Duizenden dns-servers die op BIND 9 draaien, waaronder zo'n honderd in Nederland, missen een beveiligingsupdate voor twee belangrijke beveiligingslekken die cache-poisoning mogelijk maken. Dat laat The Shadowserver Foundation op basis van eigen onderzoek weten. Het Nationaal Cyber Security Centrum (NCSC) meldde eerder dat het verwacht dat aanvallers misbruik van de kwetsbaarheden zullen maken.

BIND staat voor Berkeley Internet Name Domain. Het is de populairste dns-serversoftware op internet en vertaalt domeinnamen naar ip-adressen. De twee beveiligingslekken (CVE-2025-40778 en CVE-2025-40780) in kwestie maken het mogelijk voor een aanvaller om de dns-server verkeerde antwoorden te laten geven op dns-requests van gebruikers. In plaats van het juiste ip-adres geeft de server een verkeerd ip-adres aan de gebruiker door, waardoor die naar een verkeerde locatie wordt doorgestuurd. Dit wordt cache-poisoning genoemd.

Eind oktober verschenen er updates voor de twee kwetsbaarheden. CVE-2025-40780 betreft een zwakte in de Pseudo Random Number Generator (PRNG) waar BIND 9 gebruik van maakt, waardoor een aanvaller de source port en query ID kan voorspellen die BIND zal gebruiken. Het andere beveiligingslek, CVE-2025-40778, zorgt ervoor dat BIND 9 te gemakkelijk records van antwoorden accepteert, waardoor aanvallers vervalste data in de cache van de BIND 9-server kunnen injecteren.

Via de beveiligingslekken is cache-poisoning mogelijk, waardoor internet gebruikers naar malafide locaties worden doorgestuurd. The Shadowserver Foundation deed een online scan naar BIND 9-servers en detecteerde er meer dan 8200 die de uitgebrachte beveiligingsupdate missen. Daarvan bevinden zich er zo'n honderd in Nederland. Het grootste aantal nog kwetsbare BIND 9-servers werd met bijna dertienhonderd in de Verenigde Staten waargenomen.