【2026/08/21】Aikido Intel 日次 — 8/20分: Malware 86 unique・脆弱性 計39件 — マルウェア増勢・脆弱性多数・内部システム偽装の接頭辞群を観測

数字

マルウェア 86 / Critical 3 / High 15 / 脆弱性合計 36 / pre-CVE 3

エコシステム(生): npm 92 / vscode 3 / cargo 3 / firefox 1 / chrome 1

🚨 共通接頭辞「mcp」の名称を 10 パッケージで観測

🚨 共通接頭辞「pfp」の名称を 5 パッケージで観測

🚨 共通接頭辞「create」の名称を 3 パッケージで観測

🚨 共通接頭辞「@js-lib-team」の名称を 3 パッケージで観測

🚨 共通接頭辞「test」の名称を 3 パッケージで観測

🚨 共通接頭辞「hubert」の名称を 3 パッケージで観測

トレンド

過去日は前号確定値(DB)を再掲。データ日=2026-08-20。

新規観測（事実のみ）

脆弱性（2026-08-20 公開、CVE/GHSA 36件＋Pre-CVE 3件）

Critical / High (18)

Medium / Low (18件、パッケージ単位に集約)

Pre-CVE:

Malware（2026-08-20 検出、86 unique／生100）

共通接頭辞別の観測数(3件以上): mcp 10・pfp 5・create 3・@js-lib-team 3・test 3・hubert 3

内部システムを想起させる共通の接頭辞を持つ名称群がまとまって観測されており、組織内部のツールや管理系コンポーネントに見せかける手口が用いられている可能性が示唆される。一般的なタイポスクワットも同時に観測されていることから、標的の絞り込みと無差別な混入の双方が並行して試みられているとみられる。ただし、これらが単一の主体や統一されたキャンペーンに帰属するかは現時点では断定できない。

注意点

1. 内部ツール名・管理系コンポーネント名に酷似したパッケージを依存関係に追加する際は、公式リポジトリへの登録経緯や署名を必ず確認すること
2. タイポスクワット対策として、パッケージ名の綴りを手入力する運用を見直し、ロックファイルや承認済みリストからのインストールを徹底すること
3. 別掲の多数の脆弱性情報を速やかに精査し、自環境に該当するコンポーネントを優先的にパッチ適用または緩和策を講じること

連続性メモ

前日(8/19)のMalware uniqueは74、当日(8/20)は86(直近5日で最大)。直近の観測推移を振り返ると、マルウェアの検出水準は本日にかけて段階的に切り上がっており、短期的な増勢傾向が明確になってきている。この流れが継続するか否か、明日以降の推移を注視する必要がある。