数字
| 区分 | 8/1 | 8/2 | 8/3 | 8/4 | 8/5 |
|---|
| Critical | 0 | 0 | 2 | 2 | 1 |
| High | 0 | 0 | 19 | 10 | 21 |
| Medium | 0 | 0 | 26 | 9 | 9 |
| Low | 0 | 0 | 4 | 0 | 5 |
| Pre-CVE | 0 | 0 | 5 | 10 | 10 |
| Malware unique | 62 | 277 | 42 | 194 | 925 |
過去日は前号までの確定値を再掲(フィードからの再集計はしない)。8/4の脆弱性は前号時点でフィード停滞による暫定ゼロだったが、2026-08-06 07:5x JST の再取得で停滞解消を確認し、計31件(CVE/GHSA 21件=C2/H10/M9/L0、Pre-CVE 10件)へ遡及確定(本表に反映済)。8/5の集計は 2026-08-06 07:15〜08:10 JST。Malware フィードは1クエリ1,000行の上限に達したため、検索分割(英数字・記号パーティション)で全量を回収した(生1,075行)。集計時点のフィード最新検出は 8/5 18:41 UTC。
新規観測（事実のみ）
脆弱性（8/5 公開、計46件）
CVE/GHSA 36件(Critical 1・High 21・Medium 9・Low 5)。言語別(Pre-CVE含む46件): JAVA 15・PYTHON 11・JS 10・PHP 7・GO/DOTNET/RUST 各1。
- @aws-amplify/codegen-ui-react [JS] CVE-2026-18245 Critical 90(Code Injection)
- BouncyCastle 一斉修正 [JAVA] 15件: bcpkix-jdk18on(CVE-2026-59642/59639/12802/59647/15055)・bcpg-jdk18on(CVE-2026-59649/59643/59640/12817)・bcmail/bcjmail(CVE-2026-59641 証明書検証不備)・bctls-jdk15on(CVE-2026-59638/59646)・bcprov-jdk18on(CVE-2026-13586)。8/4公開の bctls 5アーティファクト分と合わせ2日間で Java 20件
- django [PYTHON] CVE-2026-15307 High 82(Arbitrary File Write)
- langflow [PYTHON] GHSA-9fpm-3445-2vx4 High 88(Code Injection)
- better-auth [JS] CVE-2026-67336 High 78(Insecure Cryptographic Defaults)
- league/commonmark [PHP] 6件(DoS 4・XSS 2)
- @bbob/html・@bbob/preset-html5 [JS] CVE-2026-68550 High 73(XSS)
- code.vikunja.io/api [GO] CVE-2026-68582 High 72(Authorization Bypass)
- ほか marimo・h2・cbor2・@mikro-orm系3件・dompurify(Low 31、XSS)・mpxj
Pre-CVE 10件: AI/MLスタックに集中 — gluonts High 78(Insecure Deserialization)・openhands-agent-server High 81(Binding to an Unrestricted IP Address)・faiss-cpu・nltk・pydantic-ai-slim、ほか nx(Command Injection)・enhanced-resolve・libwebrtc[RUST]・StackExchange.Redis.Extensions.Core[DOTNET]・symfony/mailer。
8/4分の遡及確定(計31件): CVE/GHSA 21件=C2/H10/M9/L0(Critical: @a2ui/web_core 93 XSS・@fastify/aws-lambda CVE-2026-18248 91 認証バイパス。bctls 5アーティファクト×2CVE・gradio 2件・ludwig・datamodel-code-generator・lightrag-hku・simplesamlphp/xml-common・csv-parse・jsoup・encore.dev)、Pre-CVE 10件(keras 3件・ipython 2件・openhands系3件・structured-clone-es・symfony/console)。約24〜48時間遅れの公開時刻付き遡及反映で、7/29-30・8/3に続く停滞パターン3回目。
Malware（8/5 検出、925 unique／生1,075）
エコシステム内訳(生): npm 1,040・pypi 9・firefox 8・maven 5・cargo 5・packagist 4・edge 2・vscode 2。unique では npm 908・pypi 9・firefox 3・maven/cargo/packagist/edge/vscode 各1。本シリーズ観測で最大(これまでの最大は 7/30 の281)。検出は 13時UTC台に742行が集中する一斉投入型。
