8/12(UTC)の観測は、Malware 168 unique(生193)、脆弱性はCVE/GHSA 28件(C1/H12/M13/L2)+Pre-CVE 19件。本日の観測では、マルウェア関連の検知が前日を上回り、直近の中でも高い水準に達した。あわせて脆弱性情報が多数別掲されており、総合的に警戒度の高い一日となった。
マルウェア 168 / Critical 1 / High 12 / 脆弱性合計 28 / pre-CVE 19
エコシステム(生): npm 188 / firefox 3 / pypi 2
🚨 共通接頭辞「@years19」の名称を 25 パッケージで観測
🚨 共通接頭辞「@years18」の名称を 25 パッケージで観測
🚨 共通接頭辞「@years17」の名称を 10 パッケージで観測
🚨 共通接頭辞「@years20」の名称を 7 パッケージで観測
🚨 共通接頭辞「@bobfrankston」の名称を 6 パッケージで観測
| 区分 | 8/8 | 8/9 | 8/10 | 8/11 | 8/12 |
|---|---|---|---|---|---|
| Critical | 2 | 1 | 6 | 4 | 1 |
| High | 5 | 0 | 30 | 20 | 12 |
| Medium | 4 | 0 | 36 | 25 | 13 |
| Low | 2 | 0 | 22 | 6 | 2 |
| Pre-CVE | 0 | 0 | 15 | 6 | 19 |
| Malware unique | 113 | 44 | 64 | 78 | 168 |
過去日は前号確定値(DB)を再掲。データ日=2026-08-12。
| パッケージ | 言語 | ID | 深刻度 | スコア | 内容 | 修正版 |
|---|---|---|---|---|---|---|
| serena-agent | PYTHON | AIKIDO-2026-365704 / GHSA-pp25-4cg4-qcr9 | Critical | 96 | Server-Side Template Injection (SSTI) | 1.7.0 |
| dspy | PYTHON | AIKIDO-2026-431839 / CVE-2026-72742 | High | 86 | Arbitrary File Read | 3.3.0 |
| keycloak-services | JAVA | AIKIDO-2026-930855 / CVE-2026-16102 | High | 85 | Privilege Escalation | 26.7.1 |
| style-dictionary | JS | AIKIDO-2026-580810 / GHSA-xmr7-549p-98w3 | High | 84 | Prototype Pollution | 5.5.1 |
| keycloak-services | JAVA | AIKIDO-2026-746025 / CVE-2026-15572 | High | 82 | Privilege Escalation | 26.7.1 |
| http4k-security-digest | JAVA | AIKIDO-2026-149241 / CVE-2026-54148 | High | 81 | Authentication Bypass by Capture-replay | 4.51.0.0 / 5.42.0.0 / 6.50.0.0 |
| easycorp/easyadmin-bundle | PHP | AIKIDO-2026-56487 / GHSA-g2fm-8hr4-j82h | High | 81 | Authorization Bypass | 4.29.16 / 5.5.1 |
| avo | RUBY | AIKIDO-2026-597928 / GHSA-49qj-7hqj-6whp | High | 81 | Insecure Direct Object Reference (IDOR) | 3.32.2 / 4.1.5 |
| @softeria/ms-365-mcp-server | JS | AIKIDO-2026-386947 / GHSA-9w34-3f56-vwmh | High | 78 | Code Injection | 0.137.0 |
| keycloak-common | JAVA | AIKIDO-2026-305512 / CVE-2026-15573 | High | 76 | Authorization Bypass | 26.7.1 |
| openresty | OS | AIKIDO-2026-593205 / CVE-2026-55233 | High | 75 | Out-of-bounds Write | 1.29.2.5 |
| django-cms | PYTHON | AIKIDO-2026-901803 / GHSA-vwcw-r26r-22cc | High | 72 | Privilege Escalation | 5.0.10 / 5.1.1 |
| redisearch.redisearch | C++ | AIKIDO-2026-675182 / CVE-2024-51737 | High | 70 | Heap-based Buffer Overflow | 2.6.24 / 2.8.21 / 2.10.10 |
| パッケージ | 言語 | 件数 | 内訳 | スコア | 修正版 |
|---|---|---|---|---|---|
| keycloak-services | JAVA | 4 | M4 | 〜65 | 26.7.1 |
| kimai/kimai | PHP | 2 | M1/L1 | 〜53 | 2.62.0 |
| http4k-security-digest | JAVA | 1 | M1 | 〜65 | 4.51.0.0 / 5.42.0.0 / 6.50.0.0 |
| django-cms | PYTHON | 1 | M1 | 〜65 | 5.0.10 / 5.1.1 |
| apache-airflow-providers-microsoft-azure | PYTHON | 1 | M1 | 〜63 | 14.1.0 |
