8/22(UTC)の観測は、Malware 15 unique(生23)、脆弱性はCVE/GHSA 29件(C2/H4/M10/L13)+Pre-CVE 0件。本日は、内部システムを想起させる共通の接頭辞パターンを持つパッケージ群がまとまって観測されたほか、一般的なタイポスクワットも引き続き確認された。脆弱性については複数件が別掲されており、引き続き対応優先度の確認が求められる状況にある。
マルウェア 15 / Critical 2 / High 4 / 脆弱性合計 29 / pre-CVE 0
エコシステム(生): npm 22 / pypi 1
🚨 共通接頭辞「vite」の名称を 4 パッケージで観測
🚨 共通接頭辞「@syncraft-labs」の名称を 3 パッケージで観測
| 区分 | 8/18 | 8/19 | 8/20 | 8/21 | 8/22 |
|---|---|---|---|---|---|
| Critical | 2 | 0 | 4 | 5 | 2 |
| High | 15 | 3 | 17 | 9 | 4 |
| Medium | 21 | 1 | 16 | 28 | 10 |
| Low | 5 | 0 | 5 | 4 | 13 |
| Pre-CVE | 3 | 2 | 3 | 13 | 0 |
| Malware unique | 79 | 74 | 86 | 47 | 15 |
過去日は前号確定値(DB)を再掲。データ日=2026-08-22。
| パッケージ | 言語 | ID | 深刻度 | スコア | 内容 | 修正版 |
|---|---|---|---|---|---|---|
| agno | PYTHON | AIKIDO-2026-39577 / CVE-2026-35002 | Critical | 98 | Code Injection | 2.3.24 |
| cap-primitives | RUST | AIKIDO-2026-508093 / GHSA-hp8f-xmx4-4qrg | Critical | 90 | Path Traversal | 3.4.6 / 4.0.3 |
| spring-integration-core | JAVA | AIKIDO-2026-748560 / CVE-2026-59324 | High | 82 | Information Disclosure | 5.5.22 / 6.4.13 / 6.5.11 ほか |
| spring-security-oauth2-authorization-server | JAVA | AIKIDO-2026-796977 / CVE-2026-59316 | High | 82 | Cross-Site Scripting (XSS) | 1.4.12 / 1.5.9 |
| spring-graphql | JAVA | AIKIDO-2026-383752 / CVE-2026-59285 | High | 81 | Deserialization of Untrusted Data | 2.0.5 |
| spring-integration-jdbc | JAVA | AIKIDO-2026-654837 / CVE-2026-59307 | High | 80 | Deserialization of Untrusted Data | 6.4.13 / 6.5.11 / 7.0.6 ほか |
| パッケージ | 言語 | 件数 | 内訳 | スコア | 修正版 |
|---|---|---|---|---|---|
| spring-cloud-stream | JAVA | 4 | L4 | 〜31 | 4.2.7 / 4.3.4 / 5.0.3 |
| spring-integration-zip | JAVA | 1 | M1 | 〜68 | 6.4.13 / 6.5.11 / 7.0.6 ほか |
| spring-integration-smb | JAVA | 1 | M1 | 〜66 | 6.4.13 / 6.5.11 / 7.0.6 ほか |
| spring-amqp-client | JAVA | 1 | M1 | 〜65 | 4.1.1 |
| spring-ai-model | JAVA | 1 | M1 | 〜65 | 1.0.10 / 1.1.9 / 2.0.1 |
| spring-kafka | JAVA | 1 | M1 | 〜65 | 2.8.13 / 2.9.15 / 3.3.17 ほか |
| spring-integration-core | JAVA | 1 | M1 | 〜63 | 5.5.22 / 6.4.13 / 6.5.11 ほか |
| spring-cloud-config-monitor | JAVA | 1 | M1 | 〜53 | 3.1.15 / 4.2.9 / 4.3.5 ほか |
| spring-ai-model-chat-memory-repository-redis | JAVA | 1 | M1 | 〜43 | 2.0.1 |
| spring-integration-scripting | JAVA | 1 | M1 | 〜42 | 5.5.22 / 6.4.13 / 6.5.11 ほか |
| spring-ai-redis-semantic-cache | JAVA | 1 | M1 | 〜42 | 2.0.1 |
| spring-cloud-stream-schema-registry-core | JAVA | 1 | L1 | 〜31 | 4.2.7 / 4.3.4 / 5.0.3 |
| spring-cloud-stream-schema-registry-client | JAVA | 1 | L1 | 〜31 | 4.2.7 / 4.3.4 / 5.0.3 |
| spring-web | JAVA | 1 | L1 | 〜31 | 5.2.26 / 5.3.50 / 6.0.31 ほか |
| spring-cloud-function-adapter-azure | JAVA | 1 | L1 | 〜31 | 4.2.8 / 4.3.5 / 5.0.4 |
| spring-cloud-function-adapter-aws | JAVA | 1 | L1 | 〜31 | 3.2.17 / 4.2.8 / 4.3.5 ほか |
| spring-cloud-function-context | JAVA | 1 | L1 | 〜31 | 3.2.17 / 4.2.8 / 4.3.5 ほか |
| spring-cloud-function-serverless-web | JAVA | 1 | L1 | 〜31 | 4.2.8 / 4.3.5 / 5.0.4 |
| spring-cloud-function-web | JAVA | 1 | L1 | 〜31 | 3.2.17 / 4.2.8 / 4.3.5 ほか |
| spring-webmvc | JAVA | 1 | L1 | 〜26 | 5.3.50 / 6.0.31 / 6.1.29 ほか |
Pre-CVE:
(該当なし)
共通接頭辞別の観測数(3件以上): vite 4・@syncraft-labs 3
内部向けツールや社内ライブラリを模した命名規則は、開発者が無意識のうちに正規パッケージと誤認しやすく、サプライチェーン侵害の入口として悪用される傾向がある。同一の命名パターンが複数パッケージにわたってまとまって観測された点は、意図的な命名戦略である可能性を示唆するが、単一キャンペーンとは断定できない。マルウェア検知数は前日と比較して落ち着いた水準にあるものの、継続した監視が必要な状態に変わりはない。
前日(8/21)のMalware uniqueは47、当日(8/22)は15。マルウェア検知の水準は前日から減少傾向にあり、短期的には落ち着きがみられる。ただし命名偽装を用いた手口は断続的に観測されており、一時的な減少をもって脅威の後退と判断することは適切でない。
Aikido Community Japan
公開日: 2026/8/22
最終更新: 2026/8/22