重點整理
- Unbound DNS 解析器爆出嚴重漏洞，駭客可藉此遠端執行惡意程式。
- 漏洞影響 1.26.0 及更早版本，官方已發布 1.26.1 版本修復。
- 本次共修復 9 個漏洞，包含多個可能導致網站服務中斷的資安風險。
- 目前雖無大規模攻擊回報，但企業仍應盡速盤點並更新伺服器系統。
您的企業網站之所以能順利被顧客打開，背後仰賴著「DNS 解析器」（DNS resolver，負責將人類好記的網址轉換為電腦能識別的 IP 位址的幕後系統）的運作。如果這個幕後功臣生病了，您的網站可能就會面臨無法訪問，甚至被駭客控制的風險。近期，廣泛使用的開源 DNS 軟體 Unbound 被發現存在嚴重漏洞，讓我們一起來了解這件事對企業的影響與應對方式。
什麼是 Unbound DNS 漏洞？為什麼它很危險？
Unbound 是一款許多企業與機構愛用的開源 DNS 解析軟體，它支援 DNSSEC（一種用來驗證 DNS 資料真偽的安全機制，防止資料在半路被竄改）。近期，維護團隊 NLnet Labs 發現 Unbound 的 DNSSEC 驗證模組中，存在一個嚴重的「堆積緩衝區溢位」（Heap overflow，程式在處理記憶體時發生錯誤，導致資料寫入錯誤位置）漏洞，編號為 CVE-2026-81642。
這個漏洞的嚴重程度被評為「Critical（嚴重）」，CVSS 評分高達 9.1（滿分 10 分）。這意味著什麼呢？如果攻擊者控制了一個惡意的 DNS 區域，並向有漏洞的 Unbound 解析器發送查詢，就能觸發這個漏洞，進而實現「遠端程式碼執行」（RCE，駭客能在遠端目標伺服器上，直接執行惡意程式的攻擊手法）。
簡單來說，駭客可能藉此在您的伺服器上安裝後門、竊取資料，或是讓整個系統癱瘓。該漏洞影響 1.26.0 及之前所有的版本。
這次更新還修復了哪些潛在風險？
除了上述最嚴重的漏洞外，NLnet Labs 在最新發布的 1.26.1 版本中，總共修復了 9 個安全漏洞。其中另一個編號為 CVE-2026-82717 的高危漏洞，同樣可能導致遠端程式碼執行。此外，還有數個中低等級的漏洞，雖然不一定能讓駭客直接控制伺服器，但可能會引發「拒絕服務」（DoS，透過大量請求癱瘓系統，使正常用戶無法使用），導致您的網站服務降級或中斷。
好消息是，NLnet Labs 目前尚未回報這些漏洞已被實際利用，美國資安機構 CISA 也將利用狀態標記為「無」。但這不代表我們可以掉以輕心，因為漏洞細節已經公開，隨時可能出現自動化攻擊工具。
企業該如何應對與修復？
面對這類底層系統的漏洞，最直接的解決方式就是「更新」。NLnet Labs 已經釋出了 1.26.1 版本來修復這些問題。如果您的企業有自行管理 Linux 伺服器或雲端基礎設施，建議採取以下行動：
- 升級版本：將 Unbound 升級至 1.26.1 或更新版本。
- 套用修補程式：如果因為環境限制無法立即升級，官方也提供了針對 CVE-2026-81642 及 CVE-2026-82717 的獨立修補程式（patch），或是包含所有 9 項修復的完整修補程式，您可以請 IT 人員協助套用。
- 盤點使用環境：確認公司內部的伺服器、防火牆或雲端代管環境是否有使用 Unbound，並通知相關維運人員處理。
崴米的建議
作為您的數位整合顧問，崴米設計建議中小企業在面對底層資安漏洞時，可以從以下三個方向著手：
- 盤點並委託專業維運：中小企業通常沒有專責的底層系統工程師。建議先盤點公司網站與伺服器架構，若使用雲端主機或代管服務，請直接聯繫您的服務商確認是否已完成更新；若是自建伺服器，可考慮將維運工作外包給專業的 IT 託管團隊。
- 建立主動式資安監控：不要等網站掛點或被植入惡意程式才發現問題。建議導入專業的網站健檢與資安監控服務，及時掌握系統漏洞與異常流量，將風險降到最低。
- 評估網站架構優化：如果您的網站架構老舊，導致每次更新都如臨大敵，或許是時候重新檢視網站架構了。崴米提供從網站設計、雲端架構規劃到後續維運的一條龍服務，幫助您打造安全、穩定且高效的數位門面。
參考來源：Critical Unbound DNSSEC Validator Flaw Could Allow RCE via a Malicious DNS Zone