| kedro-datasets | PYTHON | 1 | M1 | 〜59 | 9.5.0 |
| psd-tools | PYTHON | 1 | M1 | 〜55 | 1.18.0 |
| compressing | JS | 1 | M1 | 〜53 | 1.10.6 / 2.1.2 |
| @conventional-changelog/git-client | JS | 1 | M1 | 〜48 | 3.1.2 |
| rhukster/dom-sanitizer | PHP | 1 | M1 | 〜47 | 1.0.13 |
| github.com/moby/buildkit | GO | 1 | L1 | 〜35 | 0.31.2 |
Pre-CVE:
| パッケージ | 言語 | ID | 深刻度 | スコア | 内容 | 修正版 |
|---|---|---|---|---|---|---|
| @chat-adapter/x | JS | AIKIDO-2026-300100 | Pre-CVE | 75 | Authentication Bypass | 4.37.0 |
| ultralytics-opencv-headless | PYTHON | AIKIDO-2026-297109 | Pre-CVE | 75 | Command Injection | 8.4.117 |
| @zone-eu/mailsplit | JS | AIKIDO-2026-785486 | Pre-CVE | 65 | MIME Boundary Smuggling | 5.4.15 |
| chat | JS | AIKIDO-2026-742388 | Pre-CVE | 63 | Improper Authorization | 4.37.0 |
| bundler | RUBY | AIKIDO-2026-290331 | Pre-CVE | 62 | Path Traversal | 4.0.18 |
| archery | RUST | AIKIDO-2026-601725 | Pre-CVE | 59 | Type Confusion | 1.2.3 |
| mammoth | PYTHON | AIKIDO-2026-300739 | Pre-CVE | 59 | Path Traversal | 1.12.1 |
| smarter_csv | RUBY | AIKIDO-2026-793789 | Pre-CVE | 59 | Out-of-bounds Read | 1.19.0 |
| moka | RUST | AIKIDO-2026-989333 | Pre-CVE | 59 | Uncontrolled Resource Consumption | 0.12.16 |
| WolverineFx.MySql | DOTNET | AIKIDO-2026-911016 | Pre-CVE | 59 | Information Disclosure | 6.24.8 |
| @chat-adapter/gchat | JS | AIKIDO-2026-602867 | Pre-CVE | 59 | Authentication Bypass | 4.37.0 |
| mammoth | PYTHON | AIKIDO-2026-190935 | Pre-CVE | 53 | Uncontrolled Recursion | 1.12.1 |
| nostr-relay-pool | rust | AIKIDO-2026-992237 | Pre-CVE | 50 | Use of Unmaintained Third Party Components | - |
| sevenz-rust | rust | AIKIDO-2026-218655 | Pre-CVE | 50 | Use of Unmaintained Third Party Components | - |
| sized-chunks | rust | AIKIDO-2026-773791 | Pre-CVE | 50 | Use of Unmaintained Third Party Components | - |
| smartstring | rust | AIKIDO-2026-705173 | Pre-CVE | 50 | Use of Unmaintained Third Party Components | - |
| im-rc | rust | AIKIDO-2026-111772 | Pre-CVE | 50 | Use of Unmaintained Third Party Components | - |
| im | rust | AIKIDO-2026-230348 | Pre-CVE | 50 | Use of Unmaintained Third Party Components | - |
| bitmaps | rust | AIKIDO-2026-933069 | Pre-CVE | 50 | Use of Unmaintained Third Party Components | - |
共通接頭辞別の観測数(3件以上): @years19 25・@years18 25・@years17 10・@years20 7・@bobfrankston 6
内部システムや組織インフラを想起させる共通接頭辞を持つパッケージ群がまとまって観測されており、標的組織の開発環境や内部ツールを意識した命名戦略が取られている可能性がある。また、一般的なタイポスクワットも引き続き確認されており、攻撃者が依然として多様な混入経路を試みていることがうかがえる。単一のキャンペーンか複数の独立した試みかは現時点では断言できないが、組み合わさった動向として注視が必要だ。
前日(8/11)のMalware uniqueは78、当日(8/12)は168(直近5日で最大)。マルウェアの検知水準は直近数日の中でも高い位置に達しており、短期的な増加傾向が継続している。一時的な落ち着きを経て再び上昇した形となっており、引き続き推移を注視したい。
Aikido Community Japan
公開日: 2026/8/12
最終更新: 2026/8/12