8/21(UTC)の観測は、Malware 47 unique(生53)、脆弱性はCVE/GHSA 46件(C5/H9/M28/L4)+Pre-CVE 13件。本日は脆弱性情報が多数別掲されており、引き続き広範な対応が求められる状況となっている。マルウェアの検出は前日と比較して落ち着いた水準で推移したものの、不審なパッケージ群の出現により供給チェーンへの注意が必要である。
マルウェア 47 / Critical 5 / High 9 / 脆弱性合計 46 / pre-CVE 13
エコシステム(生): npm 47 / pypi 4 / firefox 1 / chrome 1
🚨 共通接頭辞「polymarket」の名称を 11 パッケージで観測
🚨 共通接頭辞「react」の名称を 4 パッケージで観測
🚨 共通接頭辞「rollup」の名称を 3 パッケージで観測
| 区分 | 8/17 | 8/18 | 8/19 | 8/20 | 8/21 |
|---|---|---|---|---|---|
| Critical | 7 | 2 | 0 | 3 | 5 |
| High | 16 | 15 | 3 | 16 | 9 |
| Medium | 17 | 21 | 1 | 16 | 28 |
| Low | 5 | 5 | 0 | 3 | 4 |
| Pre-CVE | 3 | 3 | 2 | 3 | 13 |
| Malware unique | 75 | 79 | 74 | 86 | 47 |
過去日は前号確定値(DB)を再掲。データ日=2026-08-21。
| パッケージ | 言語 | ID | 深刻度 | スコア | 内容 | 修正版 |
|---|---|---|---|---|---|---|
| W3 Total Cache | PHP | AIKIDO-2026-387968 / CVE-2026-18051 | Critical | 96 | Path Traversal | 2.10.5 |
| gitlab-ce | OS | AIKIDO-2026-996827 / CVE-2026-19478 | Critical | 94 | Code Injection | 18.11.11 / 19.0.8 / 19.1.6 ほか |
| rodauth | RUBY | AIKIDO-2026-426323 / GHSA-3pvr-v35r-4r75 | Critical | 94 | Authentication Bypass | 2.46.0 |
| lmdeploy | PYTHON | AIKIDO-2026-414862 / CVE-2026-76850 | Critical | 93 | Deserialization of Untrusted Data | 0.16.0 |
| @evershop/evershop | JS | AIKIDO-2026-305891 / CVE-2026-72843 | Critical | 93 | Missing Authorization | 2.2.1 |
| eProsima.Fast-DDS | C++ | AIKIDO-2026-946595 / CVE-2025-65016 | High | 86 | Denial of Service (DoS) | 2.6.11 / 2.14.6 / 3.2.4 ほか |
| spring-ai-transformers | JAVA | AIKIDO-2026-509333 / CVE-2026-47852 | High | 75 | Uncontrolled Search Path Element | 1.0.10 / 1.1.9 / 2.0.0.1 |
| spring-ai-pdf-document-reader | JAVA | AIKIDO-2026-204618 / CVE-2026-47851 | High | 75 | Denial of Service (DoS) | 1.0.10 / 1.1.9 / 2.0.0.1 |
| mcp-core | JAVA | AIKIDO-2026-935066 / GHSA-4x8c-5vv7-973f | High | 75 | Denial of Service (DoS) | 0.18.4 / 1.1.4 / 2.0.1 |
| eProsima.Fast-DDS | C++ | AIKIDO-2026-673709 / CVE-2026-22591 | High | 75 | Uncontrolled Recursion | 2.6.12 / 3.2.5 / 3.4.3 ほか |
| spring-security-webauthn | JAVA | AIKIDO-2026-620149 / CVE-2026-47841 | High | 74 | Authentication Bypass | 7.0.7 / 7.1.1 |
| spring-security-oauth2-jose | JAVA | AIKIDO-2026-61483 / CVE-2026-41707 | High | 74 | Authentication Bypass | 6.5.12 / 7.0.7 / 7.1.1 |
| spring-cloud-config-server | JAVA | AIKIDO-2026-469111 / CVE-2026-47836 | High | 72 | Race Condition (TOCTOU) | 3.1.15 / 4.2.9 / 4.3.5 ほか |
| nanomq.nanomq | C++ | AIKIDO-2026-366393 / CVE-2026-73863 | High | 70 | Out-of-bounds Read | 0.24.14 |
| パッケージ | 言語 | 件数 | 内訳 | スコア | 修正版 |
|---|---|---|---|---|---|
| sulu/sulu | PHP | 3 | M3 | 〜65 | 2.6.25 / 3.0.8 |
| keycloak-services | JAVA | 3 | M3 | 〜58 | 26.7.2 |
| reactor-netty-http | JAVA | 2 | M2 | 〜61 | 1.0.53 / 1.2.19 / 1.3.7 |
| copier | PYTHON | 2 | M2 | 〜55 | 9.17.2 |
| nanomq.nanomq | C++ | 2 | L2 | 〜37 | 0.24.14 |
| spring-cloud-config-server | JAVA | 1 | M1 | 〜68 | 3.1.15 / 4.2.9 / 4.3.5 ほか |
| spring-amqp | JAVA | 1 | M1 | 〜65 | 2.4.19 / 3.2.13 / 4.0.5 ほか |
