【2026/09/14】Aikido Intel 日次 — 9/13分: Malware 17 unique・脆弱性 計0件 — 内部システム偽装・タイポスクワット系パッケージの混入に注意

数字

マルウェア 17 / Critical 0 / High 0 / 脆弱性合計 0 / pre-CVE 0

エコシステム(生): npm 18 / firefox 3

※脆弱性0件は暫定値(フィード側の取得不能・停滞の可能性)。後日の遡及確定があり得る。

🚨 共通接頭辞「@reause」の名称を 9 パッケージで観測

トレンド

過去日は前号確定値(DB)を再掲。データ日=2026-09-13。

新規観測（事実のみ）

脆弱性（2026-09-13 公開、CVE/GHSA 0件＋Pre-CVE 0件）

Critical / High (0)

(該当なし)

Medium / Low (0件、パッケージ単位に集約)

(該当なし)

Pre-CVE:

(該当なし)

Malware（2026-09-13 検出、17 unique／生21）

共通接頭辞別の観測数(3件以上): @reause 9

今回まとまって観測された共通接頭辞を持つパッケージ群は、内部ツールや社内システムを想起させる命名パターンを採用しており、開発者が無警戒にインストールしてしまうよう誘導する意図が窺える。また、著名パッケージ名のスペルを微妙に変えたタイポスクワット手法も並行して確認されており、複数の手口が同時期に展開されている点は注目に値する。これらが単一のキャンペーンに起因するかは現時点では断定できないが、いずれも開発環境への侵入口として機能し得るため注意が必要だ。

注意点

1. 依存パッケージを追加・更新する際は、パッケージ名のスペルを一文字単位で目視確認し、公式リポジトリ上の公開者情報や公開日が不自然でないかを併せて検証すること
2. 社内システム名や内部ツール名に類似したパッケージ名が外部リポジトリに存在していないか定期的に検索し、依存関係混乱攻撃の兆候を早期に把握する体制を整えること
3. CI/CDパイプラインにパッケージ整合性チェック（ハッシュ検証やプライベートミラーの活用）を組み込み、意図しない外部パッケージの取り込みを自動的に検知・遮断できるよう構成すること

連続性メモ

前日(9/12)のMalware uniqueは4、当日(9/13)は17。マルウェア検出数は直近で増加傾向が続いており、供給チェーンを狙う手口の活発化が示唆される状態が継続している。脆弱性フィードについては本日の登録がなく、フィード側の遅延または障害による可能性があるため、後日の遡及公開にも引き続き注意を払いたい。