9/8(UTC)の観測は、Malware 27 unique(生36)、脆弱性はCVE/GHSA 61件(C7/H22/M19/L13)+Pre-CVE 4件。本日の観測では、内部システムを想起させる共通の接頭辞を持つパッケージ群がまとまって確認されたほか、一般的なタイポスクワットと見られるパッケージも検出された。脆弱性については多数の案件が別掲されており、引き続き広範な注意が求められる状況にある。
マルウェア 27 / Critical 7 / High 22 / 脆弱性合計 61 / pre-CVE 4
エコシステム(生): npm 23 / vscode 8 / firefox 4 / pub 1
🚨 共通接頭辞「launchappsllc」の名称を 6 パッケージで観測
| 区分 | 9/4 | 9/5 | 9/6 | 9/7 | 9/8 |
|---|---|---|---|---|---|
| Critical | 1 | 0 | 0 | 9 | 7 |
| High | 26 | 0 | 0 | 22 | 22 |
| Medium | 32 | 0 | 0 | 27 | 19 |
| Low | 1 | 0 | 0 | 7 | 13 |
| Pre-CVE | 3 | 0 | 3 | 21 | 4 |
| Malware unique | 40 | 54 | 38 | 90 | 27 |
過去日は前号確定値(DB)を再掲。データ日=2026-09-08。
| パッケージ | 言語 | ID | 深刻度 | スコア | 内容 | 修正版 |
|---|---|---|---|---|---|---|
| orval | JS | AIKIDO-2026-531712 / GHSA-xm38-vjwp-qrg4 | Critical | 100 | Code Injection | 8.30.0 |
| @orval/core | JS | AIKIDO-2026-929342 / GHSA-jwhm-6748-j6pq | Critical | 98 | Code Injection | 8.29.0 |
| in2code/powermail | PHP | AIKIDO-2026-802492 / CVE-2026-77136 | Critical | 95 | Server-Side Template Injection (SSTI) | 10.9.3 / 12.6.1 / 13.2.1 |
| orval | JS | AIKIDO-2026-939997 / GHSA-4q3x-rqfw-3x8p | Critical | 93 | Code Injection | 8.29.0 |
| github.com/traefik/traefik/v3 | GO | AIKIDO-2026-53569 / CVE-2026-85595 | Critical | 93 | Authentication Bypass | 3.7.11 |
| github.com/traefik/traefik/v2 | GO | AIKIDO-2026-566839 / CVE-2026-85595 | Critical | 93 | Authentication Bypass | 2.11.55 |
| langflow | PYTHON | AIKIDO-2026-562769 / GHSA-jxw3-mjmx-3pqm | Critical | 91 | Use of Cryptographically Weak Pseudo-Random Number Generator (PRNG) | 1.10.1 |
| headroom-ai | PYTHON | AIKIDO-2026-138571 / CVE-2026-71416 | High | 88 | Cross-Site WebSocket Hijacking (CSWSH) | 0.28.0 |
| opencode-ai | JS | AIKIDO-2026-260577 / CVE-2026-22812 | High | 88 | Missing Authentication | 1.0.216 |
| ash_typescript | ELIXIR | AIKIDO-2026-457435 / CVE-2026-74837 | High | 87 | Uncontrolled Resource Consumption | 0.18.0 |
| sonatype-nexus-repository | JAVA | AIKIDO-2026-182141 / CVE-2026-3329 | High | 87 | Brute Force | 3.93.0 |
| @orval/core | JS | AIKIDO-2026-147639 / GHSA-79f3-f442-cq2j | High | 86 | Code Injection | 8.30.0 |
| orval | JS | AIKIDO-2026-839931 / GHSA-mxvj-m96h-8mf7 | High | 86 | Code Injection | 8.29.0 |
| pdfminer.six | PYTHON | AIKIDO-2026-669434 / CVE-2025-64512 | High | 86 | Deserialization of Untrusted Data | 20251230 |
| ash_typescript | ELIXIR | AIKIDO-2026-804798 / CVE-2026-82730 | High | 82 | Incorrect Authorization | 0.18.0 |
| ash_typescript | ELIXIR | AIKIDO-2026-158908 / CVE-2026-77856 | High | 82 | Uncontrolled Resource Consumption | 0.18.0 |
| mint | ELIXIR | AIKIDO-2026-325701 / CVE-2026-82728 | High | 82 | Allocation of Resources Without Limits or Throttling | 1.10.0 |
| mint | ELIXIR | AIKIDO-2026-996449 / CVE-2026-58229 | High | 82 | Allocation of Resources Without Limits or Throttling | 1.9.2 |
