中国系サイバー犯罪グループ Silver Fox が、日本の産業機械製造業の組織に対し、新規の脆弱ドライバを用いた BYOVD 攻撃で ValleyRAT（Winos 4.0）を展開していた。侵入は請求書を装ったフィッシングで、正規の QQ／Tencent Cloud 上に置かれた攻撃者管理コンテンツから ZIP 経由の DLL サイドローディング連鎖が起動する。ValleyRAT 展開前に BYOVD でカーネル権限を取得してセキュリティ製品を無力化し、多層の復旧機構で常駐を維持する。国内製造業が名指しで標的にされた事例。
韓国当局とセキュリティ4社が国家支援型キャンペーンを公表。改ざんされた国内正規サイトを開くだけで、端末にインストール済みの金融セキュリティソフト AnySign4PC の脆弱版（1.1.4.4〜1.1.4.6）が悪用され、ダイアログもダウンロード操作もなくバックドアが導入される。KISA は 1.1.5.0 を修正版とし、脆弱版の削除を推奨。AhnLab は 2026 年中に 72 組織で関連攻撃の痕跡を、水飲み場として悪用された正規サイト 15 件を確認した。日本でも金融機関が導入を促す常駐型クライアントソフトは広く存在し、構造的に同じリスクを抱える。
攻撃者が制御する Gremlin データベースへの細工クエリを起点にクエリサンドボックスを脱出し、マルチテナントのゲートウェイ上でコード実行、プラットフォーム全体の署名シークレットとリージョン単位のアカウントディレクトリを取得、標的テナントのプライマリアカウントキーに到達する連鎖。Microsoft は 2025年11月の報告から 48 時間以内に脆弱な Gremlin エントリポイントを遮断し、恒久対策（プラットフォーム全体鍵の廃止）を 2026年7月に全リージョンで完了した。クラウド側の共有シークレット 1 つが全顧客の境界になる構造的リスクの実例。
Microsoft への報告から 144 日後に公開された手法。PoC では内部生成された文書が、2 回目の Copilot ドラフト作業でも同じ挙動を再発させた。Microsoft は 3/31 に挙動を確認し、元プロンプト文言のブロックと基盤モデルの GPT-5.5 へのアップグレードという 2 段の緩和を実施したが、報告者は翌日には GPT-5.6 上で改変した指示により全連鎖が動作し、7/28 時点でも攻撃クラスが再現すると述べている。ゼロクリックではなく、Copilot のドラフト／編集操作と悪性文書の取り込みが前提。プロンプトインジェクションが文書から文書へ自己伝播する形態。
10 か月間「暗号資産窃取」としてのみ記録されていた事案。メンテナが類似 npm ドメインでフィッシングされ、週間 20 億超のダウンロードを持つ 18 パッケージにウォレット吸い上げスクリプトが混入していた。Amazon は 2026年3月の axios 侵害と同一グループと中程度の確度で評価。同グループは axios 到達の 1 年前（2025年3月）に小規模パッケージ typo-crypto へトロイの木馬ファイルを仕込んでいた。当初の Aikido／Wiz 報告は北朝鮮への帰属を行っていなかった。
2026 年のデータ侵害の平均コストは 499 万ドル。AI が関与した攻撃はこの平均を上回るコストを記録した。
FMC の Web インターフェースに低権限アカウントの静的（ハードコード）認証情報が埋め込まれており（CWE-259）、未認証の遠隔攻撃者が当該アカウントでログインして機微情報にアクセスできる。ゼロデイとして悪用が確認され CISA が 7/29 に KEV 収載。回避策はなくホットフィックス適用が唯一の対処（7.0／7.2／7.4／7.6／7.7／10.0 向け提供）。7/30 のレポートで「KEV 未収載」と記載したのは誤りで、本日訂正する。
7/30・7/31 とも KEV への新規追加はなかった。期限管理対象として直近に残るのは CVE-2026-20316 Cisco FMC（8/1）、CVE-2026-60137 WordPress Core（8/4）、CVE-2025-68686 Fortinet FortiOS（8/10）。CISA 公式の KEV JSON フィードは引き続き空応答のため cvefeed.io ミラーで確認した。
libvips を Active Storage の画像処理に使い、信頼できない利用者からの画像アップロードを受け付ける構成が対象。細工した画像により未認証の攻撃者がアプリケーションサーバー上の任意ファイルを読み取れる。secret_key_base、Rails master key、DB パスワード、クラウドストレージ資格情報、API トークンが露出しうる。Rails 7.0 以降は Vips が既定のため、特別な設定をしていない Rails アプリが広く該当する。
偽の macOS アップデート画面が攻撃コマンドを密かにクリップボードへコピーし、Terminal での実行を促す ClickFix 型。C2 アドレスは Ethereum スマートコントラクトから動的に取得するブロックチェーンホスト型で、テイクダウン耐性が高い。AllSecure は「体験は利用者にパニックを起こさせるよう設計されている——OS が壊れたと信じた利用者は、通常なら怪しむ指示に従う」と分析している。
