9.20.30 と 9.21.27 で、9.18 系列の修正版はありません。ISC のダウンロードのページでは、9.18 系列（9.18.50）は「EOL」（サポート終了）と表示されています。JPRS も、ISC はサポートを終了した系列のセキュリティパッチを出さないと発表している、と伝えています。ISC は、いま使っている版に近い修正版へ更新するよう案内していて、9.18 系列以前なら、修正版のある 9.20.30 が更新先になります。

ISC のサポート契約者向けの「BIND Supported Preview Edition」（版の番号の末尾に -S1 が付くもの）も対象です。対象は 9.11.3-S1 から 9.18.50-S1（CVE-2026-96888 は 9.16.8-S1 から）と、9.20.9-S1 から 9.20.29-S1 で、修正版は 9.20.30-S1 です。

Linux などの OS のパッケージで BIND を入れている場合もあります。JPRS は、該当する BIND 9 のパッケージを使っている場合は、各ディストリビューションの提供元から出る情報を集め、更新などの対応を速やかに取るよう強く推奨しています。パッケージの版の番号は ISC の番号と違うことがあるので、提供元の案内で修正済みかを確かめてください（この記事での整理）。

DNS サーバーの管理者がやること

ISC と JPRS の案内を、作業の順に並べたものです（順番と、案内に無い補足は、この記事での整理）。

サーバーで動いている BIND の版を確かめ（named -v で版の番号が表示される）、上の表で対象かを見る。OS のパッケージで入れたものは、提供元の修正の情報もあわせて見る
9.20 系列なら 9.20.30 へ、9.21 系列なら 9.21.27 へ更新する。OS のパッケージなら、提供元から出る更新を当てる
9.18 系列以前なら、この系列の修正版は出ないため、9.20.30 への更新を計画する。大きく版が変わるので、設定がそのまま動くかを、試せる環境で先に確かめる（この記事での整理）
ISC と JPRS は、一時的な回避策はないとしている。すぐに更新できない間は、RPZ や nxdomain-redirect の設定と、外から名前解決の要求を受け付けていないかを見直し、条件に当てはまるサーバーから先に更新する（この記事での整理）
更新のあとに、名前解決と、ホームページやメールが普段どおり動くかを確かめる（この記事での整理）

次に読む：同じ時期の Linux カーネルの未修正の脆弱性／サービスを止められるおそれのある別の脆弱性（Node.js の Brotli）

経緯

ISC BIND の脆弱性の経緯（新しい順・公表日）
日付	できごと
2026 年 10 月 22 日	JPRS が 4 つの脆弱性それぞれの注意喚起（緊急）を出した。JVN が JVNVU#91196958 を公開した
10 月 21 日	ISC が 4 つの脆弱性を公表し（Public disclosure）、修正版の 9.20.30 と 9.21.27 を出した
10 月 14 日	ISC のアドバイザリの改訂履歴に、早期の通知（Early Notification）の版として記録されている日

自社で見直すこと

DNS が止まると、ドメイン名でホームページを開けなくなったり、メールが届かなくなったりします。ふだん意識しない仕組みなので、誰が管理しているかが分からないままになりやすいところです（この記事での整理）。

DNS をどこが持っているかを書き出す ドメインの登録先と、DNS のサーバー（レンタルサーバー・クラウドの DNS・自社のサーバー）、管理する会社と連絡先を一覧にしておく。
サポートが終わった系列を使い続けない 今回のように、サポートが終わった系列には修正版が出ない。サーバーのソフトの版と、サポートが終わる時期を、保守の会社と一緒に確かめておく。
脆弱性の情報を見る場所と担当を決める JPRS や JVN のように、日本語で脆弱性の情報を出している場所がある。誰が見て、誰が更新を決めるかを決めておく。

ドメインと DNS の基本は「ドメインとは」、ほかの最近の出来事は「最近のサイバー攻撃と対策」、続けて備える体制の考え方は「ホームページの保守」にまとめています。

作り方は 3 つ｜完成済み・自作・オーダーメイド

作り方はどれでも選べます。優劣ではなく、向いているケースが違います。

オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
オーダーメイド制作を相談するオーダーメイド制作との違い
自分で作る（自作） 費用は抑えられます。そのかわり、DNS やサーバーのソフトの脆弱性の情報を追い、更新を公開後もずっと自分で続けることになります。
完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
完成済みのサイトを実物で見る