独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は5月26日、dnsmasqにおける複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。影響を受けるシステムは以下の通り。
dnsmasq 2.92rel2 より前のバージョン
dnsmasqには、下記の影響を受ける可能性がある複数の脆弱性が存在する。
・extract_name()においてヒープベースのバッファオーバーフローが発生する（CVE-2026-2291）
→サービス運用妨害（DoS）が引き起こされる
→キャッシュポイズニング攻撃により不正なIPアドレスへリダイレクトされる
・DNSSECの検証処理時に無限ループが発生する（CVE-2026-4890）
→サービス運用妨害（DoS）が引き起こされる
・DNSSECの検証処理時にヒープメモリの境界外読み取りが発生する（CVE-2026-4891）
→メモリ内の情報やネットワーク情報が漏えいする
・DHCPv6の処理時にヒープメモリの境界外書き込みが発生する（CVE-2026-4892）
→ローカルの攻撃者によって権限昇格され、任意のコードを実行される
・RFC7871のクライアントサブネット情報を含む、細工されたDNSパケットを処理する際、パケットの送信元検証がバイパスされる（CVE-2026-4893）
→キャッシュポイズニング攻撃により不正なIPアドレスへリダイレクトされる
→メモリ内の情報やネットワーク情報が漏えいする
・extract_addresses()においてヒープメモリの境界外読み取りが発生する（CVE-2026-5172）
→サービス運用妨害（DoS）が引き起こされる
JVNでは、開発者が提供する情報をもとに最新版へアップデートするよう呼びかけている。なお、一連の脆弱性は、バージョン2.92rel2で修正されている。
