8/11(UTC)の観測は、Malware 78 unique(生100)、脆弱性はCVE/GHSA 55件(C4/H20/M25/L6)+Pre-CVE 6件。本日の観測では、内部システムを想起させる共通接頭辞を持つパッケージ群がまとまって確認されたほか、既存パッケージ名に類似したtyposquatも検出された。脆弱性については多数の件数が別掲されており、引き続き広範な注意が求められる。
マルウェア 78 / Critical 4 / High 20 / 脆弱性合計 55 / pre-CVE 6
エコシステム(生): npm 76 / pypi 13 / vscode 5 / firefox 5 / golang 1
🚨 共通接頭辞「@bobfrankston」の名称を 6 パッケージで観測
🚨 共通接頭辞「bs58」の名称を 6 パッケージで観測
🚨 共通接頭辞「base65」の名称を 6 パッケージで観測
🚨 共通接頭辞「@hopper-ui」の名称を 3 パッケージで観測
| 区分 | 8/7 | 8/8 | 8/9 | 8/10 | 8/11 |
|---|---|---|---|---|---|
| Critical | 1 | 2 | 1 | 6 | 4 |
| High | 7 | 5 | 0 | 30 | 20 |
| Medium | 8 | 4 | 0 | 36 | 25 |
| Low | 6 | 2 | 0 | 22 | 6 |
| Pre-CVE | 1 | 0 | 0 | 15 | 6 |
| Malware unique | 200 | 113 | 44 | 64 | 78 |
過去日は前号確定値(DB)を再掲。データ日=2026-08-11。
| パッケージ | 言語 | ID | 深刻度 | スコア | 内容 | 修正版 |
|---|---|---|---|---|---|---|
| main_3 | JAVA | AIKIDO-2026-824110 / GHSA-m2pw-22cj-jq4v | Critical | 98 | Remote Code Execution | 2.0.6 |
| main_2.12 | JAVA | AIKIDO-2026-191613 / GHSA-m2pw-22cj-jq4v | Critical | 98 | Remote Code Execution | 1.12.15 |
| @circleci/mcp-server-circleci | JS | AIKIDO-2026-243497 / GHSA-xv5j-cwgj-22r4 | Critical | 95 | Improper Authentication | 0.19.2 |
| openam-entitlements | JAVA | AIKIDO-2026-882208 / CVE-2026-63468 | Critical | 91 | Remote Code Execution | 16.1.2 |
| @circleci/mcp-server-circleci | JS | AIKIDO-2026-64772 / GHSA-4pxc-9x5p-39fc | High | 88 | Path Traversal | 0.19.1 |
| openssl | OS | AIKIDO-2026-722568 / CVE-2025-15467 | High | 88 | Out-of-bounds Write | 3.6.1 / 3.5.5 / 3.4.4 ほか |
| openam-core | JAVA | AIKIDO-2026-238020 / CVE-2026-63488 | High | 86 | LDAP Injection | 16.1.2 |
| smol-toml | JS | AIKIDO-2026-768164 / GHSA-7w5x-hrqm-74c2 | High | 82 | Denial of Service (DoS) | 1.7.1 |
| simplesamlphp/saml2 | PHP | AIKIDO-2026-375167 / GHSA-r7hw-jx6r-756g | High | 81 | Authentication Bypass | 6.2.4 |
| craftcms/feed-me | PHP | AIKIDO-2026-270050 / GHSA-xhcc-j4vq-7qvh | High | 77 | Server-Side Request Forgery (SSRF) | 6.14.0 |
| protobuf | C++ | AIKIDO-2026-992567 / CVE-2024-2410 | High | 76 | Use-After-Free | 4.25.0 |
| lightrag-hku | PYTHON | AIKIDO-2026-588943 / GHSA-r8jh-295g-vv42 | High | 75 | Uncontrolled Resource Consumption | 1.5.6 |
| lightrag-hku | PYTHON | AIKIDO-2026-93270 / GHSA-26pm-px5v-8c4w | High | 75 | Uncontrolled Resource Consumption | 1.5.6 |
| craftcms/feed-me | PHP | AIKIDO-2026-750197 / GHSA-r7f2-vrpq-8xhm | High | 75 | Remote Code Execution (RCE) | 6.14.0 |
| league/commonmark | PHP | AIKIDO-2026-319775 / GHSA-j8pm-gj4c-rq4x | High | 75 | Denial of Service (DoS) | 2.9.1 |
| league/commonmark | PHP | AIKIDO-2026-676279 / GHSA-jjv6-8j6v-6j52 | High | 75 | Denial of Service (DoS) | 2.9.1 |
| SIPSorcery | DOTNET | AIKIDO-2026-302152 / GHSA-jwjp-4649-v8jp | High | 75 | Denial of Service (DoS) | 10.0.14 |
| SIPSorcery | DOTNET | AIKIDO-2026-429832 / GHSA-pfvm-w89x-94jw | High | 75 | Denial of Service (DoS) | 10.0.14 |
