BIND 9.20.29 вышел с 14 исправлениями — обновляю у клиентов

Пришло уведомление об обновлении BIND — вышла версия 9.20.29 с исправлениями для четырнадцати уязвимостей, включая несколько высокорисковых. Особенно тревожны две: одна позволяет вызвать сбой сервера без аутентификации через DoH, другая — через специально сформированный TKEY-запрос при отсутствии блока options в конфиге. Ещё несколько касаются отравления кеша и исчерпания ресурсов.

Считаю, что самое важное — не в количестве уязвимостей, а в том, что часть из них доступна без аутентификации и требует минимальных условий для эксплуатации. Особенно опасна CVE-2026-77692: атака через DoH, закрытие соединения до проверки подписи — и сервер падает. Это не просто сбой, а возможность массового DDoS-подобного воздействия на инфраструктуру. Насколько я понял, это не только для публичных резолверов — любой сервер с включённым DoH уязвим, если не обновлён.

На мой взгляд, не стоит тянуть с обновлением, даже если атаки пока не зафиксированы. Время — не в том, что уязвимость уже используют, а в том, что она уже доступна в ботах. Уже сегодня кто-то может сканировать и готовиться. И если у вас старая версия — даже если она «работает», она уже в зоне риска. Особенно, если это BIND 9.18: поддержка закончилась, и больше не будет исправлений.

У себя уже поставил обновление в план на неделю. Пока смотрю, какие клиенты используют старые версии — и постепенно начинаю обновлять. Для тех, кто на 9.20, проверяю, включён ли DoH, и смотрю конфигурацию. Если есть TKEY без options — это риск. Никто не должен быть в состоянии убить сервер одним запросом. Главное — не ждать, пока сайт перестанет работать. Пока всё ещё можно починить без срыва.