פורסם ב־3 בנובמבר 2026. עדכון אובונטו: 3 בנובמבר 2026.
אובונטו פרסמה היום את הודעת האבטחה USN-8969-1, ובה תיקוני BIND לארבע מהדורות. ההודעה כוללת 18 מזהי CVE; ב־14 מהסעיפים מצוין שהבעיה נוגעת לאובונטו 26.10 בלבד. אלה גרסאות חבילת bind9 המתוקנות:
- 26.10: 1:9.20.24-1ubuntu3.1
- 26.04 LTS: 1:9.20.24-1ubuntu0.5
- 24.04 LTS: 1:9.18.39-0ubuntu0.24.04.9
- 22.04 LTS: 1:9.18.39-0ubuntu0.22.04.8
להבין את הסיכון ואת התנאים
אחד התיקונים נוגע ל־CVE-2026-94300. ההתראה של ISC, שנחשפה לציבור ב־21 באוקטובר, מתארת השחתת זיכרון ואפשרות להרצת קוד מרחוק בהקשר של GSS-TSIG. התרחיש מחייב לכידת תעבורת UDP חתומה ושידורה מחדש כשהמפתח עדיין תקף, לצד שאילתות מותאמות לאזור DNS שבשליטת התוקף. ISC מדווחת שלא ידוע לה על ניצול פעיל. זהו דיווח על ידיעת הספק, ולא הוכחה שמעולם לא התרחש ניצול.
החדשות היום הן פרסום התיקונים של אובונטו. הצגת האירוע כחולשת יום אפס חדשה תערבב בין מועד עדכון ההפצה לבין מועד החשיפה המקורי.
למה סיומת החבילה חשובה
אובונטו מתעדת שימוש בהחלת תיקוני אבטחה על גרסאות קיימות, תהליך המכונה backporting. לכן תיקון יכול להגיע בלי מעבר לגרסת התוכנה העדכנית של הפרויקט המקורי. המסקנה התפעולית שלנו: בהתקנה שמנוהלת באמצעות חבילות אובונטו, יש להשוות את מספר החבילה המלא להודעה המתאימה. מספר גרסה מקוצר או זיהוי דרך הרשת אינם ראיה מספקת בפני עצמם.
בדיקה מעשית אחרי העדכון
זו הצעת עבודה של SysSeder, ולא דיווח נוסף על תקרית אבטחה:
- זהו את ההתקנה. תעדו את מהדורת מערכת ההפעלה, מקור החבילה ומספר הגרסה המלא שמותקן בפועל. הפרידו בין חבילות אובונטו, קונטיינרים, בניות עצמאיות ומאגרים חיצוניים לפני שתחליטו איזו התראה חלה על השרת.
- בדקו מה עומד להתעדכן. התאימו כל שרת לשורה של המהדורה שלו. השתמשו בתהליך העדכון הנתמך, ובדקו חבילות שהוחזקו ללא עדכון או גרסאות שאינן זמינות במאגר. עצם הפעלת כלי העדכון עדיין אינה מספקת תיעוד שהעבודה הושלמה.
- בדקו את השירות הפעיל. ודאו שהשירות הרלוונטי משתמש בתוכנה המעודכנת. בצעו הפעלה מחדש בהתאם לנוהל התפעולי שלכם, ואחריה בדקו את פעולות ה־DNS שהיישומים שלכם צריכים בפועל, ולא רק את זמינות השרת.
- שמרו ראיות לסיום. צרפו לרישום השינוי את גרסת החבילה המותקנת, זמן הבדיקה ותוצאת הבדיקה. אם סורק עדיין מתריע, השוו את הממצא למקור החבילה ולמצב שפרסם הספק לפני שתסגרו אותו.
דוח תיקון שימושי מאפשר גם לאיש צוות אחר לבדוק כיצד הגעתם למסקנה. שרתים שטרם אומתו צריכים להישאר גלויים כמשימה פתוחה, עם בעל אחריות ברור. כך רשימת העדכונים הופכת מתיעוד של ניסיון התקנה לתיעוד של בדיקה שבוצעה בפועל.