--- title: "Kritik Unbound DNSSEC Doğrulayıcısı Açığı Zararlı DNS Bölgesi Üzerinden Uzak Kod Çalıştırmaya Yol Açabilir" url: "https://teknotayf.com/haber/kritik-unbound-dnssec-dogrulayicisi-acigi-zararli-dns-bolgesi-uzerinden-uzak-kod-calistirmaya-yol-acabilir" markdown_url: "https://teknotayf.com/haber/kritik-unbound-dnssec-dogrulayicisi-acigi-zararli-dns-bolgesi-uzerinden-uzak-kod-calistirmaya-yol-acabilir.md" site: "teknotayf.com" language: "tr" published: "2026-09-17 15:30:00" updated: "2026-09-17 23:29:37" category: "Siber Güvenlik" tags: ["Unbound Açığı","DNSSEC Güvenlik","Uzak Kod Çalıştırma","NLnet Labs","CVE-2026-81642"] source: "The Hacker News" --- # Kritik Unbound DNSSEC Doğrulayıcısı Açığı Zararlı DNS Bölgesi Üzerinden Uzak Kod Çalıştırmaya Yol Açabilir > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/kritik-unbound-dnssec-dogrulayicisi-acigi-zararli-dns-bolgesi-uzerinden-uzak-kod-calistirmaya-yol-acabilir > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** NLnet Labs, Unbound 1.26.1 öncesi tüm sürümlerde DNSSEC doğrulayıcısında kritik yığın taşması bulunduğunu açıkladı. CVE-2026-81642 olarak izlenen açık, zararlı bir bölgeyi kontrol eden saldırganın uzaktan kod çalıştırmasına olanak tanıyor. Sorun aynı gün yayımlanan 1.26.1 sürümüyle birlikte toplam dokuz açığın kapatılmasıyla giderildi. - **Yayın tarihi:** 2026-09-17 15:30 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Unbound Açığı, DNSSEC Güvenlik, Uzak Kod Çalıştırma, NLnet Labs, CVE-2026-81642 - **Yazan:** TeknoTayf.com - **Kaynak:** [The Hacker News](https://thehackernews.com/2026/09/critical-unbound-dnssec-validator-flaw.html) ![Kritik Unbound DNSSEC Doğrulayıcısı Açığı Zararlı DNS Bölgesi Üzerinden Uzak Kod Çalıştırmaya Yol Açabilir](https://teknotayf.com/assets/uploads/2026/09/e33270a6edb0e45205e6d1faa392dcbe.jpg) Kritik Unbound DNSSEC Doğrulayıcısı Açığı Zararlı DNS Bölgesi Üzerinden Uzak Kod Çalıştırmaya Yol Açabilir Swati Khandelwal 17 Eyl 2026 Açıklık / DNS Güvenliği 1.26.1 öncesi Unbound DNS çözümleyicisinin her sürümünde DNSSEC doğrulayıcısında kritik bir yığın taşması bulunuyor. Bakım kuruluşu NLnet Labs bunu çarşamba günü yayımladığı danışmada açıkladı. Zararlı bir bölgeyi kontrol eden bir saldırgan savunmasız bir çözümleyiciye sorgu göndererek açığı tetikleyebilir ve bu durum uzaktan kod çalıştırmaya olanak tanır. Aynı gün yayımlanan Unbound 1.26.1, CVE-2026-81642 olarak izlenen hatayı sekiz başka açıkla birlikte düzeltiyor. Sekiz açığın biri olan CVE-2026-82717, Anthropic'ten Ben Morris tarafından bildirilen CNAME sentezinde bir yığın bozulma hatasıdır. NLnet Labs'a göre bu hata belirli sistemlerde ve derleme seçeneklerinde uzaktan kod çalıştırmaya da yol açabilir. NLnet Labs iki hatanın da istismar edildiğini bildirmiyor ve CISA'nın CVE-2026-81642 için çarşamba günü yaptığı girişte istismar durumu "yok" olarak işaretlenmiş. NLnet Labs DNSKEY açığını Kritik olarak sınıflandırıyor ve CVSS puanı 4.0 (9.1) veriyor. Skorlamada ayrıcalık veya kullanıcı etkileşimi gerektirmeyen ağ saldırı vektörü listeleniyor. NVD çarşamba günü CVE'yi "Analiz Bekliyor" olarak listelediğinden 9.1 puanı bakım kuruluşunun kendi skorudur. Taşma, doğrulayıcı kendi verisi içine sıkıştırma işaretçisi olan bir sahip adı bulunan bir DNSKEY kaydını işlerken gerçekleşiyor. NLnet Labs'ın listelediği etki hizmet reddi olup, saldırgan kontrollü veriyle uzaktan kod çalıştırma mümkün. 