8/17(UTC)の観測は、Malware 75 unique(生97)、脆弱性はCVE/GHSA 44件(C7/H15/M17/L5)+Pre-CVE 3件。本日のサイバー脅威観測では、マルウェア検出数が前日を上回り直近の水準の中でも高い位置に達した。脆弱性情報については多数の案件が別掲されており、パッチ管理の優先度判断が求められる状況となっている。
マルウェア 75 / Critical 7 / High 15 / 脆弱性合計 44 / pre-CVE 3
エコシステム(生): npm 64 / ruby 16 / pypi 10 / firefox 5 / maven 1 / golang 1
| 区分 | 8/13 | 8/14 | 8/15 | 8/16 | 8/17 |
|---|---|---|---|---|---|
| Critical | 5 | 2 | 0 | 0 | 7 |
| High | 18 | 14 | 0 | 0 | 15 |
| Medium | 20 | 12 | 0 | 0 | 17 |
| Low | 13 | 2 | 0 | 0 | 5 |
| Pre-CVE | 3 | 3 | 0 | 0 | 3 |
| Malware unique | 75 | 70 | 26 | 58 | 75 |
過去日は前号確定値(DB)を再掲。データ日=2026-08-17。
| パッケージ | 言語 | ID | 深刻度 | スコア | 内容 | 修正版 |
|---|---|---|---|---|---|---|
| vm2 | JS | AIKIDO-2026-258902 / GHSA-m5w8-4gq2-6f8x | Critical | 100 | Exposure of Sensitive Information | 3.11.6 |
| vm2 | JS | AIKIDO-2026-927792 / CVE-2026-47686 | Critical | 99 | Sandbox Escape | 3.11.6 |
| vm2 | JS | AIKIDO-2026-87273 / CVE-2026-47698 | Critical | 98 | Sandbox Escape | 3.11.6 |
| @tus/server | JS | AIKIDO-2026-397638 / GHSA-5hmx-qq2q-5m56 | Critical | 94 | Path Traversal | 2.4.3 |
| @tus/file-store | JS | AIKIDO-2026-279680 / GHSA-5hmx-qq2q-5m56 | Critical | 94 | Path Traversal | 2.1.1 |
| unstructured | PYTHON | AIKIDO-2026-57994 / CVE-2026-71428 | Critical | 93 | Server-Side Request Forgery (SSRF) | 0.24.0 |
| Scriban | DOTNET | AIKIDO-2026-477016 / CVE-2026-74790 | Critical | 93 | Sandbox Bypass | 7.0.0 |
| liquidpy | PYTHON | AIKIDO-2026-788394 / GHSA-2jj6-v3xw-49w3 | High | 88 | Code Injection | 0.10.0 |
| apache-airflow | PYTHON | AIKIDO-2026-439177 / CVE-2026-33264 | High | 88 | Deserialization of Untrusted Data | 3.3.0 |
| apache-airflow | PYTHON | AIKIDO-2026-67318 / CVE-2026-67587 | High | 88 | Deserialization of Untrusted Data | 3.3.1 |
| johnpbloch/wordpress-core | PHP | AIKIDO-2026-594951 / CVE-2026-65640 | High | 88 | Remote Code Execution (RCE) | 7.0.4 / 6.9.7 / 6.8.8 ほか |
| roots/wordpress | PHP | AIKIDO-2026-48933 / CVE-2026-65640 | High | 88 | Remote Code Execution (RCE) | 7.0.4 / 6.9.7 / 6.8.8 ほか |
| vm2 | JS | AIKIDO-2026-664356 / CVE-2026-47683 | High | 87 | Denial of Service (DoS) | 3.11.6 |
| anyconfig | PYTHON | AIKIDO-2026-33194 / GHSA-43x6-c43p-8w8w | High | 84 | Deserialization of Untrusted Data | 0.16.0 |
| avo | RUBY | AIKIDO-2026-56599 / GHSA-cff8-4h3c-9r4q | High | 83 | Insecure Direct Object Reference (IDOR) | 3.32.4 / 4.1.7 |
