REST APIバッチルート混同（CVE-2026-63030）とWP_QueryのSQLi（CVE-2026-60137）の連鎖で、プラグインゼロの素のWordPress 6.9〜7.0.1が未認証RCEの射程に入る。7/17に6.9.5／7.0.2／6.8.6が強制自動更新付きで緊急公開され、7/18までに全メカニズムとPoCが公開された。大規模悪用の確認前だが時間の問題とみられる。暫定策はWAFでの /wp-json/batch/v1 遮断。
Abbottは7/18、2件のサイバーインシデントを調査中と報じられた。ShinyHuntersが侵害を主張しているが、影響範囲・データの内容は未確認。医療分野を狙う恐喝グループの活動継続を示す事案として続報を要ウォッチ。
Expelは4月のDigicertインシデントを中国系犯罪グループGoldenEyeDog（APT-Q-27／Dragon Breath）のサブグループによる攻撃と特定。サポート担当者の端末を改造Gh0st RATで侵害し、顧客向けコード署名証明書を窃取した。署名済みマルウェアによる信頼チェーンの悪用リスクが広がる。
2025年末から東南アジアの政府・外交機関を長期潜伏型で狙う未記録マルウェア。外部C2から二次ペイロードを展開し機密収集・認証情報ダンプを実行、2026年5月にはStowaway RAT等の進化したツール群で再来した。
前回実行（7/18）以降のKEV新規追加はなし。直近追加分のうち KEVCVE-2026-25089・CVE-2026-39808（Fortinet FortiSandbox、未認証OSコマンドインジェクション、ともにCVSS 9.8）と KEVCVE-2026-58644（Microsoft SharePoint 逆シリアル化RCE、CVSS 9.8）の対応期限が本日。CISA公式JSONは空応答が続いておりミラーで確認。
未認証RCEチェーン。PoC公開済み・悪用観測の報道が出始めた段階でKEV収載はまだ。CVSSは公式採番待ちだが、事実上最優先で対処すべき。
ComfyUI・Ollama・n8n・Open WebUI・Langflow・GradioをShodanハーベスタで探索し、クラウドキーとKubernetesトークンを収集。運営ダッシュボードはAWSキー3,811件・直近100レコード中47件の認証情報奪取を表示していた。検証用に立てたAI基盤が認証情報の供給源になる。
Vite関連のタイポスクワット7パッケージが、Tron・Aptos・BSCにまたがる4層ブロックチェーンC2（ChainVeil）で逆シェル・認証情報収集・ファイル窃取機能を持つRATを配布。C2がブロックチェーン上にあるため遮断・破壊が極めて困難。
偽の求人・コーディング課題に仕込んだSVGのステガノグラフィで、ブラウザ認証情報／暗号資産ウォレット窃取・ファイル窃取・Socket.IOベースRAT・クリップボード窃取の4段構成（OtterCookie系）を配布。開発者を狙う国家系攻撃の継続。
Runボックスへのコマンド貼り付け（ClickFix）を起点に、保存パスワード・ライブセッショントークン・M365文書・OneDrive/SharePoint同期ファイルまで持ち出す。Microsoftは「パスワード変更だけでなくトークン失効を」と明記。ディスク痕跡を残さないメモリ実行チェーンも確認。
wp2shellチェーンを塞ぐ緊急リリース。自動更新経由で強制配信されたが、自動更新を無効化した環境・更新が失敗した環境は手動確認が必要。適用不能時は /wp-json/batch/v1 と rest_route=/batch/v1 の遮断を。
DoS修正がCVE・アドバイザリなしで収録されているため、CVEベースの管理では適用要否を判定できない。各ブランチで上記バージョン未満は影響ありとしてバージョンベースで棚卸を。
KEV期限本日の3件に対応するパッチ。FortiSandboxは未認証で悪用可能なため、インターネット到達可能な管理面の露出確認とあわせて適用を。
