CVE-2026-118066

🆕 New CVE Appointment Booking Plugin: authentication bypass in customer account login (CVE-2026-118066) An unauthenticated attacker can take over any customer's account and view their bookings, orders, and personal data. No patch listed yet https://cve.now/CVE-2026-118066?utm_source=x&utm_medium=social&utm_campaign=cvedotnow&utm_content=critical

脆弱性情報（11/8時点） ・SonicWall SonicOS（CVE-2026-19868、CVSS 7.1）※悪用確認 ・Keycloak（CVE-2026-120984、CVSS 9.1） ・WordPress LatePoint（CVE-2026-118066、CVSS 9.1） ・IBM Aspera Faspex（CVE-2026-123218、CVSS 9.8） SonicWall SonicOSのSSL-VPNでSAML認証の迂回（CVE-2026-19868、CVSS 7.1）。SAMLを使っているSSL-VPNで、別の認証方法の有効な認証情報を持つ攻撃者がSAMLのチェック、ひいてはSAML経由の多要素認証をすり抜けられる。CISAのKEVに11/6追加、悪用が確認されている。対象はGen7が7.3.3-7015以前、Gen8が8.2.2-8015以前。修正は7.3.4-7013／8.2.3-8015以降へ。回避策はなくアップデートが唯一の対応。SAMLでSSL-VPNを使っている環境は、まずバージョン確認を。 Keycloakのクライアント管理に任意コード実行の脆弱性（CVE-2026-120984、CVSS 9.1）。認可サービスを有効にしたクライアントの作成・インポート時に、内部のセッション属性が正しく消えず、クライアント管理権限を持つ認証済み攻撃者が悪意のあるJavaScriptポリシーを仕込める。認可リクエスト時に実行され、サーバー上で任意のコードが動くおそれ。現時点でRed Hatからの修正版はまだ出ていない。管理権限を持つ人を絞り、公式アドバイザリの更新を待つ形に。認証基盤だけに、まず権限の棚卸しから。 WordPressの予約プラグインLatePointに認証バイパス（CVE-2026-118066、CVSS 9.1）。5.7.6までの全バージョンが対象で、ログインなしに顧客アカウントを乗っ取れる。パスワード変更の公開AJAX経路が狙われ、予約や注文、個人情報にアクセスされるおそれ。修正版はまだ確認できていない。使っているサイトはプラグインの更新を注視し、wp_users_as_customers連携を使っている場合は特に注意を。予約フォームは顧客情報を扱う分、影響が直結しやすい。 IBM Aspera Faspexに認可の不備による権限昇格（CVE-2026-123218、CVSS 9.8）。5.0.0〜5.0.19が対象で、一般ユーザー権限の攻撃者が細工したメッセージで認可をすり抜け、管理者権限を奪える。修正版の情報はまだ確認できていない。ファイル転送の基盤なので、利用中の環境はIBMのセキュリティ情報を確認し、信頼できるユーザー以外からのアクセスを絞っておきたい。認証まわりとWordPressの予約まわり。どちらも“ふだん意識しない入口”からの話なので、使っているかどうかだけでも今日確認しておきたい。

🚨 Auth Bypass in LatePoint Booking (CVE-2026-118066, CVSS 9.1) SQL sentinel comparison against 'IS NOT NULL' in reset routes lets attackers overwrite user passwords! ⚡ Action: Update to >= 5.7.7. https://www.thehackerwire.com/vulnerability/CVE-2026-118066/ #WordPress #AppSec https://t.co/qxzKEOGR4n

【11/7 本日のまとめ】CVE・脆弱性ニュースまとめ ■国内 新たに対象となるものはありませんでした ■海外 ① SonicWall「SonicOS」：SSLVPNのSAML・多要素認証のすり抜け、米CISAがKEVへ追加し悪用を確認（CVE-2026-19868ほか、CVSS v3.1 7.1） 11月6日にSonicWallが7件の脆弱性をまとめたアドバイザリSNWLID-2026-0014を公表し、うちSSLVPNのCVE-2026-19868は同日に米CISAが悪用確認済みとしてKEVへ追加しました。SAMLを有効にしたSSLVPNで、別の認証方法の正規の認証情報を持つ利用者がSAMLの認証をすり抜け、SAMLで強制している多要素認証も回避されてしまうおそれがあります。SonicWallは悪用の可能性を示す報告があるとして、速やかな更新を強く求めています。同じアドバイザリには、管理画面のセッション検証の不備（CVE-2026-107154、CVSS v3.1 8.8）やSSLVPNの認証前ヒープバッファオーバーフロー（CVE-2026-82308、CVSS v3.1 7.5）も含まれます。