- T-Bank(旧Tinkoff)系内部名クラスタ第3波: 540 unique(生560)。bnpl系168・dolyame系137・boxy系72(boxy-adapter-tramvai 等 tramvai 連携名を含む)・checkout系68・tinkoff-冠16・statist系11・cardsmobile系8・eacq/sme-/deposits/twork/fb-hr-sites/eventea ほか。8/2(第1波)と同型の命名で規模は約1.7倍
- 他の企業内部名群: 265 unique — devplatform系111・bigops系68・claims系46・bpm-foundation系25・beaver-ui系15(8/1のbeaver-ui系13pkgの再来)。8/2 T-Bank→8/4 @servicetitan/@ornikar に続き、内部名まるごと投入が4営業日連続
- ハードウェアウォレット・暗号資産クラスタ: 36 unique(npm 28・pypi 8)。trezor-lib・ledger-lib・ckcc-protocol・hwi-lib と、pypi著名名のnpm出品(python-bitcoinlib・bip32-js 等)=従来のnpm→pypi横展開の逆方向。@zzzcrypto 5pkg(etherjs・playwrite 等 typosquat 混在)、polymarket系3pkg、pypi側は bip39-py・bitcoinlib-py・solana-sniper-bot 等
- @bobfrankston 継続: 3pkg(mailx-imap・rmfmail に加え miscinfo が新規)。8/1(9pkg)・8/2(5pkg)から継続
- その他: tailwind系3種(tailwind-hide-scrollbar 4版・tailwindcss-scrollbar-hide 3版・tailwindcss-form-components)・dlab_workshop 8版・aws-sdk-v4・async-mutex-lock・docker-api-client・@workoscalif/sudoku 4版。npm外は firefox eoffice-notes-summarizer 6版・maven io.github.davidtimur:c2-lab 5版・cargo momus-fuzz 5版・edge 拡張1件・vscode BLSoftworks.FocusDeck
注意点（3つ）
- 企業内部名の全量dependency confusionが常態化: 8/5の925 uniqueのうち約805(87%)が企業内部名系。自組織の内部パッケージ名はスコープを公開レジストリで確保し、ビルド設定で社内レジストリを scoped registry として固定(名前解決の優先順位に依存しない構成)しているか確認を。
- 暗号資産・ハードウェアウォレット利用者/開発者: trezor/ledger/coldcard(ckcc)/hwi の公式ライブラリ名を騙るnpmパッケージと、pypi著名名のnpm出品が同日に投入された。インストール時はエコシステムと配布元の一致確認を(pypiの名前をnpmで見たら疑う)。
- BouncyCastle 利用の Java プロジェクト: bctls/bcpkix/bcpg/bcmail/bcprov に2日間で20件(証明書検証不備・署名検証不備・DoS等、High多数)。django CVE-2026-15307(Arbitrary File Write)・@aws-amplify/codegen-ui-react(Critical、Code Injection)と合わせ、依存更新を。
連続性メモ
- 8/1: MW62(遡及確定済)。@bobfrankston 9pkg・beaver-ui系13pkg・test-dev系8pkg・approval-guardian 10版ほか
- 8/2: MW277(遡及確定済)。T-Bank系内部名クラスタ第1波(tinkoff-冠67・statist系27・twork系22+dolyame/bnpl/checkout等)・@bobfrankston 5pkg・Firefox拡張6件
- 8/3: 脆弱性56件(遡及確定済、JWT/認証系7件集中・python-statemachine Critical 91)・MW42(フィード遡及削除は採用せず公開値維持)
- 8/4: MW194(npm生300、@servicetitan 141pkg一斉・@ornikar 42pkg)。脆弱性は本号で暫定ゼロ→計31件(C2/H10/M9/L0/Pre10)へ遡及確定(停滞パターン3回目)
- 8/5: MW925 unique/生1,075でシリーズ最大。T-Bank系第3波540・他社内部名群265・HWウォレット/暗号資産36・@bobfrankston 3pkg継続。脆弱性46件(BouncyCastle 15件・@aws-amplify Critical)。CVEフィード停滞は 8/6 07:5x JST 解消確認。Malwareフィードの1クエリ上限1,000行を検索分割で回避して全量回収