10/7(UTC)の観測は、Malware 25 unique(生42)、脆弱性はCVE/GHSA 15件(C0/H4/M9/L2)+Pre-CVE 0件。本日は脆弱性情報が別掲のとおり複数件報告されており、開発・運用担当者は優先度を確認されたい。あわせて、内部システムを模した共通接頭辞を持つパッケージ群および一般的なタイポスクワットがまとまって観測された。
訂正(10/8 10:30 JST 自動修復): 集計時点のフィード停滞により暫定値を掲載しましたが、確定集計で回収しました。正値: Critical 0 / High 5 / Medium 10 / Low 2 + Pre-CVE 0。
マルウェア 25 / Critical 0 / High 4 / 脆弱性合計 15 / pre-CVE 0
エコシステム(生): npm 24 / pypi 9 / firefox 5 / cargo 2 / vscode 1 / maven 1
| 区分 | 10/3 | 10/4 | 10/5 | 10/6 | 10/7 |
|---|---|---|---|---|---|
| Critical | 0 | 0 | 1 | 5 | 0 |
| High | 0 | 0 | 31 | 12 | 4 |
| Medium | 0 | 0 | 22 | 8 | 9 |
| Low | 0 | 0 | 1 | 2 | 2 |
| Pre-CVE | 0 | 0 | 3 | 3 | 0 |
| Malware unique | 54 | 22 | 61 | 25 | 25 |
過去日は前号確定値(DB)を再掲。データ日=2026-10-07。
| パッケージ | 言語 | ID | 深刻度 | スコア | 内容 | 修正版 |
|---|---|---|---|---|---|---|
| qpid-broker-plugins-amqp-0-8-protocol | JAVA | AIKIDO-2026-423876 / CVE-2026-92564 | High | 75 | Denial of Service (DoS) | 10.1.1 |
| mcp | PYTHON | AIKIDO-2026-404389 / CVE-2026-59951 | High | 75 | Denial of Service (DoS) | 1.30.0 / 2.2.0 |
| mcp | PYTHON | AIKIDO-2026-821108 / GHSA-qx49-fqc8-xw99 | High | 75 | Insufficiently Protected Credentials | 1.30.0 / 2.2.0 |
| mcp | PYTHON | AIKIDO-2026-705470 / GHSA-fmmv-w9g8-j3gc | High | 75 | Denial of Service (DoS) | 1.29.1 / 2.1.0 |
| パッケージ | 言語 | 件数 | 内訳 | スコア | 修正版 |
|---|---|---|---|---|---|
| wasmtime | RUST | 3 | M3 | 〜59 | 48.0.4 / 49.0.2 |
| wasmtime-wasi | RUST | 2 | M2 | 〜62 | 48.0.4 / 49.0.2 |
| wasmtime-wasi-http | RUST | 2 | M2 | 〜62 | 36.0.16 / 48.0.3 / 49.0.1 |
| follow-redirects | JS | 2 | M2 | 〜58 | 1.16.1 |
| lazy_html | ELIXIR | 1 | L1 | 〜23 | 0.1.13 |
| @anthropic-ai/claude-code | JS | 1 | L1 | 〜20 | 2.1.260 |
Pre-CVE:
(該当なし)
共通接頭辞別の観測数(3件以上): (該当なし)
マルウェア活動量は前日からほぼ変化がなく、特段の急増傾向は現時点で確認されていない。一方で、内部システム風の命名を用いた手口は、標的組織の開発環境や依存関係管理を狙う試みである可能性が考えられる。タイポスクワットとあわせ、サプライチェーン経路を意識した警戒が引き続き求められる状況とみられる。
前日(10/6)のMalware uniqueは25、当日(10/7)は25。マルウェアの検出動向は前日と同水準で推移しており、大きな変動は見られない。引き続き同程度の活動レベルを前提とした監視体制を維持することが望ましい。
Aikido Community Japan
公開日: 2026/10/7
最終更新: 2026/10/8