対象はSonicOS 7.3.3-7015以前と8.2.2-8015以前で、KEVの対応期限は11月20日です。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-19868 出典：SonicWall https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0014 出典：CISA https://www.cisa.gov/known-exploited-vulnerabilities-catalog ② OpenSSH「OpenSSH」（続報）：ハニーポットでroot権限の奪取を確認と報告、未更新のAlpine Linuxは更新を（CVE-2026-123158、CVSS v3.1 8.1） 11月6日の本日のまとめでは「実際の悪用の報告は確認できていません」とお伝えしましたが、その後、脅威インテリジェンス企業のPrevidianが、公開から9時間以内に最初の攻撃を観測し、Alpine LinuxとOpenSSHで動かすハニーポットでroot権限を奪われたと報告しました。観測された8回の試行はすべて日本国内の1つのIPアドレス（89.116.89.18）からで、256バイトを超える長いパスワードで認証をすり抜け、idやuname、hostnameといった偵察用のコマンドを実行したということです。修正版はOpenSSH 10.6p2とAlpine Linuxの各ブランチ向け修正パッケージで、更新後はsshdの再起動が必要です。米CISAのKEVカタログにはまだ追加されていません。攻撃コードもGitHubに公開されていますが、未検証のものにはマルウェアが混入しているおそれがあるとPrevidianは注意しています。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-123158 出典：Alpine Linux https://alpinelinux.org/posts/2026-11-05-openssh-password-authentication-bypass/ 出典：Help Net Security https://www.helpnetsecurity.com/2026/11/06/openssh-sshole-cve-2026-123158-exploitation/ ③ Linux「Linuxカーネル」（続報）：Veeamが影響するバックアップ製品の一覧を公表、修正済みカーネルは11月2日から提供（CVE-2026-98432、CVSS v3.1 9.8） 11月2日に取り上げたLinuxカーネルのIPv4 TCPのUse-after-freeについて、Veeamが11月6日に影響評価KB4966を公表しました。Software ApplianceとInfrastructure Appliance 13.1向けの修正済みカーネルは11月2日からVeeamのリポジトリで提供されており、Veeam Updater経由で届きます。バックアッププロキシやリポジトリなどのLinuxベースのヘルパーや、クラウド向けプラグインのアプライアンスも対象に含まれます。Windows版のBackup & Replication 13.1では、13.1.2.57への更新後に個別の修正の適用が必要です。Veeam Kasten for KubernetesはLinuxカーネルを含まないため影響を受けません。修正済みカーネルが届いている環境では、更新と再起動を行ってください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-98432 出典：Veeam https://www.veeam.com/kb4966?ck=1700057206377 ④ Microsoft「Entra Device Registration」：認証のすり抜けで権限を昇格されうる脆弱性、CVSS 10.0。Microsoftがすでに対策済みで、利用者の対応は不要（CVE-2026-109469、CVSS v3.1 10.0） Microsoftが11月5日（米国時間）に公表し、日本時間の11月7日朝にNVDへ掲載された、クラウドサービス「Entra Device Registration」の脆弱性です。デバイス登録の処理で、利用者が操作できるキーの値を検証せずに認可してしまうため、権限のない攻撃者がネットワーク経由で権限を昇格できてしまうおそれがあります。Microsoftはすでにサービス側で完全に対策済みで、利用者側で行う対応はないとしており、悪用された報告も確認されていません。Entra IDを使っている組織でも、個別の更新や設定変更は必要ありません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-109469 出典：Microsoft https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-109469 ⑤ IBM「IBM API Connect」：CVSS 9.9を含む多数の脆弱性を修正、12.1.1.3へ更新を（CVE-2026-17360ほか、CVSS v3.1 9.9） IBMが11月7日にAPI Connectの多数の脆弱性をまとめたセキュリティ情報を公表しました。