てとらのITさんぽ

研究者がTailscaleとheadscaleに11件の問題を指摘し、うち4件はTailscale SSHについてです。修正とCVEはまだありません。Tailscale SSHを使っているかの確かめ方と、当面の対策です。

Carbon-Xは、Qwen3-14Bをもとにした14.8Bのオープンモデルで、DNAの配列をチャットに貼ると、変異が良性か病原性かなどを英語で答えます。申請なしでだれでもダウンロードでき、ライセンスはApache 2.0です。GGUFのQ8_0（15.8GB）は約16GBのGPUメモリにKVキャッシュの分を足して動き、llama.cppはb11742以降のバージョンが要ります。臨床での検証はされていないので、医療の判断には使えません。

OpenAIのDecisions APIは、問い合わせの振り分けや「条件に当てはまるか」の判定のように、答えの形が決まった判断をすばやく返すAPIです（OpenAIの発表では、Responses APIでgpt-6-lunaを使うときより最大で10倍速い）。使えるモデルはgpt-6-lunaだけで、料金は入力100万トークンあたり0.10ドル、出力には料金がかかりません。3つの答えの型、Responses APIとの使い分け、curlとPythonでの呼び出し方。

2026年10月19日、ピザハットの日本国内向けオンライン注文サービスの決済APIに不正アクセスがあり、お客様ID、メールアドレス、電話番号、削除済みのお客様情報に関する記録、セッションログイントークン、取引記録が漏れたと確認されています。クレジットカード情報は含まれていません。心当たりのない連絡のリンクや添付ファイルは開かず、パスワードやカード情報は入力しないでください。

Synology NASのパッケージのPHP 7.3〜8.4、Synology Calendar、Mail Stationは、PHPの脆弱性PHP2Shell（CVE-2026-109618・109619）の対象です。PHP 7.3には修正が出ません。直ったバージョンの早見表と、パッケージ センターでの確かめ方・上げ方。

ロリポップは2026年10月24日14時08分（日本時間）から新規申し込み（無料お試しを含む）を止め、WordPress簡単引っ越しとWebDAVも止めています。契約中の人は、サイトの表示、メールの送受信、ユーザー専用ページへのログインをこれまでどおり使えます。被害は確認されていません。今やることは、PHPのバージョンを確かめて8.2以降に切り替えることです。再開の時期は、決まりしだいロリポップのお知らせで案内されます。

WordPressのプラグイン「Prime Mover – Backup and Migration」の2.2.1以下は、CVSS 9.8の脆弱性CVE-2026-115806の対象です。ログインなしのコメント投稿が足がかりになり、管理者の書き出しや復元で読み込まれます。バージョンの確かめ方と、2.2.2に上げる方法。

Nextcloudの「Collabora Online - Built-in CODE Server」アプリ（richdocumentscode）の26.4.303より前は、悪用中の脆弱性CVE-2026-110447の対象です。無効にするだけでは防げません。対象かの見分け方、更新と削除のocc、整合性チェックでWebシェルが置かれていないかを確かめる方法。

ConnectWise Cloud Backup（旧SkyKick）のアプリの認証情報が悪用され、Storm-0940がAIで自動化した攻撃で2,250を超えるテナントへのサインインを試みました。止まっているサービス、対象のアプリID、Microsoft 365の管理者が確かめるサインインと監査ログ、委託先に確かめることが分かります。

KRAFTON AIのRaon-1 mini previewは、手元のPCで動かせる言語モデルです。重みはApache License 2.0で、商用でも使えます。モデルカードには、RTX 5090の1枚やApple siliconのMacで動かす方法が書かれています。