10/8(UTC)の観測は、Malware 66 unique(生87)、脆弱性はCVE/GHSA 54件(C5/H17/M30/L2)+Pre-CVE 0件。本日はマルウェアの検出水準が直近数日の中でも高い位置にあり、注意が必要な状況です。脆弱性についても多数が別掲されており、総合的にリスクレベルが高まった一日となりました。
マルウェア 66 / Critical 5 / High 17 / 脆弱性合計 54 / pre-CVE 0
エコシステム(生): npm 63 / firefox 12 / huggingfac 8 / pypi 3 / vscode 1
🚨 共通接頭辞「@bellaxchuu」の名称を 13 パッケージで観測
🚨 共通接頭辞「@dransay」の名称を 7 パッケージで観測
🚨 共通接頭辞「@xayz」の名称を 3 パッケージで観測
| 区分 | 10/4 | 10/5 | 10/6 | 10/7 | 10/8 |
|---|---|---|---|---|---|
| Critical | 0 | 1 | 5 | 0 | 5 |
| High | 0 | 31 | 16 | 5 | 17 |
| Medium | 0 | 22 | 18 | 10 | 30 |
| Low | 0 | 1 | 2 | 2 | 2 |
| Pre-CVE | 0 | 3 | 5 | 0 | 0 |
| Malware unique | 22 | 61 | 25 | 25 | 66 |
過去日は前号確定値(DB)を再掲。データ日=2026-10-08。
| パッケージ | 言語 | ID | 深刻度 | スコア | 内容 | 修正版 |
|---|---|---|---|---|---|---|
| handlebars | JS | AIKIDO-2026-970464 / CVE-2026-106446 | Critical | 98 | Code Injection | 4.7.10 |
| lmcache | PYTHON | AIKIDO-2026-678481 / CVE-2026-107204 | Critical | 98 | Remote Code Execution (RCE) | - |
| lmcache | PYTHON | AIKIDO-2026-573554 / CVE-2026-105192 | Critical | 98 | Remote Code Execution (RCE) | - |
| thrift | C++ | AIKIDO-2026-630774 / CVE-2026-83632 | Critical | 92 | Heap-based Buffer Overflow | 0.25.0 |
| handlebars | JS | AIKIDO-2026-258160 / CVE-2026-106445 | Critical | 92 | Remote Code Execution (RCE) | 4.7.10 |
| rails_admin | RUBY | AIKIDO-2026-749901 / GHSA-22g3-g835-fqqw | High | 88 | Unsafe Reflection | 3.3.1 |
| quinn-proto | RUST | AIKIDO-2026-404995 / GHSA-53rm-773f-4q8c | High | 87 | Denial of Service (DoS) | 0.11.19 |
| rails_admin | RUBY | AIKIDO-2026-264915 / GHSA-qm4x-chm3-xppc | High | 83 | Improper Authorization | 3.3.1 |
| ash | ELIXIR | AIKIDO-2026-597857 / CVE-2026-94201 | High | 82 | Denial of Service (DoS) | 3.34.3 |
| litellm | PYTHON | AIKIDO-2026-715385 / GHSA-g5ff-637f-6q2m | High | 81 | Arbitrary File Read | 1.88.6 / 1.89.7 / 1.90.7 ほか |
| drupal/block_ajax | PHP | AIKIDO-2026-345544 / CVE-2026-107249 | High | 80 | Deserialization of Untrusted Data | 3.0.2 |
| drupal/auth_login_plus | PHP | AIKIDO-2026-53420 / CVE-2026-107254 | High | 80 | Improper Authentication | 1.0.1 |
| litellm | PYTHON | AIKIDO-2026-538050 / CVE-2026-89032 | High | 77 | Incorrect Authorization | 1.101.0 |
| drupal/restrict_route_by_ip | PHP | AIKIDO-2026-570477 / CVE-2026-107255 | High | 75 | Access bypass | 1.3.1 / 2.0.1 |
| mammoth | JS | AIKIDO-2026-74622 / CVE-2026-105219 | High | 75 | Denial of Service (DoS) | 1.12.3 |
| pydantic-ai-slim | PYTHON | AIKIDO-2026-380962 / GHSA-6fqq-452j-qhrp | High | 75 | Denial of Service (DoS) | 2.53.0 |
| Fido2 | DOTNET | AIKIDO-2026-629661 / GHSA-jc6v-cf3v-w2fm | High | 75 | Improper Certificate Validation | 4.2.0 |
