てとらのITさんぽ

WordPressのプラグイン「Prime Mover – Backup and Migration」の2.2.1以下は、CVSS 9.8の脆弱性CVE-2026-115806の対象です。ログインなしのコメント投稿が足がかりになり、管理者の書き出しや復元で読み込まれます。バージョンの確かめ方と、2.2.2に上げる方法。

Nextcloudの「Collabora Online - Built-in CODE Server」アプリ（richdocumentscode）の26.4.303より前は、悪用中の脆弱性CVE-2026-110447の対象です。無効にするだけでは防げません。対象かの見分け方、更新と削除のocc、整合性チェックでWebシェルが置かれていないかを確かめる方法。

ConnectWise Cloud Backup（旧SkyKick）のアプリの認証情報が悪用され、Storm-0940（ストーム0940）が2,250を超えるMicrosoft 365のテナントへのサインインを試みました。10月31日6時（日本時間）時点の復旧状況と認可し直したあとの確かめ方、対象のアプリIDと管理者が調べることが分かります。

KRAFTON AIのRaon-1 mini previewは、手元のPCで動かせる言語モデルです。重みはApache License 2.0で、商用でも使えます。モデルカードには、RTX 5090の1枚やApple siliconのMacで動かす方法が書かれています。

Snort 3の脆弱性CVE-2026-20043（CVSS 9.0）は3.12.4.0で直っています。FTDなど対象のCisco製品と直ったバージョン、バージョンの確かめ方、回避策がないことをCiscoの発表をもとに載せています。

HPEは10月23日（日本時間）、Arubaの無線LANコントローラーやAPで動くAOS-8・AOS-10に72件の脆弱性があると発表しました。系列ごとの上げる先のバージョン、今のバージョンの確かめ方、回避策が分かります。

Chromeが156.0.8078.48や156.0.8078.47のままなら、まだ最新ではありません。10月27日（米国時間）に156.0.8078.73/.74が出て、52件のセキュリティ修正（Criticalは4件）が入りました。今のバージョンを確かめる画面の開き方と更新の手順、会社のパソコンで確かめること、Edgeの対応状況が分かります。

ノーコードのWebサイト作成サービス「Studio」が不正アクセスを受け、すべての利用者のアカウントの情報や、Studioで作られたサイトのフォームに送られた内容などが流出した可能性があります。Studioのアカウントを持っている人はパスワードを変え、ライブプレビューのURLを削除します。

Brotliの脆弱性CVE-2026-111497は、PythonのBrotliを1.2.1以降、Node.jsを22.23.4・24.22.1・26.12.1以降に上げます。Cisco製品は一部で直り、ISEやIOS XEなどは調査中です。

GitHub CLIは2026年10月21日のv2.103.0から、数時間で期限が切れ、自動で取り替わるトークンを選べるようになりました。いまは公開プレビューで、自分で選んだときだけ使われます。