先說結論：管理 DNS 伺服器的團隊，應重新核對是否仍有使用舊版 ISC BIND 的正式、備援或內部節點。美國 CISA 在 2026 年 10 月 8 日把 CVE-2015-5477 納入已知遭利用漏洞目錄；這是新的優先處理訊號，漏洞本身並不是今年才被發現。ISC 原廠在 2015 年 7 月揭露，特定版本處理 TKEY 查詢時可能使名為 named 的 DNS 服務程式退出，造成拒絕服務，也就是合法使用者一時無法取得名稱查詢結果。DNS 是把網站或服務名稱對應到網路位址的基礎服務。本文於台北時間 10 月 9 日重新查核 ISC 原廠正式公告及 CISA 原始目錄；兩個來源分別支持漏洞條件與已知遭利用的收錄狀態，不能據此斷言任何特定組織已停機或資料已外洩。
背景與前因：BIND 是常見的 DNS 伺服器軟體，可能扮演遞迴解析器，也可能作為對外回答某個網域資料的權威伺服器。遞迴解析器幫使用者逐步找到目標名稱的答案；權威伺服器則提供自己負責網域的正式記錄。兩類服務若意外停止，影響的使用者與故障表現不同，但都可能使依賴名稱解析的網站、郵件或內部系統看似失聯。ISC 的公告註明最初公開日期是 2015 年 7 月 28 日，後來補充了公開驗證程式的資訊。CISA 在十多年後將該編號加入 KEV，顯示處置優先順序需要重新檢查；KEV 是美國政府列出有已知利用證據的漏洞清單，並不是所有環境都已受害的名單。
原因與前置條件：ISC 指出，受影響的 BIND 9 在處理特定 TKEY 資料時有錯誤；TKEY 是 DNS 中用來協助建立交易金鑰的記錄類型，不是一般使用者需要手動處理的登入密碼。若觸發程式內部的必要條件檢查失敗，named 可能退出，造成服務中斷。原廠明列遞迴與權威伺服器都在影響範圍內。這裡談的是可用性風險，ISC 沒有把此 CVE 描述成直接讀取資料庫或取得伺服器管理權限。CISA 原始條目也將後果概述為拒絕服務。本文不提供能觸發缺陷的資料內容或重現步驟；維運者不應對未授權的 DNS 系統做探測。
常見的誤解是認為只要 DNS 設了允許名單或限制遞迴，就足以擋下這項漏洞。ISC 的公告明確指出，相關程式碼在套用這些存取限制前便會處理資料，因此一般 ACL 或拒絕服務的配置選項不能消除曝險。ACL 是列出哪些對象可使用服務的存取控制規則。原廠將此漏洞的設定型替代方案列為『無』，正式解法是升級；即使組織另有網路層隔離，也不能把防火牆存在本身當成已修正程式。若設備只開放內部網路，外部接觸面可能較小，但仍須查明內部或其他可達路徑，並記錄實際版本與套件修補狀態。
影響範圍：ISC 的歷史公告列出 BIND 9.1.0 起的舊支線，包含 9.8.x、9.9.0 至 9.9.7-P1，以及 9.10.0 至 9.10.2-P2。原廠當時的修補版是 9.9.7-P2 與 9.10.2-P3。這些數字描述的是 2015 年的漏洞邊界，不應讓今天的維運者把十年前的版本當成最新部署目標；應按目前使用的供應商發行版和仍受支援的維護支線核對是否已包含修正。若 BIND 隨作業系統套件安裝，發行商可能把修補移植到自己的版本，單看上游版號未必足以判斷。資產清單應記錄實際執行檔、套件來源、發行商更新紀錄與啟動中程序的版本，並由負責團隊核實，而不是只看機器曾安裝過哪個檔案。
