てとらのITさんぽ

Next.jsが2026年10月14日（米国時間）に臨時のセキュリティ更新を出し、use cacheの関数や画像の最適化で認証なしにコードを実行されるおそれがある脆弱性などを直しました。16.0.0〜16.4.0は16.4.1以上、15系は15.5.28に上げます。npm ls nextでバージョンを確かめられます。

Microsoftが.NETの定例外のセキュリティ更新を出しました。Brotliの脆弱性CVE-2026-111497などが、.NET 8.0.33・9.0.22・10.0.14で直っています。dotnet --list-runtimesで入っているバージョンを確かめ、自己完結型のアプリやコンテナは作り直して配り直します。

infoQの会員は、同じか似たパスワードを使っているほかのサービスのパスワードを変更してください。お名前.com デスクトップクラウドの利用者は、FX取引に使っていない、別の安全な端末（スマートフォンや別のPCなど）から取引口座のパスワード変更とセッションの切断をして、取引履歴と残高を確認してください。デスクトップクラウドの利用者には、お見舞金と損失の補償、代替サービスも案内されています。

GPT-6.1 Terraは、画面を見てパソコンを操作するのが得意なOpenAIの新しいモデルです。ChatGPTではPlus・Pro・Business・Enterprise・EduのChatGPT WorkとCodexで順番に使えるようになり、ふだんのチャットには出てきません。APIは入力100万トークンあたり1ドル、出力5ドルです。

Google CloudのMCP Toolbox for Databasesで、Cloud Storageの接続先に脆弱性CVE-2026-93328（CVSS 9.3）が見つかりました。対象は1.2.0〜1.4.0で、1.5.0で直っています。cloud-storageを使っている人は1.5.0以降に上げ、allowedBucketsとallowedLocalRootsを設定します。

Nanbeige4.3-33Bは、Nanbeige LLM LabがHugging Faceで公開した、コーディングやエージェントの作業に強い33BクラスのAIモデルです。申請なしでだれでもダウンロードでき、モデルカードのライセンスの欄はApache 2.0です。開発元の測定では20項目中17項目で1位でした。

研究者がTailscaleとheadscaleに11件の問題を指摘し、うち4件はTailscale SSHについてです。修正とCVEはまだありません。Tailscale SSHを使っているかの確かめ方と、当面の対策です。

Carbon-Xは、Qwen3-14Bをもとにした14.8Bのオープンモデルで、DNAの配列をチャットに貼ると、変異が良性か病原性かなどを英語で答えます。申請なしでだれでもダウンロードでき、ライセンスはApache 2.0です。GGUFのQ8_0（15.8GB）は約16GBのGPUメモリにKVキャッシュの分を足して動き、llama.cppはb11742以降のバージョンが要ります。臨床での検証はされていないので、医療の判断には使えません。

OpenAIのDecisions APIは、問い合わせの振り分けや「条件に当てはまるか」の判定のように、答えの形が決まった判断をすばやく返すAPIです（OpenAIの発表では、Responses APIでgpt-6-lunaを使うときより最大で10倍速い）。使えるモデルはgpt-6-lunaだけで、料金は入力100万トークンあたり0.10ドル、出力には料金がかかりません。3つの答えの型、Responses APIとの使い分け、curlとPythonでの呼び出し方。

2026年10月19日、ピザハットの日本国内向けオンライン注文サービスの決済APIに不正アクセスがあり、お客様ID、メールアドレス、電話番号、削除済みのお客様情報に関する記録、セッションログイントークン、取引記録が漏れたと確認されています。クレジットカード情報は含まれていません。心当たりのない連絡のリンクや添付ファイルは開かず、パスワードやカード情報は入力しないでください。