ISC BIND の TKEY 問い合わせ1発で named が停止（KEV・CVSS 7.5）

High（CVSS 7.5）に分類されるISC BIND 9（9.1.0〜9.9.7-P1 / 9.10.0〜9.10.2-P2）の脆弱性です。DNS サーバ ISC BIND 9 の named が **TKEY 問い合わせの処理で REQUIRE アサーションに失敗して終了する**欠陥。**未認証のリモート攻撃者が細工した問い合わせを1つ送るだけで DNS サービスを止められる**（DoS）。ISC のアドバイザリでは、対象は BIND 9.1.0 から 9.9.7-P1 まで、および 9.10.0〜9.10.2-P2 で、権威サーバ・キャッシュサーバのどちらも該当する。ISC は「ACL や設定でサービスを制限・拒否しても露出は防げない」として、回避策は無いとしている。 **悪用が確認されている。** 公開は 2015年7月で、ISC のアドバイザリの時点で第三者が概念実証コードを公開していた。CISA は 2026年10月8日に KEV へ収載し、**是正期限を 2026年10月11日**とした。KEV 上のランサムウェア利用は Unknown（不明）。 CVSS は、NVD（Primary）の採点が旧 CVSS v2 の 7.8 のみで、CVSS 3.1 は CISA-ADP の 7.5 High（AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H）。本サイトの掲載値は 3.1 の 7.5 を採っている。影響は可用性のみで、情報漏えいや改ざんには至らない。

**BIND を修正版以上へ更新する。** ISC の修正版は 9.9.7-P2 と 9.10.2-P3（それ以前の系列は近い修正版へ）。ISC は ACL などの設定では防げないとしているので、回避策ではなく更新が対処になる。ディストリのパッケージで入れている場合は、Red Hat の RHSA-2015:1513 / 1514 / 1515、Debian の DSA-3319、Ubuntu の USN-2693-1 で修正済みである。 **この CVE は「古い BIND が残っていないか」の確認になる。** 2015年の欠陥なので、現行の保守中ディストリの bind9 はすでに修正済みのはずで、残っているとすれば更新を止めた古いホストや、BIND を同梱したアプライアンス（NVD の参照には Juniper などのベンダー告知がある）である。`named -v` で版を確認し、9.9.7-P2 / 9.10.2-P3 より前で、ディストリの修正パッケージでもないものを洗い出す。 **完了条件**は、（1）全ての named が修正版以上（またはディストリの修正済みパッケージ）であること、（2）BIND を内蔵するアプライアンスはベンダーの修正版ファームウェアを適用していること、の2点である。

ISC BIND 9（9.1.0〜9.9.7-P1 / 9.10.0〜9.10.2-P2） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2015-5477）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/10/11 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。クラウドサービスについては該当する BOD 26-04 のガイダンスに従い、緩和策が無い場合は当該製品の使用を停止すること。各資産のインターネット露出を評価し、BOD 26-04 のパッチ適用ガイドラインを順守する責任は利用者側にある。