てとらのITさんぽ

細工したSMSを受け取るだけで、Androidスマホの通話が緊急通報も含めて切れる不具合「SMS of Death」が公表されました。設定アプリの「Android セキュリティ アップデート」が2026年10月以降かを確かめ、古ければ更新してください。

5つのAIコーディングツールの内蔵ブラウザに、コードを動かされたりファイルを読まれたりする脆弱性「EMBRACE」が見つかりました。CodexとVS Codeは未修正です。最新のバージョンに上げ、知らないHTMLファイルを内蔵ブラウザで開かないでください。

Geminiアプリでは、ファイルの種類を指定して頼むと、PDF・スライド・表などを作り、チャットの中で直せます。直せるのはウェブで、スマホはPDFだけ。スライドはGoogleスライドで開くか、PPTX・PDFでダウンロードできます。

AIの学習を断るには、いまはGPTBot・Google-Extended・ClaudeBotをrobots.txtで断る方法が効きます。新しい共通のしるし__usage_ai-trainingは2027年から読まれる予定なので、両方を書いておくのが安心です。

Linuxのカーネルの脆弱性Fragnesia（CVE-2026-46300）が攻撃に使われています。PHP2Shellと組み合わせるとrootでコマンドを動かされるおそれがあるため、PHPとカーネルの両方を更新して再起動してください。

クラブツーリズムのインターネット会員の情報が約432万件、外に漏れた可能性があります。パスワード、パスポート、カード情報、口座番号は含まれていません。クラブツーリズムを名乗る連絡でカード番号やパスワードを聞かれても答えないでください。

Cursorの拡張機能ストアで2026年10月29日18時27分ごろから30日5時35分ごろ（日本時間）に配られたClaude Code拡張2.1.312・2.1.313は偽物です。WindowsとmacOSが対象で、拡張を消すだけでは足りません。確かめ用のコマンドと後片付けの手順はCursorが出しています。

Cisco ASA・FTDのSSL VPNで、トンネルグループに二次認証を設定していると、ログインしていない人に装置を再起動させられるおそれがあります。悪用も確認済み。設定の確かめ方、系統ごとの直ったバージョン、一時的な緩和策。

GMOトラスト・ログインで、2,492社・45,030人の情報が、設定の不備で外部に取得されていました。漏れたのはメールアドレスや氏名、社員番号などで、ログインのパスワードや多要素認証の情報、決済情報は含まれません。管理者は個別の連絡と個人情報保護委員会への報告の案内を確かめ、不審な連絡への注意を社員に共有してください。

Ivanti Connect Secureは、10月13日の修正（25.1.1.2・22.8R2.5）を当てたあとも、新しい2件の脆弱性の対象です。25.1.1.3か22.8R2.6に上げ、侵入が疑われるなら装置の初期化とパスワードの変更までします。