てとらのITさんぽ

Cisco ASA・FTDのSSL VPNで、トンネルグループに二次認証を設定していると、ログインしていない人に装置を再起動させられるおそれがあります。悪用も確認済み。設定の確かめ方、系統ごとの直ったバージョン、一時的な緩和策。

GMOトラスト・ログインで、2,492社・45,030人の情報が、設定の不備で外部に取得されていました。漏れたのはメールアドレスや氏名、社員番号などで、ログインのパスワードや多要素認証の情報、決済情報は含まれません。管理者は個別の連絡と個人情報保護委員会への報告の案内を確かめ、不審な連絡への注意を社員に共有してください。

Ivanti Connect Secureは、10月13日の修正（25.1.1.2・22.8R2.5）を当てたあとも、新しい2件の脆弱性の対象です。25.1.1.3か22.8R2.6に上げ、侵入が疑われるなら装置の初期化とパスワードの変更までします。

GitLab（Self-Managed）の19.2〜19.4は、悪用が確認されたCVE-2026-97229の対象です。いま上げるなら、10月29日に出た19.5.3・19.4.5・19.3.7などの最新のパッチへ。自分で動かしているGitLab Runnerも19.5.1に上げます。

MUJIアプリで、メールアドレス・生年月日・性別が外に出た可能性があります。件数は退会した人を含む最大約2,726万件で、クレジットカード情報・氏名・住所・電話番号は含まれません。無印良品を名乗るメールのURLは開かず、個人情報も入れないでください。

Mistral Large 4（Le Chonk）の重みが2026年10月29日に公開。約1兆パラメーターで、画像も読め、日本語も対応言語に入っています。使える場所、APIの料金、手元で動かすのに必要なGPU、ライセンスの条件。

LinuxカーネルのCVE-2026-98432は、Debian・Oracle LinuxのUEK・SLES 16.0と15のLTSS・Amazon Linux 2023の一部で直りました。UbuntuとRHEL 8・9・10はまだです。直ったバージョンと、自分のサーバーの確かめ方。

アララメッセージへの不正アクセスで、メールアドレス約301万件が持ち出されました。お知らせはメールを送っていた各社から届きます。不審なメールは開かずに削除し、漏れた情報は会社ごとに違うため、各社の発表で確かめてください。

ツイキャスの不正アクセス第2報では、アクセスの痕跡があった個人情報は7件で、大規模な流出は確認されていません。対象の人には個別に連絡が来ます。SNS連携などの認証はリセット済みで、配信履歴はそのまま、購入ポイントは再開後も使えます。再開日は未定です。

WordPress 7.1.4は2026年10月28日付のセキュリティ更新で、遠隔でコードを実行されるおそれのある問題を含む22件の脆弱性を直しています。自分のサイトのバージョンの確かめ方と、バックアップ・更新のやり方。