{"id":390696,"date":"2026-10-28T11:32:48","date_gmt":"2026-10-28T14:32:48","guid":{"rendered":"https:\/\/www.lumiun.com\/blog\/?p=390696"},"modified":"2026-10-28T11:32:48","modified_gmt":"2026-10-28T14:32:48","slug":"vulnerabilidades-powerdns-bind-dns","status":"publish","type":"post","link":"https:\/\/www.lumiun.com\/blog\/vulnerabilidades-powerdns-bind-dns\/","title":{"rendered":"Vulnerabilidades no DNS: corre\u00e7\u00f5es para PowerDNS e BIND 9"},"content":{"rendered":"

As vulnerabilidades no DNS abordadas neste artigo afetam vers\u00f5es espec\u00edficas do PowerDNS Recursor, do PowerDNS Authoritative Server e do BIND 9. Confira os riscos, as vers\u00f5es corrigidas e os cuidados para atualizar a infraestrutura da sua empresa.<\/strong><\/p>\n

Em 21 de outubro de 2026, o PowerDNS e o ISC publicaram corre\u00e7\u00f5es para vulnerabilidades em softwares respons\u00e1veis pela resolu\u00e7\u00e3o DNS. Os avisos incluem problemas que podem provocar consumo excessivo de recursos, interrup\u00e7\u00e3o do servi\u00e7o e, em condi\u00e7\u00f5es espec\u00edficas, envenenamento de cache ou execu\u00e7\u00e3o remota de c\u00f3digo.<\/p>\n

Para empresas, MSPs e provedores, a prioridade \u00e9 identificar os componentes utilizados, conferir as configura\u00e7\u00f5es afetadas e aplicar as atualiza\u00e7\u00f5es correspondentes. Os avisos do PowerDNS Recursor<\/a> e as corre\u00e7\u00f5es do BIND 9<\/a> ajudam a come\u00e7ar essa revis\u00e3o.<\/p>\n

Quando o DNS falha, os usu\u00e1rios podem deixar de acessar sistemas mesmo com o link de internet funcionando. Uma vulnerabilidade nessa camada tamb\u00e9m pode comprometer a confiabilidade das respostas usadas para localizar servi\u00e7os. Por isso, a seguran\u00e7a DNS nas empresas<\/a> inclui a manuten\u00e7\u00e3o da infraestrutura que atende \u00e0s consultas.<\/p>\n

Quem precisa revisar o ambiente<\/h2>\n

A verifica\u00e7\u00e3o come\u00e7a por dois pap\u00e9is diferentes. O resolvedor recursivo busca respostas em nome dos dispositivos e pode armazen\u00e1-las em cache. O servidor autoritativo publica os registros de uma zona DNS, como os endere\u00e7os associados ao dom\u00ednio de uma empresa.<\/p>\n

O PowerDNS mant\u00e9m produtos separados para essas fun\u00e7\u00f5es: Recursor e Authoritative Server. O BIND 9 pode ser configurado para diferentes pap\u00e9is. Identificar apenas o nome do fornecedor \u00e9 insuficiente para escolher a corre\u00e7\u00e3o.<\/p>\n

Quem administra esses servidores deve conferir o produto, a vers\u00e3o e as condi\u00e7\u00f5es de cada aviso. A revis\u00e3o tamb\u00e9m alcan\u00e7a softwares DNS incorporados a appliances, m\u00e1quinas virtuais e cont\u00eaineres, conforme os componentes presentes em cada instala\u00e7\u00e3o.<\/p>\n

Quando o servi\u00e7o \u00e9 terceirizado, cabe solicitar ao fornecedor uma confirma\u00e7\u00e3o sobre a aplicabilidade das falhas e as medidas adotadas. Um DNS local que encaminha consultas para outro servi\u00e7o tamb\u00e9m precisa entrar no invent\u00e1rio: o encaminhamento n\u00e3o atualiza o software instalado na empresa.<\/p>\n

PowerDNS Recursor e a falha na valida\u00e7\u00e3o DNSSEC<\/h2>\n

A CVE-2026-85555<\/a> permite contornar a valida\u00e7\u00e3o DNSSEC em uma situa\u00e7\u00e3o espec\u00edfica: quando um registro de servidor de nomes, ou NS, aponta para uma zona local. Nesse caminho de resolu\u00e7\u00e3o, o programa pode deixar de validar tamb\u00e9m as etapas seguintes da consulta.<\/p>\n

Isso abre a possibilidade de envenenamento de cache, quando dados DNS indevidos s\u00e3o armazenados e passam a influenciar respostas posteriores. Para a opera\u00e7\u00e3o, o risco \u00e9 utilizar informa\u00e7\u00f5es incorretas ao localizar um servi\u00e7o.<\/p>\n

