【2026/09/03】Aikido Intel 日次 — 9/2分: Malware 39 unique・脆弱性 計2件 — 内部システム偽装型パッケージと脆弱性の併存

訂正(9/3 10:30 JST 自動修復): 集計時点のフィード停滞により暫定値を掲載しましたが、確定集計で回収しました。正値: Critical 2 / High 4 / Medium 4 / Low 0 + Pre-CVE 8。

数字

マルウェア 39 / Critical 1 / High 1 / 脆弱性合計 2 / pre-CVE 0

エコシステム(生): npm 50 / firefox 5 / golang 2 / open_vsx 1 / vscode 1 / pypi 1 / chrome 1

🚨 共通接頭辞「@stellarshift」の名称を 4 パッケージで観測

🚨 共通接頭辞「tailwindcss」の名称を 3 パッケージで観測

🚨 共通接頭辞「tailwind」の名称を 3 パッケージで観測

トレンド

過去日は前号確定値(DB)を再掲。データ日=2026-09-02。

新規観測（事実のみ）

脆弱性（2026-09-02 公開、CVE/GHSA 2件＋Pre-CVE 0件）

Critical / High (2)

Medium / Low (0件、パッケージ単位に集約)

(該当なし)

Pre-CVE:

(該当なし)

Malware（2026-09-02 検出、39 unique／生61）

共通接頭辞別の観測数(3件以上): @stellarshift 4・tailwindcss 3・tailwind 3

内部命名規則に似た接頭辞を持つパッケージがまとまって観測される場合、標的組織の開発環境や命名慣習をある程度把握した上での配布が疑われるため、単純なタイポスクワットとは異なるリスク特性を持つ可能性がある。ただし、同一主体や同一キャンペーンによるものと断定できる根拠は現時点では確認されていない。タイポスクワットについては依然として継続的な手法であり、依存パッケージ追加時の表記確認を怠らないことが引き続き重要である。

注意点

1. 社内命名規則や製品名に類似したパッケージ名が外部リポジトリに存在しないか定期的に照合し、意図しない依存関係の混入を早期に検知できる体制を整える
2. パッケージ導入時はスペルや区切り文字の微妙な差異を目視だけに頼らず、ハッシュ値や署名の検証を組み合わせて正規性を確認する
3. 本日別掲の脆弱性情報については、該当ライブラリやコンポーネントを利用している環境を優先的に棚卸しし、パッチ適用または回避策の検討を速やかに行う

連続性メモ

前日(9/1)のMalware uniqueは53、当日(9/2)は39。マルウェアの検出動向は前日と比較して落ち着いた水準に推移しており、直近の流れとしては大きな急増は見られない。ただし検出数の増減にかかわらず、手法の質的な変化には引き続き注視が必要である。