8/24(UTC)の観測は、Malware 91 unique(生105)、脆弱性はCVE/GHSA 25件(C5/H9/M7/L4)+Pre-CVE 2件。本日の観測では、マルウェア関連の検知が直近数日の中で最も高い水準に達した。あわせて、内部システムを連想させる共通接頭辞を持つ不審なまとまりや、一般的なタイポスクワットの手口も確認されている。
マルウェア 91 / Critical 5 / High 9 / 脆弱性合計 25 / pre-CVE 2
エコシステム(生): npm 96 / pypi 5 / wordpress 1 / vscode 1 / open_vsx 1 / chrome 1
🚨 共通接頭辞「sm」の名称を 8 パッケージで観測
🚨 共通接頭辞「@medisend」の名称を 4 パッケージで観測
🚨 共通接頭辞「sme」の名称を 3 パッケージで観測
🚨 共通接頭辞「@atfm」の名称を 3 パッケージで観測
🚨 共通接頭辞「dext」の名称を 3 パッケージで観測
| 区分 | 8/20 | 8/21 | 8/22 | 8/23 | 8/24 |
|---|---|---|---|---|---|
| Critical | 4 | 6 | 2 | 0 | 5 |
| High | 17 | 18 | 4 | 0 | 9 |
| Medium | 16 | 57 | 10 | 0 | 7 |
| Low | 5 | 9 | 13 | 0 | 4 |
| Pre-CVE | 3 | 13 | 0 | 0 | 2 |
| Malware unique | 86 | 47 | 15 | 39 | 91 |
過去日は前号確定値(DB)を再掲。データ日=2026-08-24。
| パッケージ | 言語 | ID | 深刻度 | スコア | 内容 | 修正版 |
|---|---|---|---|---|---|---|
| mcp-atlassian | PYTHON | AIKIDO-2026-670729 / GHSA-5j8j-256g-vvp5 | Critical | 100 | Authentication Bypass | 0.23.1 |
| @feathersjs/adapter-commons | JS | AIKIDO-2026-772874 / GHSA-6qm5-r3g8-qgqh | Critical | 98 | Code Injection | 5.0.49 |
| pods-framework/pods | PHP | AIKIDO-2026-243223 / CVE-2026-19598 | Critical | 98 | Privilege Escalation | 3.3.9.1 / 3.2.8.3 / 3.1.4.2 ほか |
| headroom-ai | PYTHON | AIKIDO-2026-655310 / CVE-2026-77776 | Critical | 91 | Authorization Bypass | 0.36.1 |
| bytecodealliance.wasm-micro-runtime | C++ | AIKIDO-2026-524183 / CVE-2026-54914 | Critical | 90 | Heap-based Buffer Overflow | 2.4.5 |
| agno | PYTHON | AIKIDO-2026-316621 / CVE-2026-76832 | High | 88 | Path Traversal | 2.3.24 |
| wasmtime | RUST | AIKIDO-2026-519880 / GHSA-vqjp-4c8c-hfgg | High | 88 | Path Traversal | 24.0.13 / 36.0.14 / 46.0.3 ほか |
| bytecodealliance.wasm-micro-runtime | C++ | AIKIDO-2026-875537 / CVE-2026-54912 | High | 88 | Heap-based Buffer Overflow | 2.4.5 |
| austintoddj/canvas | PHP | AIKIDO-2026-265353 / GHSA-5fp8-rp48-gr3c | High | 85 | Server-Side Request Forgery (SSRF) | 7.0.1 |
| maplibre-gl | JS | AIKIDO-2026-516712 / GHSA-jrc7-96c5-q579 | High | 82 | Cross-Site Scripting (XSS) | 6.4.1 |
| cakephp/cakephp | PHP | AIKIDO-2026-102920 / CVE-2026-77635 | High | 81 | SQL Injection | 5.1.10 / 5.2.15 / 5.3.7 |
| wcmatch | PYTHON | AIKIDO-2026-334325 / CVE-2026-76824 | High | 75 | Denial of Service (DoS) | 11.0 |
| SixLabors.ImageSharp | DOTNET | AIKIDO-2026-827156 / GHSA-v76p-62qx-wwq2 | High | 75 | Out-of-bounds Write | 4.1.1 |
| SixLabors.ImageSharp | DOTNET | AIKIDO-2026-983562 / GHSA-jj3q-cwqj-842r | High | 75 | Out-of-bounds Write | 4.1.1 |
| パッケージ | 言語 | 件数 | 内訳 | スコア | 修正版 |
|---|---|---|---|---|---|
| xml_builder | ELIXIR | 3 | L3 | 〜21 | 2.4.1 |
| micrometer-core | JAVA | 2 | M2 | 〜59 | 1.16.7 / 1.17.1 |
| bytecodealliance.wasm-micro-runtime | C++ | 1 | M1 | 〜69 | 2.4.5 |
| wasmtime | RUST | 1 | M1 | 〜69 | 46.0.3 / 47.0.4 |
| workos | RUBY | 1 | M1 | 〜65 | 7.1.3 / 8.0.2 / 9.5.1 ほか |
| cakephp/cakephp | PHP | 1 | M1 | 〜65 | 4.5.12 / 4.6.5 / 5.1.9 ほか |
| micrometer-tracing-bridge-brave | JAVA | 1 | M1 | 〜53 | 1.6.7 / 1.7.1 |
| colord | JS | 1 | L1 | 〜37 | 2.9.4 |
Pre-CVE:
| パッケージ | 言語 | ID | 深刻度 | スコア | 内容 | 修正版 |
|---|---|---|---|---|---|---|
| agno | PYTHON | AIKIDO-2026-69094 | Pre-CVE | 59 | Authorization Bypass | 2.9.0 |
| agno | PYTHON | AIKIDO-2026-53070 | Pre-CVE | 53 | Information Disclosure | 2.9.0 |
共通接頭辞別の観測数(3件以上): sm 8・@medisend 4・sme 3・@atfm 3・dext 3
内部システム風の接頭辞を持つ一群がまとまって観測されたことは、標的組織の命名規則をある程度把握した上での偽装を示唆している可能性がある。ただし、同一主体や単一キャンペーンによるものかは現時点では断定できず、引き続き関連指標の追跡が必要な状況にある。タイポスクワットについても依然として継続的に用いられており、正規パッケージとの混同を狙う手口として警戒が求められる。
前日(8/23)のMalware uniqueは39、当日(8/24)は91(直近5日で最大)。マルウェアの検知水準は直近の推移の中で上昇傾向にあり、本日は短期間における高い水準を記録した。この流れが継続するかどうか、翌日以降の観測値を注視する必要がある。
Aikido Community Japan
公開日: 2026/8/24
最終更新: 2026/8/26