9/4(UTC)の観測は、Malware 40 unique(生61)、脆弱性はCVE/GHSA 60件(C1/H26/M32/L1)+Pre-CVE 3件。本日の観測では、内部システムを模した共通接頭辞を持つパッケージ群がまとまって確認されるとともに、一般的なtyposquatと見られる登録も検出された。別掲の脆弱性情報も多数にのぼり、引き続き広範な警戒が求められる状況となっている。
マルウェア 40 / Critical 1 / High 26 / 脆弱性合計 60 / pre-CVE 3
エコシステム(生): npm 45 / open_vsx 6 / firefox 5 / pypi 5
🚨 共通接頭辞「@crysnovax」の名称を 3 パッケージで観測
| 区分 | 8/31 | 9/1 | 9/2 | 9/3 | 9/4 |
|---|---|---|---|---|---|
| Critical | 6 | 2 | 2 | 1 | 1 |
| High | 4 | 13 | 4 | 32 | 26 |
| Medium | 3 | 13 | 4 | 34 | 32 |
| Low | 1 | 2 | 0 | 14 | 1 |
| Pre-CVE | 3 | 3 | 8 | 2 | 3 |
| Malware unique | 65 | 53 | 39 | 59 | 40 |
過去日は前号確定値(DB)を再掲。データ日=2026-09-04。
| パッケージ | 言語 | ID | 深刻度 | スコア | 内容 | 修正版 |
|---|---|---|---|---|---|---|
| omnigent | PYTHON | AIKIDO-2026-67098 / CVE-2026-62674 | Critical | 90 | Remote Code Execution | 0.3.0 |
| @openai/codex | JS | AIKIDO-2026-730721 / CVE-2026-19591 | High | 88 | Improper Neutralization of Escape | 0.131.0 |
| saml | JAVA | AIKIDO-2026-310652 / CVE-2026-84668 | High | 88 | Improper Access Control | 4.623 |
| azure-ad | JAVA | AIKIDO-2026-328968 / CVE-2026-84672 | High | 88 | Privilege Escalation | 711 |
| allure-jenkins-plugin | JAVA | AIKIDO-2026-217327 / CVE-2026-84669 | High | 88 | Path Traversal | 2.36.0 |
| performance | JAVA | AIKIDO-2026-606077 / CVE-2026-84670 | High | 88 | Deserialization of Untrusted Data | 1017 |
| sonar | JAVA | AIKIDO-2026-24862 / CVE-2026-84665 | High | 88 | Cross-Site Scripting (XSS) | 2.19.0 |
| file-parameters | JAVA | AIKIDO-2026-500513 / CVE-2026-84671 | High | 88 | Path Traversal | 433 |
| tomcat | JAVA | AIKIDO-2026-746474 / CVE-2026-68569 | High | 81 | Authentication Bypass | 9.0.121 / 10.1.59 / 11.0.25 |
| tomcat-catalina | JAVA | AIKIDO-2026-597658 / CVE-2026-68569 | High | 81 | Authentication Bypass | 9.0.121 / 10.1.59 / 11.0.25 |
| ppmd-rust | RUST | AIKIDO-2026-943815 / GHSA-rqc2-j9v2-j22v | High | 81 | Heap-based Buffer Overflow | 1.4.1 |
| tomcat-embed-core | JAVA | AIKIDO-2026-116174 / CVE-2026-68569 | High | 81 | Authentication Bypass | 9.0.121 / 10.1.59 / 11.0.25 |
| apimock | RUST | AIKIDO-2026-148326 / GHSA-72g6-wgrg-vhm7 | High | 78 | Path Traversal | 4.8.1 |
| apimock-server | RUST | AIKIDO-2026-746410 / GHSA-72g6-wgrg-vhm7 | High | 78 | Path Traversal | 5.19.1 |
| js-yaml | JS | AIKIDO-2026-641142 / GHSA-2883-xcg3-v3hh | High | 75 | Denial of Service (DoS) | 3.15.2 / 4.3.2 |
| tomcat | JAVA | AIKIDO-2026-686876 / CVE-2026-68763 | High | 75 | Denial of Service | 9.0.121 / 10.1.59 / 11.0.25 |
| tomcat-coyote | JAVA | AIKIDO-2026-992854 / CVE-2026-68763 | High | 75 | Denial of Service | 9.0.121 / 10.1.59 / 11.0.25 |
| tomcat-catalina | JAVA | AIKIDO-2026-721218 / CVE-2026-65927 | High | 75 | Access Control Bypass | 9.0.121 / 10.1.59 / 11.0.25 |
| tomcat | JAVA | AIKIDO-2026-105418 / CVE-2026-65927 | High | 75 | Access Control Bypass | 9.0.121 / 10.1.59 / 11.0.25 |
| @fastify/http-proxy | JS | AIKIDO-2026-805288 / CVE-2026-85124 | High | 75 | Path Traversal | 11.6.2 |
