Недавно были обнаружены две критические уязвимости в широко используемом программном обеспечении DNS-резолвера: Unbound и CoreDNS. Первая, CVE-2026-81642 в Unbound, представляет собой уязвимость переполнения кучи в компоненте проверки DNSSEC. Эта ошибка может быть вызвана специально сформированной записью DNSKEY с указателем сжатия, который ссылается на себя. Успешная эксплуатация может привести к удаленному выполнению кода через данные, контролируемые злоумышленником. Вторая, CVE-2026-86003 в CoreDNS, касается его слушателей зашифрованных транспортных протоколов. Эти слушатели принимают неаутентифицированные сообщения DNS UPDATE, которые корректно отклоняются обычными транспортными протоколами. Злоумышленник может использовать это для потенциального захвата имен хостов при определенных условиях, действуя как сбитый с толку заместитель. Автор подчеркивает удивительное молчание вокруг этих уязвимостей в публичных обсуждениях. Они подчеркивают важность понимания контекста и радиуса поражения этих уязвимостей, а не только полагаться на оценки CVSS для определения приоритетов. Механизм доставки уязвимости Unbound включает злоумышленника, контролирующего вредоносную зону, и обман резолвера, заставляющий его запрашивать ее. Для CoreDNS влияние зависит от доверия к вышестоящему серверу и отсутствия сквозной аутентификации TSIG. Автор предоставляет практические шаги для проверки версий резолверов и оценки степени риска. Они рекомендуют обновить Unbound до версии 1.26.1 или новее, а CoreDNS до версии 1.14.7 или новее. Комплексная инвентаризация DNS-резолверов в организации имеет решающее значение перед установкой исправлений.