8/14(UTC)の観測は、Malware 70 unique(生97)、脆弱性はCVE/GHSA 30件(C2/H14/M12/L2)+Pre-CVE 3件。本日の観測では、内部システムを想起させる共通の接頭辞パターンを持つパッケージ群がまとまって確認されたほか、一般的なtyposquatの手法による不審パッケージも検出された。脆弱性については別掲のとおり複数件が報告されており、引き続き注意が必要な状況にある。
マルウェア 70 / Critical 2 / High 14 / 脆弱性合計 30 / pre-CVE 3
エコシステム(生): npm 90 / firefox 6 / vscode 1
🚨 共通接頭辞「@hopper-ui」の名称を 3 パッケージで観測
🚨 共通接頭辞「redux」の名称を 3 パッケージで観測
🚨 共通接頭辞「elf」の名称を 3 パッケージで観測
| 区分 | 8/10 | 8/11 | 8/12 | 8/13 | 8/14 |
|---|---|---|---|---|---|
| Critical | 6 | 4 | 1 | 5 | 2 |
| High | 30 | 20 | 12 | 18 | 14 |
| Medium | 36 | 25 | 13 | 20 | 12 |
| Low | 22 | 6 | 2 | 13 | 2 |
| Pre-CVE | 15 | 6 | 19 | 3 | 3 |
| Malware unique | 64 | 78 | 168 | 75 | 70 |
過去日は前号確定値(DB)を再掲。データ日=2026-08-14。
| パッケージ | 言語 | ID | 深刻度 | スコア | 内容 | 修正版 |
|---|---|---|---|---|---|---|
| github.com/kubeflow/hub | GO | AIKIDO-2026-917323 / CVE-2026-63631 | Critical | 99 | Missing Authorization | 0.3.12 |
| sglang | PYTHON | AIKIDO-2026-312871 / CVE-2026-14890 | Critical | 91 | Deserialization of Untrusted Data | 0.5.15 |
| @xmldom/xmldom | JS | AIKIDO-2026-370943 / GHSA-g53g-w8rj-fmg7 | High | 87 | Regular Expression Denial of Service (ReDoS) | 0.9.11 |
| @xmldom/xmldom | JS | AIKIDO-2026-814651 / GHSA-w2rr-34g9-rvrj | High | 87 | XML Injection | 0.9.11 / 0.8.14 |
| @xmldom/xmldom | JS | AIKIDO-2026-784472 / GHSA-4w3w-2rp5-g8jm | High | 87 | XML Injection | 0.9.11 / 0.8.14 |
| github.com/kubeflow/hub | GO | AIKIDO-2026-22107 / CVE-2026-71860 | High | 84 | Incorrect Authorization | 0.3.12 |
| apache-airflow-providers-google | PYTHON | AIKIDO-2026-838718 / CVE-2026-49297 | High | 81 | Path Traversal | 22.2.1 |
| mail-parser | PYTHON | AIKIDO-2026-577126 / GHSA-72px-j8gh-p79x | High | 75 | Improper Verification of Data Authenticity | 4.6.2 |
| mail-parser | PYTHON | AIKIDO-2026-161944 / GHSA-78xv-5vfh-jh5q | High | 75 | Denial of Service (DoS) | 4.6.2 |
| ash | ELIXIR | AIKIDO-2026-33375 / CVE-2026-67579 | High | 75 | SQL Injection | 3.31.3 |
| cel | RUST | AIKIDO-2026-764298 / GHSA-rjfc-c5r6-rqj7 | High | 75 | Denial of Service (DoS) | 0.14.2 |
| @fastify/busboy | JS | AIKIDO-2026-258789 / CVE-2026-19484 | High | 75 | Denial of Service (DoS) | 3.2.1 |
| @fastify/busboy | JS | AIKIDO-2026-87401 / CVE-2026-19481 | High | 75 | Denial of Service (DoS) | 3.2.1 |
| Microsoft.IdentityModel.Tokens.Saml | DOTNET | AIKIDO-2026-897044 / CVE-2026-50653 | High | 75 | Denial of Service (DoS) | 5.7.1 / 7.7.3 / 8.19.2 |
| flightphp/core | PHP | AIKIDO-2026-544773 / GHSA-vr9m-jx6f-hhj6 | High | 75 | Authorization Bypass | 3.19.1 |
| league/commonmark | PHP | AIKIDO-2026-550503 / GHSA-8rr7-cvq3-gmfh | High | 75 | Denial of Service (DoS) | 2.10.0 |
| パッケージ | 言語 | 件数 | 内訳 | スコア | 修正版 |
|---|---|---|---|---|---|
| nicegui | PYTHON | 2 | M2 | 〜61 | 3.16.0 |
| repomix | JS | 2 | M1/L1 | 〜55 | 1.18.0 |
| allure-commandline | JAVA | 2 | M2 | 〜50 | 2.45.0 |
| baseline-browser-mapping | JS | 1 | M1 | 〜66 | 2.11.0 |
| mail-parser | PYTHON | 1 | M1 | 〜65 | 4.6.2 |
| apache-airflow-providers-google | PYTHON | 1 | M1 | 〜65 | 22.3.0 |
| cesanta.mongoose | C++ | 1 | M1 | 〜65 | 7.22 |
| @tinyhttp/app | JS | 1 | M1 | 〜61 | 3.0.11 |
| Microsoft.OpenApi.YamlReader | DOTNET | 1 | M1 | 〜53 | 2.12.0 / 3.10.0 |
| Microsoft.OpenApi.Readers | DOTNET | 1 | M1 | 〜53 | 1.6.30 |
| @tinyhttp/cookie-signature | JS | 1 | L1 | 〜37 | 2.1.2 |
Pre-CVE:
| パッケージ | 言語 | ID | 深刻度 | スコア | 内容 | 修正版 |
|---|---|---|---|---|---|---|
| stripe | RUBY | AIKIDO-2026-111102 | Pre-CVE | 54 | Information Disclosure | 19.5.0 |
| highlight.js | JS | AIKIDO-2026-456719 | Pre-CVE | 53 | Regular Expression Denial of Service (ReDoS) | 11.12.0 |
| nltk | PYTHON | AIKIDO-2026-61660 | Pre-CVE | 53 | Regular Expression Denial of Service (ReDoS) | 3.10.1 |
共通接頭辞別の観測数(3件以上): @hopper-ui 3・redux 3・elf 3
内部システム風の命名規則を模した接頭辞がまとまって観測されたことは、特定の開発環境や企業内名前空間を意識した標的選定の可能性を示唆しているが、単一の主体やキャンペーンによるものとは断定できない。typosquatについては依然として定番の手口であり、タイピングミスを誘発しやすい著名パッケージ周辺での継続的な警戒が求められる。マルウェア検出数は前日から落ち着いた推移を見せているものの、手口の多様化に伴う見落としリスクは払拭されない。
前日(8/13)のMalware uniqueは75、当日(8/14)は70。マルウェア検出の水準は前日と比べて落ち着いた方向に推移しており、短期的には小康状態とも読めるが、手口の巧妙化により表面的な件数に反映されにくいリスクが潜在する点は否定できない。引き続き日々の観測値の変動に注意しながら傾向を見守る必要がある。
Aikido Community Japan
公開日: 2026/8/14
最終更新: 2026/8/14