O problema est\u00e1 no processamento do resolvedor. O aviso n\u00e3o descreve uma quebra da criptografia do DNSSEC, que valida a autenticidade e a integridade dos dados DNS assinados<\/a>. A corre\u00e7\u00e3o exige atualizar a implementa\u00e7\u00e3o vulner\u00e1vel.<\/p>\n

Outras falhas podem afetar o funcionamento do Recursor<\/h3>\n

O boletim 2026-12<\/a> re\u00fane sete CVEs. Al\u00e9m da falha de DNSSEC, h\u00e1 problemas no tratamento de pacotes, conex\u00f5es e recursos do processo.<\/p>\n\n\n\n\n\n\n\n\n\n\n
Vulnerabilidade<\/strong><\/th>\nEfeito descrito no aviso<\/strong><\/th>\n<\/tr>\n<\/thead>\n
CVE-2026-73206<\/td>\nConsumo excessivo de recursos na descompress\u00e3o de nomes DNS, com risco de nega\u00e7\u00e3o de servi\u00e7o.<\/td>\n<\/tr>\n
CVE-2026-73205<\/td>\nAc\u00famulo de conex\u00f5es TCP encerradas em estado TIME_WAIT, que pode impedir novas conex\u00f5es de sa\u00edda.<\/td>\n<\/tr>\n
CVE-2026-85556<\/td>\nAceita\u00e7\u00e3o de uma op\u00e7\u00e3o EDNS que deveria ser rejeitada, contornando uma prote\u00e7\u00e3o relacionada a EDNS Client Subnet (ECS).<\/td>\n<\/tr>\n
CVE-2026-85557<\/td>\nUm cliente pode monopolizar o acesso ao servidor web interno quando seu TLS est\u00e1 habilitado.<\/td>\n<\/tr>\n
CVE-2026-85558<\/td>\nVazamento de mem\u00f3ria pela reten\u00e7\u00e3o de endere\u00e7os de clientes TCP j\u00e1 desconectados.<\/td>\n<\/tr>\n
CVE-2026-85559<\/td>\nPoss\u00edvel encerramento do Recursor em configura\u00e7\u00f5es que aceitam EDNS Client Subnet nas consultas recebidas.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

As condi\u00e7\u00f5es variam entre as falhas. A indisponibilidade da interface web, por exemplo, tem um alcance diferente do encerramento do resolvedor. A equipe deve usar o boletim para relacionar cada problema aos recursos habilitados no ambiente.<\/p>\n

O PowerDNS Authoritative Server tamb\u00e9m recebeu corre\u00e7\u00e3o<\/h2>\n

A CVE-2026-73206 tamb\u00e9m aparece no aviso 2026-13 do PowerDNS Authoritative Server<\/a>, publicado no mesmo dia. O processamento de pacotes preparados para explorar a descompress\u00e3o de nomes pode consumir recursos em excesso e causar nega\u00e7\u00e3o de servi\u00e7o.<\/p>\n

Esse ponto interessa especialmente a provedores e equipes que hospedam zonas DNS. Uma interrup\u00e7\u00e3o nos servidores autoritativos pode afetar a obten\u00e7\u00e3o dos registros de um dom\u00ednio, dependendo da redund\u00e2ncia dispon\u00edvel e das respostas ainda mantidas em cache pelos resolvedores.<\/p>\n

Recursor e Authoritative Server t\u00eam vers\u00f5es e atualiza\u00e7\u00f5es pr\u00f3prias. Corrigir um deles n\u00e3o atualiza automaticamente o outro.<\/p>\n

BIND 9 tem falhas de disponibilidade e risco de execu\u00e7\u00e3o de c\u00f3digo<\/h2>\n

O ISC divulgou quatro vulnerabilidades no BIND 9. A aplicabilidade depende da vers\u00e3o e, em parte dos casos, de funcionalidades espec\u00edficas da configura\u00e7\u00e3o.<\/p>\n

Consumo excessivo de CPU e mem\u00f3ria<\/h3>\n

A CVE-2026-19630<\/a> afeta o processamento de determinadas mensagens DNS no resolvedor. Essas mensagens podem exigir uma quantidade desproporcional de CPU e mem\u00f3ria, levando \u00e0 nega\u00e7\u00e3o de servi\u00e7o.<\/p>\n