| dalli | RUBY | AIKIDO-2026-27592 / GHSA-p6pm-ch9v-44vx | High | 75 | Information Disclosure | 3.2.12 / 4.3.6 / 5.0.9 ほか |
| dalli | RUBY | AIKIDO-2026-858017 / GHSA-m252-9cgf-vx2w | High | 75 | Information Disclosure | 4.3.7 / 5.0.10 / 5.1.4 ほか |
| drupal/mathjax | PHP | AIKIDO-2026-931838 / CVE-2026-107252 | High | 75 | Cross-site Scripting (XSS) | 4.1.2 |
| drupal/entity_reference_manager | PHP | AIKIDO-2026-697106 / CVE-2026-107251 | High | 75 | Access Bypass | 1.0.3 |
| drupal/actstream | PHP | AIKIDO-2026-503441 / CVE-2026-107257 | High | 72 | Access Bypass | 2.0.1 / 2.1.1 |
| パッケージ | 言語 | 件数 | 内訳 | スコア | 修正版 |
|---|---|---|---|---|---|
| dalli | RUBY | 4 | M3/L1 | 〜58 | 3.2.12 / 4.3.6 / 5.0.9 ほか |
| asyncssh | PYTHON | 1 | M1 | 〜65 | 2.24.1 |
| pydantic-ai-slim | PYTHON | 1 | M1 | 〜65 | 1.107.7 / 2.52.0 |
| mint | ELIXIR | 1 | M1 | 〜63 | 1.10.2 |
| ash | ELIXIR | 1 | M1 | 〜59 | 3.33.0 |
| drupal/linked_field | PHP | 1 | M1 | 〜56 | 1.8.0 |
| drupal/leaflet | PHP | 1 | M1 | 〜56 | 10.4.13 |
| drupal/inline_entity_form_dialog | PHP | 1 | M1 | 〜55 | 1.0.6 |
| django | PYTHON | 1 | M1 | 〜53 | 6.1.2 / 6.0.9 / 5.2.18 |
| basic-ftp | JS | 1 | M1 | 〜53 | 6.2.2 |
| opentelemetry-propagator-jaeger | PYTHON | 1 | M1 | 〜53 | 1.45.0 |
| drupal/gutenberg | PHP | 1 | M1 | 〜52 | 2.15.0 / 3.0.7 |
| drupal/auth_login_plus | PHP | 1 | M1 | 〜52 | 1.0.1 |
| drupal/inline_formatter_field | PHP | 1 | M1 | 〜52 | 4.2.0 |
| drupal/xray_audit | PHP | 1 | M1 | 〜52 | 1.6.3 / 2.0.4 / 3.1.1 |
| drupal/eca_helper | PHP | 1 | M1 | 〜50 | - |
| drupal/orphans_media | PHP | 1 | M1 | 〜50 | - |
| drupal/smartlinker_ai | PHP | 1 | M1 | 〜50 | 1.0.3 |
| drupal/advanced_filesystem | PHP | 1 | M1 | 〜48 | 1.0.28 |
| drupal/miniorange_2fa | PHP | 1 | M1 | 〜48 | 5.4.1 / 5.5.2 |
| handlebars | JS | 1 | M1 | 〜47 | 4.7.10 |
| drupal/freelinking | PHP | 1 | M1 | 〜45 | 4.0.3 / 5.0.0-alpha3 |
| drupal/permissions_by_term | PHP | 1 | M1 | 〜45 | 3.1.41 |
| drupal/views_share | PHP | 1 | M1 | 〜45 | 2.0.1 |
| drupal/dkan | PHP | 1 | M1 | 〜44 | 4.0.4 / 4.1.5 |
| drupal/menu_link_attributes | PHP | 1 | M1 | 〜44 | 1.8.0 |
| drupal/easy_breadcrumb | PHP | 1 | M1 | 〜42 | 2.0.11 |
| drupal/country | PHP | 1 | M1 | 〜40 | 2.1.3 / 2.2.1 |
| drupal/examples | PHP | 1 | L1 | 〜32 | 4.0.7 |
Pre-CVE:
(該当なし)
共通接頭辞別の観測数(3件以上): @bellaxchuu 13・@dransay 7・@xayz 3
内部システムを想起させる共通接頭辞を持つパッケージ群がまとまって観測されており、組織内部のツールや基盤ライブラリを装って開発者環境への侵入を狙う手口が疑われます。また、一般的なタイポスクワットによる便乗も確認されており、複数の手法が並行して試みられている可能性があります。意図的なキャンペーンかどうかは現時点で断定できませんが、継続的なモニタリングが求められます。
前日(10/7)のMalware uniqueは25、当日(10/8)は66(直近5日で最大)。マルウェアの検出水準は前日から増加しており、直近の推移の中でも高い水準に達しています。短期間での上昇傾向が見られるため、引き続き動向を注視することが重要です。
Aikido Community Japan
公開日: 2026/10/8
最終更新: 2026/10/8