不同節點也可能留下歷史包袱。主 DNS 看似已更新，備援 DNS、測試環境、網路設備內嵌的解析元件或長期未重建的虛擬機仍可能運行舊版。CISA 條目的備註提醒，開放原始碼元件可能被其他產品或設備整合；這是要求進一步盤點的線索，不是說每款使用 DNS 的設備都受到此 CVE 影響。維運者應先找出確實使用 ISC BIND 的節點，再核對易受影響支線及可到達的網路路徑。對於完全未部署 BIND 的系統，不應只因業務依賴 DNS 就列為本漏洞待修補資產。對已套用發行商修補的主機，應保存公告、套件變更及版本回讀證據，以免重複誤報。
CISA 的 2026 年收錄和 ISC 的 2015 年公告，回答的是不同問題。ISC 說明原始缺陷、影響版本、未有設定替代方案和當時的固定版；CISA 的 KEV 條目則表明這個編號符合其已知遭利用的收錄標準，新增日期為 10 月 8 日，並要求依原廠指示處置。CISA 條目列出的 10 月 11 日期限屬於其美國聯邦機關政策脈絡，不應直接說成台灣所有企業的法定最後期限。原廠公告曾提到公開驗證程式；公開程式與野外利用不是同一種證據，而 CISA 目錄也沒有逐一列出讀者所在組織的攻擊紀錄。本文不推定攻擊者身分、攻擊時間或勒索軟體關聯。
你可以怎麼做：先從 DNS 架構圖、資產台帳和套件清單找出所有 BIND 節點，區分權威、遞迴、內部及備援角色，核對執行中版本與供應商修補證據。優先處理對外可到達或承載關鍵業務的節點，安排維護視窗前先檢查備份、設定檔與回復方案。更新時依現行受支援的產品或作業系統發行商公告操作，而不是下載不相容的古老套件；更新後逐台讀回版本，測試必要的名稱查詢、網域同步和監控警報。若採雙機或多節點服務，分階段更新並確認備援接手正常，可降低修補工作本身造成解析中斷的機率。沒有受支援修補可用的舊設備，應規畫替換或停止使用，並記錄暫時的網路隔離措施及期限。
若近期曾出現 DNS 程序非預期退出，先保留事件發生時間、服務監控、程序重啟紀錄與系統日誌，再由授權人員比對版本與其他故障原因。一次崩潰可能來自設定失誤、資源不足、硬體問題或其他漏洞；不能僅憑看到 named 重啟便歸因於 CVE-2015-5477。反過來說，沒有停機紀錄也無法證明過去所有查詢都已被完整記錄。對受影響版本的判斷，應以修補證據與可達性為基礎；對『是否真的受攻擊』的判斷，則需要更完整的時間線、日誌與現場分析。修補前保存證據、修補後確認服務恢復，是兩個都不能省略的工作。
這篇報告能確認的是：一個 2015 年就已公開的 BIND 可用性漏洞，在 2026 年 10 月 8 日被 CISA 納入已知遭利用目錄；ISC 原廠指出舊版遞迴與權威服務都可能受影響，而且沒有可靠的配置型替代修補。仍未能由公開資料回答的，是各組織是否留有這些舊支線、其作業系統套件是否已回移補丁、哪些節點可被接觸，以及是否有可信的本地異常紀錄。把『老漏洞已處理』當成慣性假設可能漏掉備援與嵌入式元件；把 KEV 收錄直接寫成自己已遭攻擊又會超出證據。以資產、版本、修補和服務健康檢查逐項關閉風險，才是這次新收錄事件對 DNS 維運的實際意義。
官方來源：
- CVE-2015-5477: An error in handling TKEY queries can cause named to exit with a REQUIRE assertion failure（Internet Systems Consortium（ISC））
- Known Exploited Vulnerabilities Catalog, CVE-2015-5477（美國網路安全暨基礎設施安全局 CISA）
這篇觀察對你有幫助嗎？
支持 Darknoted 持續維護隔離研究環境、資料查核與內容更新。
了解如何支持本站更新紀錄
：完成公開內容與 metadata 更新。