昼以降に確認できた公表分だけでも208件にのぼり、うちCVSS 9.0以上が47件、9.9が20件です。ハードコードされた認証情報で管理者権限を奪われる問題（CVE-2026-17360、CVSS 9.8）や、パストラバーサルで任意のコードを実行される問題（CVE-2026-17239、CVSS 9.9）、認証なしでテナントを作成・変更・削除される問題（CVE-2026-17362、CVSS 9.8）などが含まれます。対象は12.1.0.0から12.1.1.2までで、修正版は12.1.1.3です。CVE記録では10.0.8.0から10.0.8.12までも対象とされています。現時点で実際の悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-17360 出典：IBM https://www.ibm.com/support/pages/node/7295635 ⑥ LatePoint「Appointment Booking Plugin – LatePoint」：ログインなしで顧客のアカウントを乗っ取られうる認証すり抜け、5.7.7で修正（CVE-2026-118066、CVSS v3.1 9.1） WordPressの予約プラグイン「Appointment Booking Plugin – LatePoint」に、ログインなしで顧客のアカウントを乗っ取れる脆弱性が11月6日に公表されました。公開されているパスワード変更の処理で、パスワード再設定用のトークンの検証をすり抜けられるため、攻撃者が対象の顧客のパスワードを任意の値に上書きできてしまうおそれがあります。対象は5.7.6までのすべてのバージョンで、修正版は5.7.7です。現時点で実際の悪用の報告は確認できていませんが、予約に使っているサイトは更新を急いでください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-118066 出典：Wordfence https://www.wordfence.com/threat-intel/vulnerabilities/id/2f7f5dc8-8cf7-493d-b012-89ff36a4dc02 ⑦ Canonical・Linux Containers「LXD／Incus」：細工したイメージでホストのファイルを読み書きされ、コンテナから脱出されうる脆弱性6件、攻撃コードが公開（CVE-2026-48749ほか、CVSS v3.1 9.9） システムコンテナ管理ソフトのLXDとIncusに、細工したイメージを使った脆弱性が6件まとめて公表されました。イメージ内のrootfsへのシンボリックリンクを処理してしまう問題（CVE-2026-48749、CVSS 9.9）では、悪意のあるイメージを取り込んだホストで、ホスト側のファイルをroot権限で読み書きされ、任意のコマンドを実行されるおそれがあります。画像のハッシュを信頼してしまう問題（CVE-2026-48769、CVSS 9.9）もあり、こちらはクライアント側でroot権限の書き込みが起きます。6件のうちこの2件を含む3件は攻撃コードが公開されたとされています。修正版はIncus 7.2.0とLXDの4.0.11、5.0.7、5.21.5、6.9.0で、すでに7月から提供されています。信頼できないイメージを取り込まないことと、あわせて更新の確認を行ってください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-48749 出典：Canonical https://github.com/canonical/lxd/security/advisories/GHSA-vghh-5rfx-xhq8 ⑧ Craft CMS「Craft CMS」：ログインなしで管理者を奪われうるSQLインジェクション、4.18.9と5.11.2で修正（CVE-2026-123488、CVSS v3.1 9.8） 11月6日に公表された、ログインなしで狙えるSQLインジェクションの脆弱性です。要素の検索機能で、属性の指定値を検証せずにSQLへ組み込んでしまうため、ログインしていない攻撃者がデータベースを読み書きでき、管理者フラグの設定やパスワードハッシュの書き換えで管理者権限を奪われるおそれがあります。同じ版にはGraphQLのeager-loading経由のSQLインジェクション（CVE-2026-123491、CVSS v4.0 8.8）もあり、パスワードハッシュやセッショントークンを読み取られるおそれがあります。対象はCraft CMS 4.0.0から4.18.9未満と5.0.0から5.11.2未満で、修正版は4.18.9と5.11.2です。現時点で実際の悪用の報告は確認できていませんが、公開しているサイトは更新を急いでください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-123488 出典：Craft CMS https://github.com/craftcms/cms/security/advisories/GHSA-qcvp-ggx3-97r6 ⑨ AWS「Babelfish for PostgreSQL」：TDS処理のヒープバッファオーバーフローでOSコマンドを実行されうる脆弱性、4.10・5.6・6.1で修正（CVE-2026-119923、CVSS v3.1 9.8） TDSの事前ログイン処理のヒープバッファオーバーフローで、細工したパケットをTDSポートへ送ることで、遠隔の攻撃者にデータベースプロセスの権限でOSコマンドを実行されるおそれがあります。