2026年5月30日 (金) 時点で、脆弱性 feed の過去24時間に 21件公開された (Critical 2 / High 4 / Medium 3 + Pre-CVE 12)。いずれも AI/認証/通信の中核ライブラリで、@workos-inc/node (WorkOS 公式 SDK、SSO/SAML/SCIM) の Improper Verification of Cryptographic Signature、@ai-sdk/provider-utils (Vercel AI SDK 内部) の Prototype Pollution、@livekit/protocol (WebRTC) の Cryptographic Downgrade。malware は過去24時間で 55件超 (unique) を確認し、生イベント計70件。今日の最大の新手法は captura-* の Native binary 系 6件 (Linux/Windows × x64/arm64 × musl/gnu/msvc の全プラットフォーム揃い) を1時間前に一括公開した点で、Node の native module (@scope/pkg-platform-arch パターン、e.g. @swc/core-linux-x64-gnu) を模倣しており、postinstall でアーキ別 binary を取得する構造が悪用される。並行して EPAM Systems 装い (@epambot/epam-videoportal-client)、Megamarket.ru 装い、オープンバンキング装い、@easy-entry/*、@shell-landing/* など企業ターゲット型 dependency confusion も継続観測。
| 項目 | 5/26 | 5/27 | 5/28 | 5/29 | 5/30 |
|---|---|---|---|---|---|
| Critical | 0 | 2 | 0 | 0 | 0 |
| High | 0 | 1 | 0 | 1 | 3 |
| Medium | 0 | 0 | 0 | 0 | 0 |
| Low | 0 | 0 | 0 | 0 | 0 |
| Pre-CVE | 0 | 3 | 0 | 1 | 3 |
| Malware (24h, unique) | 100+ | 46 | 100+ | 75+ | 55+ |
Malware は Show More 操作で 55 unique 取得。生イベント計70件 (重複バージョン含む)。レートリミット到達のため実数はさらに多い見込み。
脆弱性 (CVE Critical 2 / High 4 / Medium 3、Pre-CVE 12)
@workos-inc/node Improper Verification of Cryptographic Signature (AIKIDO-2026-10991) — WorkOS 公式 SDK で署名検証不備@ai-sdk/provider-utils Prototype Pollution (AIKIDO-2026-10990) — Vercel AI SDK の内部ユーティリティ@livekit/protocol Cryptographic Downgrade (AIKIDO-2026-10984) — LiveKit (WebRTC) プロトコルライブラリMalware
captura-* Native binary 6件 (1時間前一括公開) — captura-win32-x64-msvc, captura-win32-arm64-msvc, captura-linux-x64-gnu, captura-linux-arm64-gnu, captura-linux-x64-musl, captura-linux-arm64-musl。全 platform 揃いの malware (postinstall でアーキ自動選択する Node ネイティブモジュールの構造を模倣)fast-staged-win32-* 2件 + linersh-win32-x64 — 同時刻に同手法で公開@easy-entry/* 3件 v99.9.5 — routes, landing-routes, outside-registration-fop-navigator@shell-landing/routes / @shell-cabinet/routes (v99.9.5)@open-banking/cabinet-providers@999.9.5 — オープンバンキング系社内スコープ装い@epambot/epam-videoportal-client v3.1.9 / v3.1.10 / v3.1.14 — EPAM Systems (大手 IT サービス会社) 装い@welcome-onboarding-web/mobile-focus-account-beta-merging@4.28.7 — 極めて具体的な内部命名@colibri-event-types/megamarket-ru-web@5.2.8 — Megamarket.ru (ロシア大手 EC) 装い@help-forms/application-aff@3.4.3, @pyme-shared/auth, tailwind-glow-utilities@1.0.0@gbrlxvi/ts-form-utils 4版 (1.2.0 / 1.2.1 / 1.3.0 / 1.4.0)aicu-scanner 3版 (0.2.3 / 0.2.4 / 0.2.5)jingmeideshishi 3版 (1.0.0 / 1.0.1 / 1.0.2)customerdigital-ui-containers-lib, lodash-twist, helloworn, fast-staged-win32-x64@0.6.1-experimental.0captura-* 6件は Linux/Windows × x64/arm64 × musl/gnu/msvc の全プラットフォーム揃いで一括公開された。これは Node の native module (@scope/pkg-platform-arch パターン、e.g. @swc/core-linux-x64-gnu) を模倣しており、postinstall でアーキに応じた binary をダウンロードする構造が悪用される。package.json で optionalDependencies に platform-specific パッケージを並べてるプロジェクトは特に注意 — 似た命名のものが混ざっていないか確認@epambot/epam-videoportal-client, @colibri-event-types/megamarket-ru-web, @open-banking/cabinet-providers 等、明確に企業の内部開発を狙った命名が観測。自社の社内 npm scope と紛らわしい命名がないか改めて点検を@workos-inc/node は WorkOS 公式 SDK (SSO/SAML/SCIM)、@ai-sdk/provider-utils は Vercel AI SDK の内部、@livekit/protocol は LiveKit (Zoom/会議系 WebRTC) のプロトコル。いずれも認証境界・暗号通信の弱体化に直結。特に WorkOS SDK の署名検証不備は SSO/SAML 検証バイパスの可能性があり、影響度が高い。利用中のチームは Aikido からの patch version 通知を要監視Aikido Community Japan
公開日: 2026/5/30
最終更新: 2026/5/29