| spomky-labs/cbor-php | PHP | AIKIDO-2026-402067 / GHSA-pf28-pvhp-7mm5 | High | 75 | Denial of Service (DoS) | 3.3.4 |
| tomcat-embed-core | JAVA | AIKIDO-2026-388833 / CVE-2026-65927 | High | 75 | Access Control Bypass | 9.0.121 / 10.1.59 / 11.0.25 |
| tomcat-embed-core | JAVA | AIKIDO-2026-915093 / CVE-2026-68763 | High | 75 | Denial of Service | 9.0.121 / 10.1.59 / 11.0.25 |
| nodemailer | JS | AIKIDO-2026-289675 / GHSA-2x7j-588g-ccc2 | High | 75 | Denial of Service (DoS) | 9.1.0 |
| zbus_polkit | RUST | AIKIDO-2026-738756 / CVE-2026-78422 | High | 73 | Authorization Bypass | 5.1.0 |
| @openai/codex | JS | AIKIDO-2026-905742 / CVE-2026-19590 | High | 73 | Uncontrolled Search Path Element | 0.131.0 |
| @openai/codex | JS | AIKIDO-2026-960660 / CVE-2026-19592 | High | 73 | External Control of System or Configuration Setting | 0.131.0 |
| パッケージ | 言語 | 件数 | 内訳 | スコア | 修正版 |
|---|---|---|---|---|---|
| tomcat | JAVA | 5 | M5 | 〜68 | 9.0.121 / 10.1.59 / 11.0.25 |
| tomcat-embed-core | JAVA | 3 | M3 | 〜65 | 9.0.121 / 10.1.59 / 11.0.25 |
| nodemailer | JS | 3 | M3 | 〜65 | 9.1.0 |
| spomky-labs/cbor-php | PHP | 2 | M2 | 〜65 | 3.3.4 |
| ash_cloak | ELIXIR | 2 | M1/L1 | 〜59 | 0.4.0 |
| pipeline-build-step | JAVA | 2 | M2 | 〜43 | 601 |
| script-security | JAVA | 2 | M2 | 〜43 | 1415 |
| tomcat-websocket | JAVA | 1 | M1 | 〜68 | 9.0.121 / 10.1.59 / 11.0.25 |
| tomcat-catalina-ha | JAVA | 1 | M1 | 〜68 | 9.0.121 / 10.1.59 / 11.0.25 |
| tomcat-embed-websocket | JAVA | 1 | M1 | 〜68 | 9.0.121 / 10.1.59 / 11.0.25 |
| tomcat-coyote | JAVA | 1 | M1 | 〜65 | 9.0.121 / 10.1.59 / 11.0.25 |
| slim/slim | PHP | 1 | M1 | 〜65 | 4.15.3 |
| sudo-rs | RUST | 1 | M1 | 〜64 | 0.2.15 |
| tomcat-catalina | JAVA | 1 | M1 | 〜59 | 9.0.121 / 10.1.59 / 11.0.25 |
| js-yaml | JS | 1 | M1 | 〜53 | 5.4.1 |
| tomcat-util | JAVA | 1 | M1 | 〜53 | 9.0.121 / 10.1.59 / 11.0.25 |
| translate-toolkit | PYTHON | 1 | M1 | 〜45 | 3.19.19 |
| gitlab-plugin | JAVA | 1 | M1 | 〜43 | 1.9.182144 |
| jobConfigHistory | JAVA | 1 | M1 | 〜43 | 1380 |
| pipeline-groovy-lib | JAVA | 1 | M1 | 〜43 | 805 |
| ldap | JAVA | 1 | M1 | 〜43 | 825 |
Pre-CVE:
| パッケージ | 言語 | ID | 深刻度 | スコア | 内容 | 修正版 |
|---|---|---|---|---|---|---|
| @cedarjs/auth-dbauth-api | JS | AIKIDO-2026-716832 | Pre-CVE | 98 | Authentication Bypass | 5.0.7 / 6.0.1 |
| nginx | OS | AIKIDO-2026-436623 | Pre-CVE | 72 | Use-After-Free | 1.31.5 |
| @openai/codex | JS | AIKIDO-2026-15944 | Pre-CVE | 57 | Server-Side Request Forgery (SSRF) | 0.152.0 |
共通接頭辞別の観測数(3件以上): @crysnovax 3
内部システム風の命名規則を用いたパッケージ群は、開発者や自動化パイプラインが正規ライブラリと誤認しやすい点で潜在的な脅威度が高いと考えられる。同一の命名パターンが複数確認されていることから、系統的な手法が用いられている可能性は排除できないが、現時点では単一主体によるキャンペーンとは断定できない。typosquatについても継続的な手口であり、開発環境への混入リスクとして引き続き注視が必要だ。
前日(9/3)のMalware uniqueは59、当日(9/4)は40。マルウェア検出の水準は前日と比べて落ち着いた推移を見せているが、命名偽装系の手口は断続的に観測されており、一時的な減少を過信せず継続的なモニタリングを維持することが望ましい。
Aikido Community Japan
公開日: 2026/9/4
最終更新: 2026/9/4