① WordPress運用サイトは本体バージョンが6.9.5／7.0.2以上であることを即日確認（自動更新失敗例に注意）。適用不能なら /wp-json/batch/v1 をWAFで遮断。② FortiSandbox・オンプレSharePointはKEV期限（本日）超過を前提に、パッチ適用に加え侵害痕跡の調査を実施。③ OpenSSLはCVE検索ではなくバージョン比較で影響判定（4.0.1／3.6.3／3.5.7／3.4.6／3.0.21未満が対象）。④ ComfyUI・Ollama・n8n・Langflow等のAIツールはインターネット露出を点検し、認証必須化・IP制限を。⑤ ClickFix型（Runボックス貼り付け）被害の対処はパスワード変更ではなくセッショントークン失効を優先。
NCO：Chrome経由の取得が復旧。7/17「サイバー対処能力強化法に基づく特別社会基盤事業者による特定侵害事象等の報告等に関する制度の解説（案）」意見募集開始★、7/14 報告様式案の意見募集★、7/7 ISMAP運営委員会第41回★、7/6 報告等命令の一部改正命令案の意見募集★（いずれもChrome不通期間中の未記録分）。cyber.go.jp
IPA：新着なし（7/16 脆弱性届出状況2026Q2まで記録済み）。経産省：サイバーセキュリティ政策ページ新着なし（5/20のまま）。プレスリリース一覧はJS制限で4/24以降を表示できず（継続障害）。警察庁サイバー局：新着なし（6/19のまま）。JPCERT/CC：新着なし（7/16の四半期レポートまで記録済み）。デジタル庁：セキュリティ関連の新着なし（7/17新着はダッシュボードガイド・マイナンバー関連等）。
障害記録：CISA公式KEV JSON空応答（cvefeed.ioで代替）／cybersecuritynews.com RSSバイナリ応答／BleepingComputer RSSが7/15分までのキャッシュ／経産省プレス一覧JS制限——いずれも継続。日曜のため週次・月次ソースは対象外。
NCO：ISMAP運営委員会第41回会合を開催（7/7掲載）。サイバーセキュリティ戦略本部第5回会合（持ち回り）を開催（6/23掲載・報道発表資料あり）。いずれもChrome不通期間中の未記録分を今回記録。cyber.go.jp
経産省 産業サイバーセキュリティ研究会・AI事業者ガイドライン検討会・デジタル庁系WGは新規開催情報を確認できず。
CVE-2026-63030＋CVE-2026-60137の連鎖で素のWordPressが未認証RCEに。7/17の強制更新と7/18のPoC公開で時間勝負の局面。プラグインでなくコアが原因という点でJoomla拡張ゼロデイ群と質が異なり、国内サイト向けの具体的対処（バージョン確認・WAF遮断）まで含め速報価値が高い。
NCOは7月、特別社会基盤事業者の特定侵害事象等報告に関し、命令改正案（7/6）・報告様式案（7/14）・制度解説案（7/17）と立て続けに意見募集を開始。能動的サイバー防御の制度化が実務様式のレベルまで具体化した。対象事業者が準備すべき事項の整理に適時性がある。
修正がCVEなし・アドバイザリなしでサイレント収録され、スキャナでは検出も優先度付けもできなかった。CVE駆動の脆弱性管理の限界とバージョンベース管理・SBOMの必要性を論じる深掘り題材。
「素早く立ててファイアウォールは後回し」なAIツール群が専門に探索され、クラウドキーが大量流出。7月上旬KEV入りのLangflow悪用とも地続きで、国内のローカルLLM・ワークフロー基盤の露出点検を促す解説に適する。
サポート担当者の端末侵害から顧客向けコード署名証明書が窃取された。署名済みマルウェアは信頼判定をすり抜けるため影響はCA一社にとどまらない。証明書失効確認と「信頼の連鎖」の脆さを論じる題材。
偽求人・コーディング課題経由のSVGステガノで認証情報・ウォレット・RATの4段構成を配布。転職・副業経由で狙われる国内開発者に向け、渡されたコード課題の実行リスクと端末分離の実務対策に落とせる。