| pydantic-ai-slim | PYTHON | AIKIDO-2026-555424 / GHSA-h4xc-3qfq-jf93 | High | 76 | Cross-Site Request Forgery (CSRF) | 1.107.4 / 2.28.0 |
| @fastify/multipart | JS | AIKIDO-2026-702913 / CVE-2026-19474 | High | 75 | Denial of Service | 10.1.1 |
| @fastify/multipart | JS | AIKIDO-2026-216729 / CVE-2026-18549 | High | 75 | Denial of Service | 10.1.1 |
| vm2 | JS | AIKIDO-2026-687134 / GHSA-v836-6xw4-9cx3 | High | 75 | Denial of Service (DoS) | 3.11.6 |
| sqlparse | PYTHON | AIKIDO-2026-568664 / CVE-2026-59893 | High | 75 | Regular Expression Denial of Service (ReDoS) | 0.6.0 |
| apache-airflow | PYTHON | AIKIDO-2026-879851 / CVE-2026-68968 | High | 75 | Authorization Bypass | 3.3.1 |
| sqlparse | PYTHON | AIKIDO-2026-962953 / CVE-2026-54284 | High | 70 | Denial of Service (DoS) | 0.6.0 |
| パッケージ | 言語 | 件数 | 内訳 | スコア | 修正版 |
|---|---|---|---|---|---|
| apache-airflow | PYTHON | 10 | M8/L2 | 〜65 | 3.3.0 |
| sqlparse | PYTHON | 3 | M3 | 〜62 | 0.6.0 |
| unstructured | PYTHON | 1 | M1 | 〜61 | 0.24.1 |
| @shopify/shopify-api | JS | 1 | M1 | 〜59 | 14.0.0 |
| @shopify/shopify-app-express | JS | 1 | M1 | 〜59 | 8.0.0 |
| @shopify/shopify-app-remix | JS | 1 | M1 | 〜59 | 5.0.0 |
| apache-airflow-providers-git | PYTHON | 1 | M1 | 〜59 | 0.4.1 |
| wheel | PYTHON | 1 | M1 | 〜55 | 0.48.0 |
| dartastic_opentelemetry | DART | 1 | L1 | 〜25 | 0.9.8 |
| pydantic-ai-slim | PYTHON | 1 | L1 | 〜23 | 1.107.4 / 2.27.1 |
| axios-cache-interceptor | JS | 1 | L1 | 〜23 | 1.12.3 |
Pre-CVE:
| パッケージ | 言語 | ID | 深刻度 | スコア | 内容 | 修正版 |
|---|---|---|---|---|---|---|
| ultralytics | PYTHON | AIKIDO-2026-402371 | Pre-CVE | 75 | Command Injection | 8.4.117 |
| dartssh2 | DART | AIKIDO-2026-829968 | Pre-CVE | 59 | Prefix Truncation Attack | 3.1.0 |
| @shopify/shopify-app-react-router | JS | AIKIDO-2026-492382 | Pre-CVE | 59 | Improper Verification of Cryptographic Signature | 2.0.0 |
共通接頭辞別の観測数(3件以上): (該当なし)
内部システムや管理ツールを想起させる共通接頭辞を持つパッケージ群がまとまって観測されており、開発・運用環境への混入を狙った可能性が考えられる。また、一般的なタイポスクワットも引き続き確認されており、入力ミスや依存解決の自動化を悪用しようとする手口が継続しているとみられる。これらが単一主体や同一キャンペーンによるものかは現時点では断言できないが、組み合わせて用いられる場合の影響範囲には注意を要する。
前日(8/16)のMalware uniqueは58、当日(8/17)は75(直近5日で最大)。マルウェア検出の水準は直近数日の推移の中で本日が最も高く、緩やかな増加傾向が続いている。短期的な変動とみるか継続的な上昇傾向の兆候とみるかは引き続き注視が必要である。
Aikido Community Japan
公開日: 2026/8/17
最終更新: 2026/8/19