lilting channel

OpenJDKが2026年10月21日に臨時で公表したCVE-2026-91403（CVSS 9.1）は、eMudhraの危殆化した中間CA 8枚をJavaが信頼してしまう問題だった。手元のM4 Mac miniでは、OpenJDK 27.0.1が既定の設定のまま危殆化したチェーンに接続し、失効確認の有効化と blocked.certs への追加ではどちらも拒否した。

2026年10月21日のGitLab Critical Patch Releaseで、7.0以降の全バージョンに影響するCVSS 10.0の脆弱性CVE-2026-110264が直った。Org-modeの表示処理からRubyの正規表現エンジンで範囲外書き込みが起きる仕組み、更新先の修正版、検知ルールに沿ったログの確認方法と、手元のRuby 4.0.6でまだ修正が入っていないことを確かめた結果。

2026年10月20日、Apache Tomcat 9・10.1・11の脆弱性8件が公開された。Importantの3件（JNDIRealmの認証回避、HTTP/2とAJPのレスポンス混入）がどの設定で起きるかと、修正版の9.0.123・10.1.61・11.0.27を、アドバイザリと修正コミットで確かめた。