CVE-2026-5950 - DoS no Resolver do BIND 9

Notas de pesquisa e orientações defensivas para CVE-2026-5950, uma vulnerabilidade de loop de reenvio sem limites na máquina de estados do resolver do BIND 9.

Visão geral

CVE-2026-5950 afeta resolvers recursivos do BIND 9. Sob condições específicas de nova tentativa e de tratamento de servidores defeituosos, um atacante remoto não autenticado pode acionar um comportamento repetido de reenvio que pode causar grave exaustão de recursos.

Este repositório é intencionalmente defensivo. Ele não publica payloads de exploração nem etapas operacionais de ataque.

Fatos principais

Versões afetadas

De acordo com o aviso da ISC, as faixas afetadas são:

Impacto

A vulnerabilidade pode afetar a disponibilidade do resolver recursivo por meio de exaustão de recursos. A ISC observa que os resolvers são afetados, enquanto os serviços autoritativos são considerados não afetados por esse problema específico.

Verificações defensivas

Use o script auxiliar para classificar uma versão local do BIND:

python3 scripts/check_bind_version.py 9.20.22
python3 scripts/check_bind_version.py 9.20.23
python3 scripts/check_bind_version.py 9.18.48-S1

Saída esperada:

9.20.22: affected - upgrade to 9.20.23
9.20.23: not affected by the listed vulnerable range
9.18.48-S1: affected - upgrade to 9.18.49-S1

Remediação recomendada

Atualize para a versão corrigida mais próxima do ramo atualmente implantado:

• 9.18.49
• 9.20.23
• 9.21.22
• 9.18.49-S1
• 9.20.23-S1

A ISC afirma que não há soluções alternativas conhecidas no aviso público.

Conteúdo do repositório

• docs/advisory.md - notas estruturadas do aviso.
• docs/detection.md - verificações defensivas de versão e ambiente.
• scripts/check_bind_version.py - classificador seguro de versão local.

Crédito ao pesquisador

O aviso da ISC reconhece Billy Baraja (BielraX) por ter levado esta vulnerabilidade ao conhecimento da ISC.

Referências

• Aviso da ISC: CVE-2026-5950
• NVD: CVE-2026-5950
• Registro CVE: CVE-2026-5950