対象はBabelfish for PostgreSQL拡張の1.0〜1.5、2.1〜2.15、3.1〜3.12、4.0〜4.8、5.1〜5.4と、Babelfishを使うAmazon Aurora PostgreSQLです。修正版はBabelfish拡張の4.10、5.6、6.1以降で、Aurora側も各系列の修正版へ更新する必要があります。同じTDS処理には、認証済みの利用者が隣接するメモリを読み取れる範囲外読み取り（CVE-2026-119924、CVSS v3.1 8.1）もあり、あわせて修正されています。現時点で実際の悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-119923 出典：AWS https://aws.amazon.com/security/security-bulletins/2026-166-aws/ ⑩ AWS「Trusted Remote Execution」：サンプルのSSMドキュメントでroot権限のコマンド実行、作成済みドキュメントの削除が必要（CVE-2026-122193、CVSS v3.1 9.9） サンプルとして提供されたSSMドキュメントの作成スクリプトにOSコマンドインジェクションがあり、Rex-ROまたはRex-RWのSSMドキュメントを呼び出せる認証済みの利用者が、管理対象インスタンス上でroot権限で任意のコマンドを実行できてしまうおそれがあります。Cedarによるポリシーの強制もすり抜けてしまいます。対象は2026年7月28日より前にこのサンプルスクリプトで作られたRex-RO・Rex-RWのSSMドキュメントで、修正版の提供ではなく、作成済みのドキュメントの削除が求められています。各アカウントとリージョンで、サンプルから作ったドキュメントが残っていないかを確認してください。現時点で実際の悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-122193 出典：AWS https://aws.amazon.com/security/security-bulletins/2026-173-aws/ ⑪ Chartbrew「Chartbrew」：認証なしのSQLインジェクションやアカウント乗っ取りなど重大な脆弱性が複数、5.2.3で修正（CVE-2026-54349ほか、CVSS v3.1 9.8） 公開ダッシュボードのSQLインジェクション（CVE-2026-54349、CVSS v3.1 9.8）をはじめ、複数の重大な脆弱性がまとめて公表されました。認証なしでセッショントークンを偽造してアカウントを乗っ取られる問題（CVE-2026-85295、CVSS v3.1 9.8）や、管理用のキュー画面が認証なしで開けてしまう問題（CVE-2026-86005、CVSS v4.0 9.3）、API接続の設定から内部ネットワークへ到達されるSSRF（CVE-2026-68935、CVSS v3.1 9.1）も含まれます。対象はChartbrew 5.2.3未満で、修正版は5.2.1と5.2.3です。現時点で実際の悪用の報告は確認できていませんが、インターネットに公開している環境は更新を急いでください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-54349 出典：Chartbrew https://github.com/chartbrew/chartbrew/security/advisories/GHSA-qvv4-r3q6-8797 ⑫ IBM「IBM Aspera Faspex」：認可をすり抜けて管理者権限を奪われうる脆弱性、5.0.19 PL1で修正（CVE-2026-123218、CVSS v3.1 9.8） ファイル転送サービス「IBM Aspera Faspex」に、認可をすり抜けて管理者権限を奪われる脆弱性が11月7日に公表されました。認証済みの利用者が細工したメッセージを送ることで、利用者の認可を回避して管理者権限を得られてしまうおそれがあります。対象は5.0.0から5.0.19までで、修正版は5.0.19 PL1です。回避策はなく、IBMは速やかな更新を求めています。現時点で実際の悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-123218 出典：IBM https://www.ibm.com/support/pages/node/7295921 ⑬ payever「payever – WooCommerce Gateway」：ログインなしでファイルをアップロードされ、コードを実行されうる脆弱性、4.9.0で修正（CVE-2026-93754、CVSS v3.1 9.8） WooCommerceの決済プラグイン「payever – WooCommerce Gateway」に、ログインしていない攻撃者が任意のファイルをアップロードできる脆弱性が公表されました。認証や権限の確認がないAPIの処理で、ファイルの種類を確認する前に外部から取得したファイルを公開領域へ書き込んでしまうため、PHPファイルを実行させてサイトを乗っ取られるおそれがあります。対象は4.8.0までで、修正版は4.9.0です。