てとらのITさんぽ

GitLab CE・EEの7.0以降に、ログインなしでサーバー上のコードを実行されるおそれがある脆弱性CVE-2026-110264（CVSS 10.0）。19.5.1・19.4.3・19.3.6・19.2.9・19.1.9・19.0.10・18.11.13で直った。GitLab.comは対応済み。Self-Managedはバージョンを確かめてすぐ上げる。

メールサーバーのセキュリティ対策は、なりすまし防止（SPF・DKIM・DMARC）、不正中継の防止と認証の強化、TLSでの暗号化、更新、見張りの順に固める。digやpostconfで今の設定を確かめる方法と、DMARCをp=noneからrejectへ強める手順。

OpenAIのGPT-6 Astra・GPT-6.1 Sol・GPT-6 LunaがGoogle CloudのModel Gardenに。今はプライベートプレビュー（一部の企業向けの先行公開）で、使いたい企業はフォームで関心を伝える。APIとCodex CLIでできること、Google Cloudの請求にまとまる支払い、データの扱い。

Claude Duetは、Claudeが自分から動くエージェントとして働く新しいアプリ。2026年10月21日に研究プレビューが始まり、今は待ちリストから招待された米国のPro・Maxの人だけが使える（米国のClaudeアカウントが必要）。できること、承認の仕組み、使用量の数え方。

Node.jsが10月21日付けのセキュリティリリースで脆弱性10件（High 4件）を直した。26.xは26.12.1、24.xは24.22.1、22.xは22.23.4に上げる。20.x以前は修正が出ないので24.x以降へ。nvm・インストーラー・Docker・SEAでの更新のしかた。

LiteLLM 1.107.0（PyPIとDockerイメージ）に認証情報を盗むコードが入っていた。10月21日20時39分〜23時20分（日本時間）に入れた・動かした環境は、Pythonを起動せずに不正なファイルを消し、1.106.2で作り直して、届く鍵をすべて作り直す。

エックスサーバーの管理画面は10月22日9時30分から順に再開し、WEBメールと公式サイトはまだ止まっている。サイトの表示とメールソフトでの送受信はふだんどおり使える。管理画面に入れたら確かめる追加のお願いとPHPのバージョン。

eMudhraの中間CA証明書8枚の秘密鍵が割り出せる状態だった件で、ChromeとFirefoxは10月18日（日本時間）までに対応済み。LinuxのサーバーやPC、コンテナは、ca-certificatesを直ったバージョンに更新し、バージョンを確かめる。

nginx.orgが10月14日に出したnginx 1.30.6と1.31.7で、脆弱性5件（CVE-2026-15176など）が直った。nginx -vでバージョンを確かめ、影響を受ける設定に当てはまるかを見て、更新するか回避策を当てる。

LenovoのAndroidタブレット複数機種で、起動時の検証（Android Verified Boot）にAOSPのテスト用の鍵が使われていました。悪用にはタブレットに直接さわれることが必要です。対象の機種と修正済みのバージョン、アップデートの手順がわかります。