Le 6 octobre 2026, Google a révélé que des attaquants avaient pris le contrôle des registres .gh, .sl et .as pour réécrire des enregistrements DNS et obtenir de faux certificats HTTPS au nom de Google et de plusieurs grandes marques. Chaque propriétaire de domaine doit surveiller les journaux de transparence et publier des enregistrements CAA restrictifs, car l’intervention du navigateur ne protège pas les utilisateurs des autres clients.

Le 11 octobre 2026, la zone racine DNS remplace sa clé de signature KSK-2017 par KSK-2024, la deuxième rotation de l’histoire depuis la signature de la racine en 2010. Tout résolveur validant DNSSEC qui ne fait pas déjà confiance à la nouvelle clé cessera de résoudre l’intégralité des noms : l’enjeu est de repérer, avant dimanche, les résolveurs dont l’ancre de confiance a été figée.

Le Patch Tuesday de septembre 2026, le plus volumineux de l’histoire de Microsoft, referme une RCE wormable dans Windows DNS Server, première faille de type SigRed depuis 2020. Isolez et corrigez en priorité vos serveurs DNS, DHCP et multicast exposés.

Le 16 septembre 2026, ISC publie BIND 9.20.29 et 9.21.26, qui corrigent 14 vulnérabilités dont des failles d’empoisonnement du cache DNS et des contournements de validation DNSSEC. Mettez à jour les résolveurs récursifs exposés et restreignez la récursion avant qu’une réponse forgée ne redirige vos utilisateurs.

Le 24 septembre 2026, Manifold Security a révélé que third-party.com, un domaine de documentation utilisé comme exemple depuis des années, a été enregistré par un tiers et sert maintenant un leurre ClickFix aux navigateurs Windows. Auditez vos dépôts et ne laissez plus qu’un domaine non réservé fasse office d’exemple.

Le 16 septembre 2026, l’ISC a publié BIND 9.20.29 et 9.21.26 pour corriger 14 vulnérabilités, dont CVE-2026-77692 qui permet de faire planter named avec une seule requête DNS-over-HTTPS malformée. Inventoriez chaque résolveur, corrigez et rendez la résolution redondante avant qu’un seul paquet ne mette votre plateforme à terre.

Le résolveur public 1.1.1.1 valide désormais les signatures DNSSEC produites avec ML-DSA-44, l’algorithme post-quantique normalisé par le NIST, dont chaque signature pèse 2 420 octets. C’est le premier test à l’échelle d’Internet du transport de réponses DNS massives et de la parade contre le repli vers des algorithmes fragilisés.

Le Patch Tuesday du 8 septembre 2026 corrige neuf failles d’exécution de code à distance dans Windows DNS Server, dont CVE-2026-69730, un use-after-free à CVSS 9,8 exploitable par un seul paquet forgé. Priorisez la mise à jour des serveurs qui portent le rôle DNS et segmentez le port 53 avant l’apparition d’un exploit public.

Le 11 octobre 2026, la clé de signature de la racine DNSSEC (KSK) passe de la KSK-2017 au tag de clé 38696 de la KSK-2024, et l’ancienne clé sera retirée en janvier 2027. Les opérateurs de résolveurs validants doivent vérifier que ce tag est installé avant l’échéance, faute de quoi leur résolution DNS tombera en panne sans aucun signe réseau.

Le framework C2 iranien Cavern s’est doté d’un module qui interroge le DNS pour choisir entre un canal HTTPS direct et un relais Google Apps Script, et d’un second qui transforme les calendriers Microsoft 365 en boîte morte. Pour la détection réseau, les listes noires d’indicateurs ne suffisent plus : il faut surveiller les requêtes DNS anormales et les abus de services légitimes.

La Human-Centered Computing Foundation a déposé auprès de l’ICANN sa candidature pour le TLD .self, un espace de noms pensé pour les projets auto-hébergés et centrés sur l’utilisateur. Derrière le symbole, la vraie question est de savoir ce qu’un nom de domaine peut réellement garantir — et si .self servira les auto-hébergeurs ou les désignera comme cibles.

AdGuard Home 0.107.77 et Pi-hole v6 se disputent le blocage DNS réseau en 2026. Le DNS chiffré natif, le contrôle par client et le contrôle parental intégré font pencher la balance pour tout nouveau déploiement. Si vous démarrez aujourd’hui, l’écart est tranché.

En 2026, la quasi-totalité des requêtes DNS transitent encore en clair sur le réseau de votre fournisseur d’accès, qui les monétise auprès des régies publicitaires. DoH, DoT et désormais DoH3 rendent cette collecte techniquement impossible.