現時点で実際の悪用の報告は確認できていませんが、決済に使っているサイトは更新を急いでください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-93754 出典：Wordfence https://www.wordfence.com/threat-intel/vulnerabilities/id/03412063-d73a-4c5c-8dc6-3e76a5d975a5 ⑭ Printcart「Printcart Store – Web to Print Product Designer for WooCommerce」：ログインなしでファイルをアップロードされ、コードを実行されうる脆弱性、2.13.3で修正（CVE-2026-19803、CVSS v3.1 9.8） WooCommerceの商品カスタマイズ用プラグイン「Printcart Store」に、ログインしていない攻撃者が任意のファイルをアップロードできる脆弱性が公表されました。デザインの切り抜き処理で、利用者が指定したURLを正規化せずにパスへ組み込んでしまうため、公開領域の外にPHPファイルを書き込まれ、実行されるおそれがあります。対象は2.13.2までで、修正版は2.13.3です。ただし、高度なアップロード画面の設定を有効にしている場合に限ります。現時点で実際の悪用の報告は確認できていませんが、該当する設定のサイトは更新を急いでください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-19803 出典：Wordfence https://www.wordfence.com/threat-intel/vulnerabilities/id/2525ed97-b701-4f95-8d8c-202e816723c5 ⑮ JetBrains「CLion」：セーフモードをすり抜けてコードを実行されうる脆弱性、2026.2と2026.1.4で修正（CVE-2026-123831／CVE-2026-123832、CVSS v3.1 9.6） セーフモードでもコードが実行されてしまう脆弱性が2件公表されました。Mesonプロジェクトの設定（CVE-2026-123831）とJSONコンパイルデータベース（CVE-2026-123832）の処理で、信頼できないプロジェクトを開いた利用者にコードを実行されてしまうおそれがあります。攻撃には利用者が細工したプロジェクトを開く操作が必要ですが、セーフモードは本来こうした実行を抑えるための機能のため、影響は大きくなっています。対象はCLion 2026.2未満で、修正版は2026.2と2026.1.4です。現時点で攻撃コードの公開や実際の悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-123831 出典：JetBrains https://www.jetbrains.com/privacy-security/issues-fixed/ ⑯ JupyterLab「JupyterLab Desktop」：細工したURLやノートブックのリンクでコードを実行されうる脆弱性、4.6.2-1で修正（CVE-2026-102530／CVE-2026-86044、CVSS v3.1 9.6） リモートサーバーへの接続画面でURLを安全に処理していないため、細工したURLを送信させられた利用者の画面でスクリプトが実行され、特権のあるプロセス間通信を悪用して利用者の権限で任意のコードを実行されてしまうおそれがあります。もう1件は、信頼できないノートブック内の細工したリンクをクリックすると、Jupyterサーバーのトークンが漏れてコードを実行される問題です（CVE-2026-86044、CVSS v3.1 9.6）。対象はJupyterLab Desktop 4.6.2-1未満で、修正版は4.6.2-1です。現時点で実際の悪用の報告は確認できていませんが、デスクトップアプリを使っている場合は更新を行ってください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-102530 出典：JupyterLab https://github.com/jupyterlab/jupyterlab-desktop/security/advisories/GHSA-vrj4-r4fw-9rfh ⑰ Symfony「Symfony」：YAMLパーサーの処理時間の問題でサービス拒否を起こされうる脆弱性、各系列の修正版で対応（CVE-2026-123792、CVSS v4.0 8.7） YAMLのパーサーに処理時間の問題があり、小さな細工したYAML文書を処理させるだけでPHPプロセスを数秒から数分占有され、サービス拒否を引き起こされるおそれがあります。ログインなしで狙える問題で、YAMLを外部から受け取る処理がある環境で影響します。対象はSymfony 5.4.56未満、6.4.50未満、7.4.23未満、8.1.11未満で、修正版は各系列の5.4.56、6.4.50、7.4.23、8.1.11です。現時点で実際の悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-123792 出典：Symfony https://github.com/symfony/symfony/security/advisories/GHSA-hwfg-qwvh-2wfx ■注意点 ・SonicWall SonicOS（CVE-2026-19868）は米CISAがKEVへ追加し、悪用が確認されています。