1.26.0 dahil olmak üzere her sürüm etkileniyor. Bu, temmuz ayındaki güvenlik sürümü olan 1.25.2'yi ve 4 Ağustos'ta yayımlanan 1.26.0'ı kapsıyor. NLnet Labs'ın mayısta düzelttiği kritik doğrulayıcı hatası CVE-2026-33278 farklı bir açık olup, onu düzelten 1.25.1 güncellemesi bu açığı düzeltmiyor. NLnet Labs bu aralık için herhangi bir yapılandırma koşulu eklemiyor ve DNSSEC doğrulamasının kapatıldığı bir çözümleyiciye erişilip erişilemeyeceğini söylemiyor. ## Yükseltme veya Yama Unbound 1.26.1 kaynak kodu olarak, karmalar ve PGP imzası ile birlikte ve Windows yükleyicileri ve ikili dosyaları olarak sunuluyor. Yükseltme yapamıyorsanız danışma kaynak ağacını yamalamanın iki yolunu veriyor: CVE-2026-81642 için yalnızca minimal yamayı veya tam yamayı patch -p1 ile uygulayın, örneğin patch -p1 < patch_CVE-2026-81642_with.diff, ardından make install komutunu çalıştırın. Bunun yerine dokuz düzeltmenin tamamı için birleşik yamayı uygulayın. Bunun da minimal bir sürümü bulunuyor. NLnet Labs, CVE-2026-81642 ve CVE-2026-82717 için bağımsız yamaların test edildiğini ve 1.26.0 üzerinde çalıştığını söylüyor. Güvenlik politikası en son yayımlanan sürümü yamalamaktır. Debian güvenlik izleyicisi, unbound 1.26.1-1'in perşembe günü unstable'da düzeltildiğini listeledi; bookworm, trixie ve forky dalları hâlâ savunmasız olarak listeleniyor. ## Dokuz Düzeltme Sürüm notları dokuz CVE'yi adlandırıyor. Tablo her birinin etkilenen aralığını ve NLnet Labs'ın ifadesiyle tetikleme koşulunu veriyor. 1.26.0 dahil olmak üzere Zararlı bir bölgeyi kontrol eden bir saldırganın çözümleyiciye sorgu göndermesi Hizmet reddi, olası uzaktan kod çalıştırma 1.26.0 dahil olmak üzere Yukarı akış yanıtı sırasında CNAME sentezi. Belirli sistemlerde ve derleme seçeneklerinde kod çalıştırma Hizmet reddi, olası uzaktan kod çalıştırma 1.26.0 dahil olmak üzere Zararlı bir isim sunucusundan veya değiştirilmiş bir yanıttan gelen büyük TCP yanıtıyla 255 uzunluğunda sorgu adı Hizmet reddi 1.13.2'den 1.26.0 dahil olmak üzere Güven kökü altında ancak tam olarak güven kökünde olmayan zonemd-check: yes bulunan bölgeler Hizmet reddi, ZONEMD kontrolünden önce değiştirilmiş bölge verisinin sunulduğu bir pencere 1.22.0'dan 1.26.0 dahil olmak üzere --with-libngtcp2 ile derlenmiş ve quic-port yapılandırılmış Hizmet reddi 1.26.0 dahil olmak üzere Tek bir TCP veya DoT bağlantısı üzerinden sürekli farklı önbelleksiz ad akışı Hizmet bozulması 1.12.0'dan 1.26.0 dahil olmak üzere --with-libnghttp2 ile derlenmiş ve https-port yapılandırılmış. NLnet Labs etkiyi sınırlı olarak adlandırıyor Hizmet reddi 1.26.0 dahil olmak üzere ReTrap algoritmik karmaşıklık saldırılarını (TagTrap, DelegationTrap, NsecTrap, AdditionalTrap) sunan zararlı bölgeler Hizmet bozulması 1.20.0'dan 1.26.0 dahil olmak üzere Serve-expired kod yolu, için eklenen bir karşı önlemi atlayarak Pulsing DoS yükseltme saldırısına katılabilir ReTrap düzeltmesi aynı zamanda bir varsayılanı da değiştiriyor: val-clean-additional artık kapalı, böylece Unbound varsayılan olarak bir yanıtın ek bölümündeki DNSSEC verilerini doğrulamıyor. Açık, CVE kaydındaki zamana göre 11 Ağustos'ta Nankai Üniversitesi AOSP Laboratuvarı'nda Xiang Li ile birlikte bulan Yuqi Qiu tarafından NLnet Labs'a bildirildi. NLnet Labs ertesi gün bir yama paylaştı ve bildiren kişi 13 Ağustos'ta yamayı doğruladı. Düzeltme beş hafta sonra 1.26.1 paketinde yayımlandı. NLnet Labs'ın güvenlik politikası, henüz herkese açık olmayan sorunlar için düzeltmelerin "haftalar" sırasındaki sürede yayımlanmayı hedeflediğini söylüyor. --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/kritik-unbound-dnssec-dogrulayicisi-acigi-zararli-dns-bolgesi-uzerinden-uzak-kod-calistirmaya-yol-acabilir Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.