Na opera\u00e7\u00e3o, isso pode aparecer como demora nas respostas ou indisponibilidade. Aumento de consumo, sozinho, n\u00e3o comprova explora\u00e7\u00e3o: a investiga\u00e7\u00e3o precisa considerar os registros do servi\u00e7o e as condi\u00e7\u00f5es de tr\u00e1fego.<\/p>\n

Corrup\u00e7\u00e3o de mem\u00f3ria em mensagens GSS-TSIG<\/h3>\n

A CVE-2026-94300<\/a> envolve o tratamento de mensagens autenticadas com GSS-TSIG. O aviso descreve corrup\u00e7\u00e3o de mem\u00f3ria, encerramento do processo named<\/code> e possibilidade de execu\u00e7\u00e3o remota de c\u00f3digo.<\/p>\n

A explora\u00e7\u00e3o exige condi\u00e7\u00f5es espec\u00edficas, incluindo acesso a uma mensagem UDP previamente assinada e sua reutiliza\u00e7\u00e3o enquanto a chave negociada continua v\u00e1lida. A possibilidade de executar c\u00f3digo depende ainda de condi\u00e7\u00f5es adicionais descritas pelo ISC.<\/p>\n

Interrup\u00e7\u00e3o em configura\u00e7\u00f5es com redirecionamento e RPZ<\/h3>\n

A CVE-2026-96888<\/a> pode encerrar um resolvedor que combine uma zona do tipo redirect<\/code> com qname-minimization strict<\/code>.<\/p>\n

J\u00e1 a CVE-2026-97313<\/a> envolve servidores que permitem recurs\u00e3o e t\u00eam pelo menos duas zonas RPZ, usadas para aplicar pol\u00edticas \u00e0s respostas DNS. A condi\u00e7\u00e3o descrita inclui uma zona com recursive-only yes<\/code> e outra com recursive-only no<\/code>. Certos padr\u00f5es de consulta podem encerrar o processo.<\/p>\n

Nos quatro boletins consultados em 23 de outubro, o ISC informa n\u00e3o conhecer explora\u00e7\u00e3o ativa nem solu\u00e7\u00f5es alternativas conhecidas. As recomenda\u00e7\u00f5es apontam para a atualiza\u00e7\u00e3o. A exist\u00eancia dessas falhas n\u00e3o demonstra, por si s\u00f3, que uma empresa tenha sido atacada.<\/p>\n

Quais vers\u00f5es receberam as corre\u00e7\u00f5es<\/h2>\n

As vers\u00f5es abaixo s\u00e3o as primeiras corre\u00e7\u00f5es indicadas pelos fabricantes para os ramos apresentados, nos avisos de 21 de outubro de 2026. Elas servem como refer\u00eancia hist\u00f3rica; antes de atualizar, confira a vers\u00e3o corrigida e suportada vigente.<\/p>\n\n\n\n\n\n\n\n\n\n\n
Produto e ramo<\/strong><\/th>\nVers\u00f5es afetadas no ramo<\/strong><\/th>\nPrimeira corre\u00e7\u00e3o<\/strong><\/th>\n<\/tr>\n<\/thead>\n
PowerDNS Recursor 5.3<\/td>\nAt\u00e9 5.3.11<\/td>\n5.3.12<\/td>\n<\/tr>\n
PowerDNS Recursor 5.4<\/td>\nAt\u00e9 5.4.7<\/td>\n5.4.8<\/td>\n<\/tr>\n
PowerDNS Authoritative 4.9<\/td>\nAt\u00e9 4.9.17<\/td>\n4.9.18<\/td>\n<\/tr>\n
PowerDNS Authoritative 5.0<\/td>\nAt\u00e9 5.0.7<\/td>\n5.0.8<\/td>\n<\/tr>\n
PowerDNS Authoritative 5.1<\/td>\nAt\u00e9 5.1.4<\/td>\n5.1.5<\/td>\n<\/tr>\n
BIND 9.20<\/td>\n9.20.0 a 9.20.29<\/td>\n9.20.30<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

No PowerDNS, os lan\u00e7amentos do Recursor 5.3.12<\/a> e do Authoritative Server<\/a> registram as corre\u00e7\u00f5es. O fabricante publicou ainda o Recursor 5.3.13<\/a> no mesmo dia, com um ajuste de desempenho relacionado ao uso de EDNS Client Subnet. Quem acompanha a s\u00e9rie 5.3 deve considerar tamb\u00e9m essa atualiza\u00e7\u00e3o.<\/p>\n

No BIND, a vers\u00e3o est\u00e1vel indicada pelo ISC<\/a> na data da verifica\u00e7\u00e3o \u00e9 a 9.20.30. A 9.21.27 tamb\u00e9m recebeu corre\u00e7\u00f5es, mas pertence ao ramo de desenvolvimento. Para clientes da Supported Preview Edition, os avisos indicam a 9.20.30-S1.<\/p>\n