| github.com/traefik/traefik/v3 | GO | AIKIDO-2026-418503 / CVE-2026-85597 | High | 82 | Incorrect Authorization | 3.7.11 |
| github.com/traefik/traefik/v2 | GO | AIKIDO-2026-556476 / CVE-2026-85597 | High | 82 | Incorrect Authorization | 2.11.55 |
| @orval/core | JS | AIKIDO-2026-162094 / GHSA-rcpr-mq4m-jx9j | High | 81 | Code Injection | 8.29.0 |
| orval | JS | AIKIDO-2026-432875 / GHSA-2976-96r3-qc9r | High | 81 | Code Injection | 8.28.0 |
| ouroboros-ai | PYTHON | AIKIDO-2026-501705 / GHSA-wvgf-hr9x-v3g6 | High | 78 | Code Injection | 0.50.8 |
| agent-manifest | PYTHON | AIKIDO-2026-883913 / GHSA-85fc-3g4g-fjjc | High | 75 | Insufficient Verification of Data Authenticity | 0.12.0 |
| agent-manifest | PYTHON | AIKIDO-2026-533853 / GHSA-7v9r-xprj-65j7 | High | 75 | Improper Check or Handling of Exceptional Conditions | 0.12.0 |
| graphiti | RUBY | AIKIDO-2026-674260 / GHSA-j9mp-m572-x8f9 | High | 75 | Information Disclosure | 1.13.5 / 2.0.2 |
| rhukster/dom-sanitizer | PHP | AIKIDO-2026-452100 / GHSA-mrpv-6x26-mf6c | High | 72 | Cross-Site Scripting (XSS) | 1.0.16 |
| @mastra/server | JS | AIKIDO-2026-838845 / CVE-2026-82273 | High | 71 | Missing Authorization | 1.63.1 |
| redisvl | PYTHON | AIKIDO-2026-938783 / GHSA-932c-v3f4-cwxp | High | 71 | Query Injection | 0.27.1 |
| パッケージ | 言語 | 件数 | 内訳 | スコア | 修正版 |
|---|---|---|---|---|---|
| ash | ELIXIR | 15 | M7/L8 | 〜59 | 3.32.2 |
| agent-manifest | PYTHON | 5 | M2/L3 | 〜65 | 0.11.1 |
| ash_typescript | ELIXIR | 4 | M3/L1 | 〜63 | 0.18.0 |
| mint | ELIXIR | 2 | M2 | 〜63 | 1.10.0 |
| litellm | PYTHON | 1 | M1 | 〜65 | 1.88.6 / 1.89.7 / 1.90.7 ほか |
| skiplist | RUST | 1 | M1 | 〜63 | 1.1.1 |
| rhukster/dom-sanitizer | PHP | 1 | M1 | 〜47 | 1.0.16 |
| hono | JS | 1 | M1 | 〜47 | 4.13.7 |
| league/flysystem | PHP | 1 | M1 | 〜43 | 3.35.3 |
| ash_sqlite | ELIXIR | 1 | L1 | 〜21 | 0.2.18 |
Pre-CVE:
| パッケージ | 言語 | ID | 深刻度 | スコア | 内容 | 修正版 |
|---|---|---|---|---|---|---|
| boring-semantic-layer | PYTHON | AIKIDO-2026-100021 | Pre-CVE | 90 | Deserialization of Untrusted Data | 0.3.17 |
| ouroboros-ai | PYTHON | AIKIDO-2026-96665 | Pre-CVE | 81 | Authentication Bypass | 0.51.2 |
| gunicorn | PYTHON | AIKIDO-2026-625366 | Pre-CVE | 54 | HTTP Header Injection | 26.2.0 |
| openai | JS | AIKIDO-2026-445557 | Pre-CVE | 53 | Uncontrolled Resource Consumption | 7.6.0 |
共通接頭辞別の観測数(3件以上): launchappsllc 6
共通の接頭辞を持つパッケージ群については、同一の主体や単一のキャンペーンと断定はできないものの、命名規則に一定の傾向がみられる点は注目に値する。内部ツールや社内システムを模した名称は、開発者が誤って依存関係に組み込む可能性があるため、サプライチェーンリスクとして警戒すべき類型のひとつといえる。マルウェア関連の検出数は前日と比べて落ち着いた水準にあるが、これをもって脅威の後退と判断するのは時期尚早である。
前日(9/7)のMalware uniqueは90、当日(9/8)は27。マルウェア検出の水準は直近と比較して減少傾向を示しており、短期的には落ち着きが見られる。一方で脆弱性の報告は継続して積み上がっており、対応優先度の管理が引き続き重要な課題となっている。
Aikido Community Japan
公開日: 2026/9/8
最終更新: 2026/9/8