ISC BIND脆弱性CVE-2015-5477——悪用確認、DoS注意、更新を

公開日：2026年10月30日文：クリスタルメソッド編集部監修：河合継（代表取締役）

CVE-2015-5477 の核心——TKEY処理の欠陥が引き起こすDNS停止

CVE-2015-5477 は、DNS サーバソフトウェアとして広く使われる ISC BIND の TKEY（トランザクションキー）DNSリソースレコード処理に存在する欠陥だ。リモートの攻撃者が特別に細工した DNS リクエストパケットを送信すると、権威 DNS サーバあるいは DNS リゾルバとして動作する named（BINDのデーモンプロセス）が REQUIRE アサーション失敗を引き起こして予期せず終了する。

この欠陥の本質はサービス運用妨害（DoS）にある。named が強制終了すれば、そのサーバが担う権威 DNS 応答やリゾルバ機能は停止する。

CVE の公開日は 2015年7月29日で、この脆弱性自体は10年以上前のものだ。ISCの当時の告知では、影響を受ける版はBIND 9.1.0から9.8.x、9.9.0から9.9.7-P1、9.10.0から9.10.2-P2で、修正版は9.9.7-P2と9.10.2-P3とされている。回避策はなく、ACLや設定による制限でも防げないと説明されている（処理の早い段階で欠陥のあるコードが実行されるため）。それでもCISA（米国サイバーセキュリティ・インフラセキュリティ庁）は 2026年10月8日に本 CVE を「Known Exploited Vulnerabilities（KEV）カタログ」へ追加した。新しく見つかった脆弱性ではなく、古い脆弱性について2026年10月にCISAが悪用を確認したということだ。KEV掲載は実際の悪用が確認されたことを公式に意味する（CISA KEV カタログ）。

図1: CVE-2015-5477 の攻撃フロー。細工した TKEY リクエストによりリモートから named を停止できる構造を示す。認証・ユーザー操作いずれも不要（CVSS評価者: CISA-ADP）。

ほかの古い脆弱性にも悪用が及んでいるかは、2016年公表のStruts脆弱性で解説しています。

関連記事Strapi脆弱性、情報漏えいのおそれは？

リスク指標の読み方——CVSS 7.5・EPSS 99.5% が示す攻撃現実性

CISA-ADP による CVSS 3.1 スコアは 7.5（HIGH）で、ベクターは AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H と評価されている（CVE公式記録 — cve.org）。

各要素を読み解くと、攻撃はネットワーク越しに実行でき（AV:N）、複雑な条件を必要とせず（AC:L）、認証も不要（PR:N）、ユーザーの操作も不要（UI:N）という、攻撃者側の準備コストが極めて低い構造を持つ。一方、影響は可用性のみ（C:N/I:N/A:H）であり、機密情報の漏洩やシステムへの不正侵入には直結しない純粋な DoS 脆弱性だ。

さらに、FIRST が算出する EPSS（Exploit Prediction Scoring System）は 0.9958（パーセンタイル 0.9995）を記録している（2026年10月29日時点、NVD — CVE-2015-5477）。EPSS はあくまで統計的な悪用確率の推定であり、個別環境での悪用を断定するものではない。

CVE-2015-5477 リスク指標サマリー
指標	値・内容	出典・備考
CVSS 3.1 スコア	7.5（HIGH）	CISA-ADP／cve.org
CVSS ベクター	AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H	CISA-ADP／cve.org
EPSS スコア	0.9958（パーセンタイル 0.9995）	FIRST、2026-10-29 時点。統計的推定、断定ではない
CISA KEV 掲載	あり（追加日: 2026-10-08）	CISA KEV カタログ。悪用が確認されたことを意味する
CISA 対処期限	2026-10-11	米連邦機関向け BOD 26-04 に基づく。日本企業への法的義務なし
ランサムウェア利用	Unknown（CISA 記載）	CISA KEV カタログ
影響の種別	可用性のみ（DoS）	機密性・完全性への影響なし（CVSS C:N/I:N）

自社が対象か判断がつかない場合は、お使いの製品と版の情報をお送りいただければ、公式情報をもとに対象かどうかの目安をお伝えします（無料相談）。

CISA の対処期限（2026年10月11日）は米連邦政府機関を対象とする BOD 26-04 に基づくものであり、日本企業に法的義務は生じない。しかし KEV 掲載は「悪用が現実に確認されている」という事実の表明であり、日本の運用環境においても更新を優先的に検討する合理的な根拠となる。

次に読む：ProFTPDに任意ファイル読み書きの脆弱性は？

ProFTPDに任意ファイル読み書きの脆弱性——CVE-2015-3306、悪用確認で対応急務

日本の運用担当者が直面する現実——古い脆弱性が2026年に問われる理由

2015年に公開された脆弱性が2026年10月にKEVへ追加されたということは、更新されないまま動いているBINDが今も悪用の対象になっていることを意味する。この脆弱性はサービス停止（DoS）型で、機密性・完全性への影響はない。ただし、DNSが止まるとそれに依存するサービスにも影響が及ぶ。

CVE-2015-5477 への対処

修正版へ更新する：ISCの告知では9.9.7-P2と9.10.2-P3。ディストリビューション版は各ベンダーの告知で修正済みパッケージを確認する（Red HatはRHSA-2015:1513で更新済みbindパッケージへのアップグレードを推奨）。
公式の回避策：なし（ISCの告知に「Workarounds: None」とあり、ACLや設定でも防げない）。
CISAの対処期限：2026年10月11日（米連邦政府機関向け）。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。