【2026/10/07】Aikido Intel 日次 — 10/6分: Malware 25 unique・脆弱性 計30件 — 内部システム偽装の接頭辞群とtyposquatに注意

訂正(10/8 10:30 JST 自動修復): 集計時点のフィード停滞により暫定値を掲載しましたが、確定集計で回収しました。正値: Critical 5 / High 16 / Medium 18 / Low 2 + Pre-CVE 5。

数字

マルウェア 25 / Critical 5 / High 12 / 脆弱性合計 27 / pre-CVE 3

エコシステム(生): npm 15 / firefox 12 / pypi 2

トレンド

過去日は前号確定値(DB)を再掲。データ日=2026-10-06。

新規観測（事実のみ）

脆弱性（2026-10-06 公開、CVE/GHSA 27件＋Pre-CVE 3件）

Critical / High (17)

Medium / Low (10件、パッケージ単位に集約)

Pre-CVE:

Malware（2026-10-06 検出、25 unique／生29）

共通接頭辞別の観測数(3件以上): (該当なし)

内部システム風の命名を持つパッケージ群がまとまって観測された点は、開発・CI環境を狙った依存関係混乱攻撃の手口と類似しており、意図的な命名戦略が疑われる。ただし、これらが単一の主体や同一キャンペーンによるものであるかは現時点では断定できない。平時からプライベートリポジトリのスコープ設定や内部パッケージ名の厳格な管理を行うことが、こうした手口への有効な対策となりうる。

注意点

1. 内部ツールや社内システムを連想させるパッケージ名をパブリックレジストリで検索し、意図せず外部の同名パッケージを取得していないか確認する。
2. タイポスクワット対策として、依存関係ファイルのパッケージ名を正規のスペルと照合するレビュープロセスを導入・徹底する。
3. 別掲の脆弱性情報を参照し、自組織で使用中の該当コンポーネントがないか速やかに棚卸しを行い、優先度をつけてアップデートを適用する。

連続性メモ

前日(10/5)のMalware uniqueは61、当日(10/6)は25。マルウェア検出の勢いは前日と比べて落ち着いた推移となっているが、不審なパッケージ登録の傾向は継続して観測されており、予断を許さない状況が続いている。引き続き脅威インテリジェンスの情報と照合しながら監視を維持することが望ましい。