近期在广泛使用的 DNS 解析器软件 Unbound 和 CoreDNS 中发现了两个关键漏洞。第一个是 Unbound 中的 CVE-2026-81642，属于其 DNSSEC 验证组件中的堆溢出漏洞。该缺陷可被精心构造的 DNSKEY 记录触发，该记录包含一个指向自身的压缩指针。成功利用可导致通过攻击者控制的数据实现远程代码执行。第二个是 CoreDNS 中的 CVE-2026-86003，涉及其加密传输监听器。这些监听器会接受未认证的 DNS UPDATE 消息，而明文传输则会正确拒绝此类消息。攻击者可利用此漏洞在特定条件下接管主机名，充当“糊涂副手”（confused deputy）。作者强调了围绕这些漏洞的公开讨论中令人惊讶的沉默。他们强调，在优先级排序时，应重视理解这些漏洞的上下文和爆炸半径，而不仅仅依赖 CVSS 评分。Unbound 漏洞的利用机制涉及攻击者控制恶意区域，诱使解析器向其发起查询。CoreDNS 的影响则取决于上游服务器的信任关系以及端到端 TSIG 认证的缺失。作者提供了检查解析器版本和评估暴露风险的实用步骤。他们建议将 Unbound 升级到 1.26.1 或更高版本，将 CoreDNS 升级到 1.14.7 或更高版本。在打补丁之前，对组织内的 DNS 解析器进行全面清单至关重要。