O ISC publicou em 21 de outubro de 2026 quatro alertas de segurança para o BIND 9. Para o provedor que opera seus próprios servidores DNS, a ação imediata é conferir inventário, configurações e disponibilidade de correção no fornecedor do pacote, sem presumir que todos os servidores têm a mesma exposição.
O que os boletins dizem
A CVE-2026-19630 envolve consumo excessivo de CPU e memória em resolvedores, com possível negação de serviço. O ISC classifica a gravidade como alta e indica correções nas versões 9.20.30, 9.21.27 e 9.20.30-S1. A escolha precisa respeitar a linha suportada e o pacote usado pela operação.
A CVE-2026-94300 envolve GSS-TSIG e pode causar corrupção de memória, encerramento do processo e, sob condições específicas, execução remota de código. Isso não significa que qualquer instalação BIND permita execução remota indistintamente.
Os outros avisos descrevem falhas condicionadas à combinação de zona redirect com minimização estrita de QNAME (CVE-2026-96888) e a configurações específicas de RPZ (CVE-2026-97313). Leia o boletim correspondente antes de avaliar a exposição.
Na consulta de 23 de outubro, o ISC declarava não conhecer exploração ativa dessas falhas. Essa informação não comprova ausência de ataques. O centro de segurança cibernética do Canadá também divulgou o aviso, mas sua repercussão não é investigação independente de incidentes.
A decisão no provedor
A consequência operacional possível é clara: uma falha de resolução pode interromper a navegação percebida pelo assinante mesmo quando o transporte está funcionando. Trata-se de inferência operacional, não de relato de incidente brasileiro nesta apuração.
O NOC deve identificar quais máquinas executam BIND, qual papel cumprem e quais dependências usam. Compare a versão e a configuração com os avisos oficiais e com o boletim da distribuição: um pacote pode receber correção por backport sem adotar a numeração upstream mais recente.
Planeje teste, reversão e atualização escalonada com redundância. Depois, valide resolução e observe erros, latência e uso de recursos. Não desligue todos os resolvedores simultaneamente nem trate mudança de versão como substituta da validação do serviço.
Esta notícia não identifica a exposição de uma rede específica. A disponibilidade de backports por distribuição e eventuais ocorrências no Brasil não foram confirmadas.