| python-liquid | PYTHON | AIKIDO-2026-428396 / GHSA-p96j-3hvr-2h7f | High | 75 | Path Traversal | 2.3.1 |
| picows | PYTHON | AIKIDO-2026-820211 / GHSA-583m-hcmv-qpq9 | High | 75 | Out-of-bounds Write | 2.1.2 |
| tornado | PYTHON | AIKIDO-2026-380869 / GHSA-mpf4-983q-p7j4 | High | 75 | Denial of Service (DoS) | 6.5.8 |
| openam-core | JAVA | AIKIDO-2026-50354 / CVE-2026-63463 | High | 73 | Server-Side Request Forgery (SSRF) | 16.1.2 |
| league/commonmark | PHP | AIKIDO-2026-280543 / GHSA-f8fg-pg57-v4j8 | High | 72 | Cross-Site Scripting (XSS) | 2.9.1 |
| openam-entitlements | JAVA | AIKIDO-2026-308968 / CVE-2026-63487 | High | 71 | LDAP Injection | 16.1.2 |
| パッケージ | 言語 | 件数 | 内訳 | スコア | 修正版 |
|---|---|---|---|---|---|
| github.com/moby/buildkit | GO | 6 | M4/L2 | 〜62 | 0.31.2 |
| uu_mv | RUST | 3 | M2/L1 | 〜47 | 0.9.0 |
| fpdf2 | PYTHON | 2 | M2 | 〜65 | 2.8.8 |
| ash | ELIXIR | 2 | M1/L1 | 〜59 | 3.31.1 |
| tornado | PYTHON | 2 | M1/L1 | 〜53 | 6.5.8 |
| mail-parser | PYTHON | 1 | M1 | 〜65 | 4.6.0 |
| openam-certs | JAVA | 1 | M1 | 〜65 | 16.1.2 |
| pydantic-ai-slim | PYTHON | 1 | M1 | 〜65 | 1.107.2 / 2.24.0 |
| fastcsv | JAVA | 1 | M1 | 〜63 | 4.4.0 |
| uu_touch | RUST | 1 | M1 | 〜63 | 0.10.0 |
| apache-airflow-providers-yandex | PYTHON | 1 | M1 | 〜58 | 4.5.1 |
| apache-airflow-providers-amazon | PYTHON | 1 | M1 | 〜58 | 9.34.0 |
| postgrex | ELIXIR | 1 | M1 | 〜58 | 0.22.4 |
| openam-rest | JAVA | 1 | M1 | 〜54 | 16.1.2 |
| lightrag-hku | PYTHON | 1 | M1 | 〜53 | 1.5.6 |
| SIPSorcery | DOTNET | 1 | M1 | 〜53 | 10.0.14 |
| uu_cp | RUST | 1 | M1 | 〜50 | 0.10.0 |
| openam-oauth2 | JAVA | 1 | M1 | 〜48 | 16.1.2 |
| uucore | RUST | 1 | M1 | 〜44 | 0.10.0 |
| @circleci/mcp-server-circleci | JS | 1 | M1 | 〜44 | 0.18.0 |
| n8n-mcp | JS | 1 | L1 | 〜31 | 2.69.0 |
Pre-CVE:
| パッケージ | 言語 | ID | 深刻度 | スコア | 内容 | 修正版 |
|---|---|---|---|---|---|---|
| huggingface-hub | PYTHON | AIKIDO-2026-272899 | Pre-CVE | 63 | Information Disclosure | 1.25.1 |
| @docsearch/sidepanel-js | JS | AIKIDO-2026-269220 | Pre-CVE | 61 | Cross-Site Scripting (XSS) | 4.7.0 |
| @docsearch/js | JS | AIKIDO-2026-460419 | Pre-CVE | 61 | Cross-Site Scripting (XSS) | 4.7.0 |
| @docsearch/react | JS | AIKIDO-2026-681992 | Pre-CVE | 61 | Cross-Site Scripting (XSS) | 4.7.0 |
| lru | RUST | AIKIDO-2026-671914 | Pre-CVE | 59 | Use-After-Free | 0.18.2 |
| braintree | RUBY | AIKIDO-2026-608659 | Pre-CVE | 59 | Path Traversal | 4.40.0 |
共通接頭辞別の観測数(3件以上): @bobfrankston 6・bs58 6・base65 6・@hopper-ui 3
内部システム風の命名を用いる手口は、開発者や自動化パイプラインが信頼済みの内製ツールと誤認しやすく、依存関係への混入を狙った可能性が考えられる。ただし今回まとまって観測された接頭辞群が単一のキャンペーンによるものかは現時点では断定できない。typosquatについても引き続き継続的な監視と照合が望ましい。
前日(8/10)のMalware uniqueは64、当日(8/11)は78。マルウェアの検出傾向は前日と比較して増加しており、依存関係を狙った供給チェーン攻撃の試みが引き続き活発な状況が続いている。短期的な推移を踏まえると、監視の緩みが生じやすい時間帯や自動処理の境界点に対して特段の警戒を維持することが重要である。
Aikido Community Japan
公開日: 2026/8/11
最終更新: 2026/8/11