| spring-security-crypto | JAVA | 1 | M1 | 〜65 | 5.7.26 / 5.8.28 / 6.4.19 ほか |
| mcp-core | JAVA | 1 | M1 | 〜65 | 0.18.4 / 1.1.4 / 2.0.1 |
| duckdb.duckdb | C++ | 1 | M1 | 〜65 | 1.4.2 |
| doorkeeper | RUBY | 1 | M1 | 〜65 | 5.9.1 |
| spring-integration-ip | JAVA | 1 | M1 | 〜63 | 5.5.22 / 6.4.13 / 6.5.11 ほか |
| spring-integration-core | JAVA | 1 | M1 | 〜63 | 5.5.22 / 6.4.13 / 6.5.11 ほか |
| mediawiki/semantic-media-wiki | PHP | 1 | M1 | 〜61 | 7.2.1 |
| reactor-core | JAVA | 1 | M1 | 〜59 | 3.4.42 / 3.7.20 / 3.8.7 |
| mocker | JS | 1 | M1 | 〜59 | 4.1.11 |
| Umbraco.AI.Agent | DOTNET | 1 | M1 | 〜59 | 17.1.4 / 18.1.4 |
| spring-integration-zip | JAVA | 1 | M1 | 〜54 | 6.4.13 / 6.5.11 / 7.0.6 ほか |
| spring-integration-syslog | JAVA | 1 | M1 | 〜54 | 5.5.22 / 6.4.13 / 6.5.11 ほか |
| reactor-netty-http-brave | JAVA | 1 | M1 | 〜53 | 1.0.53 / 1.2.19 / 1.3.7 |
| spring-data-jpa | JAVA | 1 | M1 | 〜48 | 3.4.16 / 3.5.14 / 4.0.7 ほか |
| paragonie/sodium_compat | PHP | 1 | M1 | 〜48 | 1.24.1 / 2.5.1 |
| spring-data-rest-core | JAVA | 1 | M1 | 〜43 | 3.7.21 / 4.4.16 / 4.5.13 ほか |
| reactor-netty-core | JAVA | 1 | L1 | 〜37 | 1.0.53 / 1.2.19 / 1.3.7 |
| nono | RUST | 1 | L1 | 〜33 | 0.74.0 |
Pre-CVE:
| パッケージ | 言語 | ID | 深刻度 | スコア | 内容 | 修正版 |
|---|---|---|---|---|---|---|
| sulu/sulu | PHP | AIKIDO-2026-115593 | Pre-CVE | 65 | SQL Injection | 2.6.25 |
| mediawiki/semantic-media-wiki | PHP | AIKIDO-2026-539489 | Pre-CVE | 61 | Cross-Site Scripting (XSS) | 7.2.1 |
| doorkeeper | RUBY | AIKIDO-2026-285271 | Pre-CVE | 59 | Improper Authentication | 5.9.6 |
| es-toolkit | JS | AIKIDO-2026-523264 | Pre-CVE | 59 | Prototype Pollution | 1.51.0 |
| fastjsonschema | PYTHON | AIKIDO-2026-952503 | Pre-CVE | 59 | Code Injection | 2.22.2 |
| Microsoft.Diagnostics.Tracing.TraceEvent | DOTNET | AIKIDO-2026-601590 | Pre-CVE | 55 | Denial of Service (DoS) | 3.2.6 |
| Microsoft.Diagnostics.Tracing.TraceEvent | DOTNET | AIKIDO-2026-527822 | Pre-CVE | 55 | Denial of Service (DoS) | 3.2.6 |
| Microsoft.Diagnostics.Tracing.TraceEvent | DOTNET | AIKIDO-2026-227377 | Pre-CVE | 55 | Out-of-bounds Read | 3.2.6 |
| gunicorn | PYTHON | AIKIDO-2026-332632 | Pre-CVE | 48 | HTTP Request Smuggling | 26.1.0 |
| craftcms/cms | PHP | AIKIDO-2026-32002 | Pre-CVE | 43 | Privilege Escalation | 5.10.12 |
| nono | RUST | AIKIDO-2026-912985 | Pre-CVE | 42 | Race Condition (TOCTOU) | 0.74.0 |
| dompurify | JS | AIKIDO-2026-404587 | Pre-CVE | 38 | Cross-Site Scripting (XSS) | 3.4.14 |
| rubygems-update | RUBY | AIKIDO-2026-297886 | Pre-CVE | 20 | Denial of Service (DoS) | 4.0.19 |
共通接頭辞別の観測数(3件以上): polymarket 11・react 4・rollup 3
今回まとまって観測された共通接頭辞を持つパッケージ群は、組織内部のシステムやツール名を模したネーミングパターンを示しており、内部開発環境や依存関係管理の隙を突く意図が疑われる。加えて、一般的なtyposquatの手口も確認されており、入力ミスや補完ミスを誘引しようとする試みと見られる。これらが同一のアクターや同一キャンペーンによるものかは現時点では断定できないが、手口の類似性から関連を念頭に置いた監視が望ましい。
前日(8/20)のMalware uniqueは86、当日(8/21)は47。マルウェアの観測数は前日から減少傾向に転じており、一時的な落ち着きが見られる。ただし、こうした数値の変動は活動の終息を意味するものではなく、手口の切り替えや潜伏期間として解釈する視点も引き続き保持しておきたい。
Aikido Community Japan
公開日: 2026/8/21
最終更新: 2026/8/23