Aller au contenu

Linux Faille Haute

BIND 9 : quatorze failles de septembre (9.20.29) toujours ouvertes sur Debian 12, résolveurs DNSSEC et SVCB concernés

ISC a corrigé le 16/09/2026 quatorze failles dans BIND 9.20.29 (résolveur, DNSSEC, SVCB/HTTPS, DNS sur HTTPS). Debian 13 est corrigé ; Debian 12 (bookworm) est encore marqué vulnérable. Complète notre article sur le correctif du 21/10.

par Frédéric Vagner · publié le

Sévérité
Haute
CVE
CVE-2026-81736 CVE-2026-19667 CVE-2026-19662 CVE-2026-19941 CVE-2026-77692 CVE-2026-78301 CVE-2026-81563 CVE-2026-19666 CVE-2026-76163 CVE-2026-80274 CVE-2026-19033 CVE-2026-19668 CVE-2026-75029 CVE-2026-77119
Produits
DebianBind
Versions touchées
BIND 9.20 avant 9.20.29 ; Debian 12 : 1:9.18.49-1~deb12u2
Versions corrigées
BIND 9.20.29 (16/09/2026) puis 9.20.30 ; Debian 13 : 1:9.20.30-1~deb13u1
Correctif
Correctif disponible
Source
kb.isc.org ↗

Qui est concerné ?

Les serveurs BIND 9 utilisés comme résolveur récursif ou serveur faisant autorité. Le tracker Debian indique, au 23/10/2026 : Debian 13 (trixie) corrigé (1:9.20.30-1~deb13u1), Debian 12 (bookworm) vulnérable (1:9.18.49-1~deb12u2) pour les CVE listées par le tracker (vérifié sur celles ci-dessous, sauf CVE-2026-19662 et CVE-2026-19033 à confirmer). La matrice officielle d'ISC n'affiche que la branche 9.20 : le détail des versions 9.18 touchées est à confirmer auprès d'ISC.

Risque

Les avis ISC du 16/09/2026 (version 9.20.29) corrigent notamment :

  • CVE-2026-81736 : arbre d'enregistrements SVCB/HTTPS en mode alias mis en cache (résolveur) ;
  • CVE-2026-81563 : enregistrement SVCB/HTTPS en mode alias mal traité (résolveur) ;
  • CVE-2026-80274 : requête vers une zone signée DNSSEC (résolveur) ;
  • CVE-2026-77692 : arrêt de named par une requête DNS sur HTTPS piégée ;
  • CVE-2026-77119 : NSEC3 valide d'une zone sœur accepté à tort ;
  • CVE-2026-19941 : enregistrement NSEC inapplicable accepté comme preuve ;
  • CVE-2026-78301 : zone mal formée avec NS ou DNAME au-dessus de son origine ;
  • CVE-2026-75029 : copies multiples d'un enregistrement dans une réponse ;
  • CVE-2026-19668, CVE-2026-19667, CVE-2026-19666 : consommation excessive de ressources du résolveur ;
  • CVE-2026-76163, CVE-2026-19662, CVE-2026-19033 : autres défauts du même lot (détail à lire dans le bulletin ISC).

Les scores CVSS individuels n'ont pas été relevés : à confirmer (kb.isc.org/docs/cve-AAAA-NNNNN). Exploitation active non confirmée. Le lot du 21/10/2026 (CVE-2026-94300, -96888, -97313, -19630) est traité dans notre article « BIND 9 : quatre failles corrigées (DSA-6576-1) » ; Debian 12 n'est, au 23/10/2026, corrigé pour aucun des deux lots.

Corriger

  • Debian 13 : apt update && apt install --only-upgrade bind9 (9.20.30).
  • Debian 12 : aucun paquet de sécurité disponible ; passer à Debian 13, ou installer BIND 9.20.30 depuis une source officielle d'ISC après test (dépôt à confirmer).

Contournement

Limiter la récursion aux clients de confiance (allow-recursion), ne pas exposer de résolveur ouvert, désactiver le DNS sur HTTPS (listen-on ... http) s'il n'est pas utilisé.

Vérifier

named -v
apt policy bind9
curl -s https://security-tracker.debian.org/tracker/source-package/bind9 | grep -c vulnerable

À lire aussi