Die Schwachstelle BIND 9 CVE-2026-94300 sitzt im GSS-TSIG-Handling des Nameservers und ist mit einem CVSS-3.1-Base-Score von 8.1 als hoch eingestuft. Betroffen sind alle Installationen von 9.11.0 bis 9.18.50, von 9.20.0 bis 9.20.29 und von 9.21.0 bis 9.21.26 – die BIND Supported Preview Edition eingeschlossen. Gepatcht sind nach Angaben der BIND-Entwickler die Versionen 9.20.30, 9.21.27 sowie für ISC-Supportkunden 9.20.30-S1. Einen Workaround gibt es nicht.
BIND 9 CVE-2026-94300: Wie Replay-Pakete Speicherfehler auslösen
Der Fehler liegt im Umgang mit wiederholten, per GSS-TSIG signierten UDP-Nachrichten. Statt ein Replay als ungültig zu verwerfen, verarbeitet named das Paket erneut – solange der ausgehandelte TSIG-Key gültig ist. Aus dieser Doppelverarbeitung entstehen Speicherfehler der Klasse CWE-119 (Memory Corruption). Die unmittelbare Folge ist ein Absturz des Namensdienstes und damit ein Verfügbarkeitsproblem für die DNS-Auflösung.
Der Vektor CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H beschreibt die Lage nüchtern: angreifbar aus dem Netz, ohne Privilegien, ohne Nutzerinteraktion. AC:H steht für hohe Angriffskomplexität, und Vertraulichkeit, Integrität und Verfügbarkeit sind alle mit „hoch“ bewertet. Fest steht: Die BIND-Entwickler stufen die Lücke als aus dem Internet ausnutzbar ein, und ISC stellt keinen Workaround bereit.
Die CVE-Beschreibungen nennen als mögliche Folge auch Remote Code Execution mit den Rechten des named-Prozesses. Red Hat formuliert auf seiner Sicherheitsseite, ein Remote-Angreifer könne „arbitrary code execution“ auf dem Zielserver erreichen. Für Betreiber ändert das nichts an der Priorität: Ein Dienst, der auf einem abgestürzten named nicht antwortet, ist ein Ausfall – unabhängig davon, ob der Angreifer anschließend Code ausführt.
Betroffene Versionen und der Patch-Stand bei Debian
Neben den Upstream-Releases ist der Distributionsstand entscheidend, denn die meisten Nameserver laufen aus Paketquellen. Debian hat mit DSA-6576-1 ein Security-Update veröffentlicht: In trixie führt Debian in der Security-Suite die Version 1:9.20.30-1~deb13u1 als gefixt, in unstable die Version 1:9.20.30-1. Für bookworm (1:9.18.49-1~deb12u1, Security-Suite: 1:9.18.49-1~deb12u2) und für forky/sid (1:9.20.29-1) listet Debian derzeit ausschließlich als verwundbar markierte Paketstände.
Wer den Patch einspielt, sollte nicht nur die Paketversion prüfen, sondern auch, ob die BIND Supported Preview Edition im Einsatz ist: Die Support-Variante hat eigene Versionsnummern – 9.11.3-S1 bis 9.18.50-S1 und 9.20.9-S1 bis 9.20.29-S1 – und wird vom regulären Distributions-Update nicht zwangsläufig erfasst. Ebenso relevant sind eingebettete BIND-Instanzen in Appliances, Container-Images und Resolver-Abhängigkeiten, die kein Paketmanagement erreicht.
Kein Workaround: Warum nur das Update hilft
Die BIND-Entwickler haben die Lücke nach eigenen Angaben im Rahmen interner Tests gefunden; unabhängig davon hat Dave Aitel (OpenAI) sie entdeckt und im Zuge einer Responsible Disclosure gemeldet. Es handelt sich also um eine Schwachstelle mit zwei Fundwegen – nicht um zwei Lücken. Einen Workaround, etwa das Abschalten einzelner TSIG-Optionen, hat ISC nicht veröffentlicht; als einzige Maßnahme bleibt das Update auf 9.20.30, 9.21.27 oder 9.20.30-S1.
Praktisch bedeutet das: Bestandsaufnahme vor dem Fenster, in dem der Nameserver neu gestartet wird. Wer BIND aus Quellen selbst baut, muss die eigene Version gegen die drei Versionsbereiche abgleichen; wer Distributionspakete nutzt, spielt das jeweilige Security-Update ein und prüft, ob die Security-Suite tatsächlich eingebunden ist – ein Paketstand aus dem Hauptzweig kann älter sein als der Fix.
Exploit-Status und ein alter Fall von 2015
In der Rapid7 Vulnerability Database ist zu CVE-2026-94300 vermerkt, dass keine öffentlichen Exploits beobachtet wurden. Das ist kein Grund zur Entwarnung: Bei einem Dienst, der im Internet erreichbar ist und dessen Absturz bereits durch Replay-Pakete ausgelöst werden kann, entscheidet der Patch-Zeitpunkt über das Risiko – nicht die Frage, ob jemand den Angriff schon automatisiert hat.
Die zuletzt bekannt gewordenen Angriffe auf BIND-Server in freier Wildbahn galten einer alten Schwachstelle aus dem Jahr 2015 – nicht CVE-2026-94300. Wer damals aktualisiert hat, ist von der jetzt geschlossenen Lücke trotzdem betroffen, solange die eingesetzte Version im verwundbaren Bereich liegt.
Fazit: Version prüfen, patchen, Preview Edition nicht vergessen
CVE-2026-94300 ist ein klassischer Patch-Fall mit unangenehmen Rahmenbedingungen: aus dem Netz ausnutzbar, kein Workaround, und das Schlimmste – ein Absturz – ist mit abgefangenen, korrekt signierten Paketen erreichbar. Die Handlungsempfehlung ist entsprechend kurz: laufende BIND-Versionen gegen die Versionsbereiche prüfen, Preview-Editionen und eingebettete Instanzen einschließen, auf 9.20.30 beziehungsweise 9.21.27 aktualisieren und den Neustart des named-Prozesses einplanen. Ob die eigene Konfiguration GSS-TSIG nutzt, sollte dabei keine Rolle spielen: Einen Workaround, der das Update ersetzt, gibt es nicht.