SSLVPNでSAMLを使っている環境は、対応期限の11月20日を待たずに更新してください。 ・OpenSSH（CVE-2026-123158）は、ハニーポットでroot権限の奪取が確認されたと報告されました。Alpine Linuxなどでsshdを公開している環境は、OpenSSH 10.6p2への更新とsshdの再起動、またはパスワード認証の無効化を行ってください。 ・IBM API ConnectはCVSS 9.0以上の脆弱性を47件含む大規模な一括公表で、LXDとIncusも攻撃コードが公開されたCVSS 9.9の問題が6件まとめて公表されました。対象のバージョンを使っている場合は、修正版への更新を行ってください。 #脆弱性 #CVE #サイバーセキュリティ

🆕 New CVE: CVE-2026-118066 (CVSS 9.1) latepoint Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress · Authentication bypass Remote, no login needed. The Appointment Booking Plugin – LatePoint | Calendar & Scheduling for… https://app.enclave.ai/threat-feed/CVE-2026-118066

NewNormal Security turns CVEs since the previous batch into new detections, every day. 𝗗𝗮𝗶𝗹𝘆 𝗖𝗩𝗘 𝗥𝗲𝗽𝗼𝗿𝘁 — 8 Nov 2026 𝗔𝗱𝗱𝗲𝗱 to NewScan 𝘁𝗼𝗱𝗮𝘆: 📦 Unpatched single sign-on server — anonymous session-token theft, unsigned SAML assertions accepted (Open Identity Platform OpenAM CVE-2026-123551, CVE-2026-123550, CVE-2026-123538, CVE-2026-123553, CVE-2026-123543, CVE-2026-123542, CVE-2026-123545, CVE-2026-123552, CVE-2026-123537, CVE-2026-123536, CVE-2026-123541, CVE-2026-123546, CVE-2026-123547, CVE-2026-123548, CVE-2026-123539, CVE-2026-123540, CVE-2026-123544) 📦 Outdated WordPress booking plugin — anonymous password reset, account takeover (LatePoint CVE-2026-118066) 📦 Outdated Python web framework, now matched from its Server banner — static-file path traversal (Tornado CVE-2026-123534, CVE-2026-123535) Test your stack with NewScan — free, self-hosted: https://newnormalsecurity.com/newscan?utm_source=x&utm_medium=social&utm_campaign=daily-cve #infosec #AppSec #SAML #CSO #REDTEAM

LatePoint, a WordPress booking plugin used on 100,000+ sites, has a flaw (CVE-2026-118066) that lets an unauthenticated attacker overwrite a customer's password and take over the account. Affects versions up to 5.7.6. Update to 5.7.8, the current release. https://t.co/KUEmH9uLv5

LatePoint hands over a customer account to anyone who sends the literal string "IS NOT NULL" as a password reset token. 100,000+ sites. Found by Wordfence (@wordfence). No exploitation reported. https://severitydaily.com/latepoint-cve-2026-118066-9-1-is-not-null-sentinel-password-reset-token-customer-cabinet-change-password-lowest-id-customer-through-5-7-6-no-fixed-version-5-7-7-5-7-8-generic-changelog-deferred-no-cpe/