----------------------------------------------------------------------
■Unboundの脆弱性情報が公開されました（CVE-2026-97206、他4件）

                                株式会社日本レジストリサービス（JPRS）
                                            初版作成 2026/10/23（Fri）
----------------------------------------------------------------------

▼概要

  2026年10月21日（中央ヨーロッパ夏時間）、フルリゾルバー（キャッシュDNS
  サーバー）Unboundにおいて、use-after-freeを含む複数の脆弱性が公開され
  ました。併せて、本脆弱性を修正したバージョンも公開されています。

  詳細につきましては、以下の情報をご参照ください。

▼参考リンク

  Unbound 1.26.2 released - Unbound - NLnet Labs Community
  <https://community.nlnetlabs.nl/t/unbound-1-26-2-released/3495>

▽CVE-2026-97206

  DNS-over-QUIC (DoQ) path-migration can lead to use-after-free on multi-threaded deployments.
  <https://nlnetlabs.nl/downloads/unbound/CVE-2026-97206.txt>

  CVE-2026-97206
  <https://www.cve.org/CVERecord?id=CVE-2026-97206>

▽CVE-2026-50106

  Possible insecure NXDOMAIN for non-existing records under a configured island trust anchor underneath an insecure parent.
  <https://nlnetlabs.nl/downloads/unbound/CVE-2026-50106.txt>

  CVE-2026-50106
  <https://www.cve.org/CVERecord?id=CVE-2026-50106>

▽CVE-2026-96405

  Aggregate DNS name chained pointer decompression work leads to degradation of service.
  <https://nlnetlabs.nl/downloads/unbound/CVE-2026-96405.txt>

  CVE-2026-96405
  <https://www.cve.org/CVERecord?id=CVE-2026-96405>

▽CVE-2026-109125

  Possible cache poisoning vulnerability via a cache side-channel exposed by 'unwanted-reply-threshold'
  <https://nlnetlabs.nl/downloads/unbound/CVE-2026-109125.txt>

  CVE-2026-109125
  <https://www.cve.org/CVERecord?id=CVE-2026-109125>

▽CVE-2026-35501

  Bypass of a configured island trust anchor underneath an insecure parent from an atacker-controlled NSEC record.
  <https://nlnetlabs.nl/downloads/unbound/CVE-2026-35501.txt>

  CVE-2026-35501
  <https://www.cve.org/CVERecord?id=CVE-2026-35501>

----------------------------------------------------------------------
▼更新履歴
  2026/10/23 11:00 初版作成