脆弱性情報（11/7時点） ・Craft CMS（CVE-2026-123488、9.8） ・Babelfish for PostgreSQL／Aurora（CVE-2026-119923、9.8） ・ManageEngine Log360／EventLog Analyzer（CVE-2026-13594、9.1） ・JetBrains CLion／Hub（CVE-2026-123831ほか、9.6） Craft CMSに認証不要のSQLインジェクション（CVE-2026-123488、CVSS 9.8）。要素検索の属性パラメータがそのままSQLに渡され、DBの読み書きが可能に。管理者フラグの書き換えやパスワードハッシュの上書きで、管理者権限の奪取につながる。対象は4.0.0〜4.18.8、5.0.0〜5.11.1。修正は4.18.9／5.11.2で出ているので、公開サイトは早めの更新を。 Babelfish for PostgreSQLとAurora PostgreSQLにヒープバッファオーバーフロー（CVE-2026-119923、CVSS 9.8）。TDSプリログインのパーサーの不具合で、細工したパケットをTDSポート（既定1433）に送ると、DBプロセスの権限で任意のOSコマンド実行が可能に。修正はBabelfish 4.10／5.6／6.1以降、Auroraは対応バージョンへ。応急処置としてTDSポートへの到達制限も。 ManageEngine Log360／EventLog Analyzerにアクセス制御の不備（CVE-2026-13594、CVSS 9.1）。認証なしで製品へ不正アクセスできる。対象はビルド13062以前。あわせてKey Manager PlusやPAM360など計11件の修正がZohoから出ており、Log Forward経由の認証済みRCE（CVE-2026-8923、8.7）も含まれる。ビルド13071以降への更新を。 JetBrains CLionにセーフモードでのコード実行（CVE-2026-123831／123832、CVSS 9.6）。細工したMeson設定やJSONコンパイルDBを開くと実行されてしまう。対象は2026.2／2026.1.4より前。Hubにも認証フローでの権限昇格（CVE-2026-123294、9.6、修正2026.2.52556）。開発ツールも「信頼できないプロジェクトを開かない」が基本。今日は4件、どれも修正が出ているので更新の確認を。