Vers\u00f5es antigas exigem aten\u00e7\u00e3o ao suporte. O BIND 9.18 aparece como encerrado no ISC, e o PowerDNS Recursor 5.2 e anteriores est\u00e3o em fim de vida no suporte open source<\/a>. A aus\u00eancia de uma corre\u00e7\u00e3o para um ramo antigo n\u00e3o significa que ele esteja protegido. Em pacotes de distribui\u00e7\u00f5es, appliances ou contratos com suporte estendido, confirme o boletim aplic\u00e1vel e a atualiza\u00e7\u00e3o fornecida pelo respons\u00e1vel.<\/p>\n

O que revisar na infraestrutura DNS<\/h2>\n

Mapeie o caminho das consultas<\/h3>\n

Identifique os resolvedores utilizados pelas esta\u00e7\u00f5es, pelos servidores e pelas filiais. Inclua encaminhadores locais e servi\u00e7os externos. Para cada componente, registre produto, vers\u00e3o, fun\u00e7\u00e3o e respons\u00e1vel pela manuten\u00e7\u00e3o.<\/p>\n

Em um MSP, fa\u00e7a esse levantamento por cliente. Em um provedor, confira tamb\u00e9m os diferentes n\u00f3s que atendem aos assinantes. Um endere\u00e7o virtual ou balanceado pode representar v\u00e1rios servidores, e a atualiza\u00e7\u00e3o precisa alcan\u00e7ar cada instala\u00e7\u00e3o afetada.<\/p>\n

Planeje a atualiza\u00e7\u00e3o conforme a fun\u00e7\u00e3o de cada servidor<\/h3>\n

Leia as notas de atualiza\u00e7\u00e3o e preserve uma c\u00f3pia da configura\u00e7\u00e3o antes da mudan\u00e7a. Verifique a compatibilidade das zonas locais, integra\u00e7\u00f5es e pol\u00edticas utilizadas. Em ambientes redundantes, planeje a sequ\u00eancia para manter capacidade de atendimento durante a manuten\u00e7\u00e3o.<\/p>\n

Dois servidores com a mesma vers\u00e3o vulner\u00e1vel continuam expostos \u00e0 mesma falha. A redund\u00e2ncia ajuda na continuidade, mas tamb\u00e9m precisa entrar no planejamento das corre\u00e7\u00f5es.<\/p>\n

Confira as condi\u00e7\u00f5es descritas nos boletins<\/h3>\n

No PowerDNS, observe os cen\u00e1rios com zonas locais, EDNS Client Subnet e servidor web interno. No BIND, a revis\u00e3o deve considerar GSS-TSIG, RPZ e a combina\u00e7\u00e3o de redirecionamento com minimiza\u00e7\u00e3o estrita de QNAME.<\/p>\n

Esses detalhes ajudam a priorizar os ambientes. Altera\u00e7\u00f5es improvisadas em mecanismos de seguran\u00e7a podem trazer outros efeitos para a opera\u00e7\u00e3o; siga a corre\u00e7\u00e3o indicada para o produto e valide qualquer medida tempor\u00e1ria com o respons\u00e1vel t\u00e9cnico.<\/p>\n

Valide a resolu\u00e7\u00e3o depois da mudan\u00e7a<\/h3>\n

Confirme que os processos est\u00e3o executando a vers\u00e3o esperada. Teste a resolu\u00e7\u00e3o dos servi\u00e7os usados pela organiza\u00e7\u00e3o, o acesso \u00e0s zonas internas e as pol\u00edticas de bloqueio e libera\u00e7\u00e3o existentes. Onde houver valida\u00e7\u00e3o DNSSEC, verifique tamb\u00e9m seu funcionamento.<\/p>\n

Acompanhe lat\u00eancia, erros de resolu\u00e7\u00e3o, consumo de CPU e mem\u00f3ria e reinicializa\u00e7\u00f5es inesperadas. Compare o comportamento com o padr\u00e3o do ambiente. Um processo que voltou a funcionar ap\u00f3s reiniciar ainda precisa da corre\u00e7\u00e3o que trata a vulnerabilidade.<\/p>\n

O que solicitar ao fornecedor de DNS gerenciado<\/h2>\n

Uma empresa pode depender desses componentes sem administr\u00e1-los diretamente. Nesse caso, pe\u00e7a ao fornecedor informa\u00e7\u00f5es que permitam acompanhar o tratamento do risco:<\/p>\n