JadePuffer は、偵察・資格情報窃取・横展開・権限昇格・暗号化までを人手を介さず自律 LLM エージェントが実行した初の公開報告とされるランサムウェア運用。また 7/31 には Krybit ランサムウェアがインドの製造業企業のデータをリークサイトで公開した。
正規の Microsoft 認証ドメインを経由するため、URL の目視確認やドメイン評価ベースの検知が効きにくい。認証フローの見た目が本物であることを前提にした利用者教育の限界を示す。
影響範囲は Rails 7.0.0〜7.2.3.1／8.0.0〜8.0.5／8.1.0〜8.1.3。6.0.0〜6.1.7.10 は Vips を明示設定している場合のみ。修正版へのアップデートが必要。
JVN 経由で公表されたベンダーアップデート。詳細と適用対象はベンダーアドバイザリを確認のこと。
ZIP 展開処理におけるパス検証不備により、意図しない場所へファイルが書き出される（いわゆる Zip Slip 系）。Electron 系ビルドツールチェーンに組み込まれている場合、ビルド環境の汚染につながりうる。
NCO が 7/30 に署名した国際共同ガイダンス「サイバーセキュリティのための SBOM の最小要素に関する国際ガイダンス」と対をなす動き。CRA 附属書 I の SBOM 作成義務、経産省・IPA の SBOM 導入手引に直結する。
最優先（本日中）：Cisco Secure Firewall Management Center を運用している場合、KEV 対応期限が明日 8/1 であるためホットフィックスを即時適用する。回避策は存在しない。適用済みでも、侵害痕跡として cat /var/log/messages | grep license で /var/tmp/license.tmp への参照を確認し、疑いがあれば FMC 上の全資格情報・鍵・証明書をローテーションする。
Rails アプリケーション：CVE-2026-66066 は「Rails 7.0 以降の既定構成 ＋ 利用者からの画像アップロード受付」で成立する。該当する場合は修正版へ更新したうえで、露出した可能性のある secret_key_base・master key・DB パスワード・クラウドストレージ資格情報・API トークンをローテーションする。JPCERT/CC 注意喚起 at260021 を参照。
BYOVD 対策：Silver Fox の日本国内製造業標的事例を踏まえ、脆弱ドライバのブロックリスト運用（Windows の HVCI／メモリ整合性、WDAC ドライバブロックルール、Microsoft 脆弱ドライバブロックリストの有効化状態）を点検する。EDR 導入だけでは BYOVD によるカーネル権限奪取と製品無力化を防げない。
常駐型クライアントソフトの棚卸し：AnySign4PC 事案は「利用者が自分で選んでいないが特権的に常駐するソフト」が水飲み場攻撃の実行経路になった事例。金融機関・行政サービス由来の電子証明書クライアントやセキュリティソフトについて、資産管理上の可視化と自動更新の有無を確認する。
AI 文書作業の統制：Copilot for Word の隠し指示伝播は、外部由来文書を AI に読ませる運用そのものがリスク面になることを示す。外部・取引先由来の文書を AI 支援で加工する際は、生成物の数値をソースと突き合わせる検証工程を挟む。
重要インフラ事業者：7/31 に「重要インフラ統一基準」が決定され、サイバー対処能力強化法は 10/1 施行。特別社会基盤事業者に該当しうる企業は、統一基準に照らした自社対策水準の点検と、特定侵害事象等の報告体制の整備に着手する。
NCO（国家サイバー統括室）｜2026-07-31｜新着5件（Chrome で取得成功）
7/31 に4件：①「北朝鮮ＩＴ労働者に関する各国・企業等に対する注意喚起」の公表（注意喚起 PDF・英文・仮訳を同時公開）②「重要インフラ統一基準（案）」に関する意見の募集の結果 ③ サイバーセキュリティ戦略本部第６回会合を開催（報道発表資料 PDF）④ 松本デジタル大臣兼サイバー安全保障担当大臣のシンガポール訪問について。加えて 7/30 に「重要インフラサイバーセキュリティ対策推進会議第４回会合（持ち回り）を開催」。
JPCERT/CC｜2026-07-30｜新着2件
① 注意喚起 at260021「Ruby on Rails の Active Storage におけるリモートコード実行につながる脆弱性（CVE-2026-66066）」を 7/30 公開（前回時点の最新は 7/15 の Microsoft 7月更新だった）。② JPCERT/CC Eyes「TSUBAMEレポート Overflow（2026年4〜6月）」を 7/30 公開。Weekly Report は 2026-07-29号が最新のまま。
JVN｜2026-07-30｜新着2件
① JVNVU#91587639 Develar 製 app-builder（zipx.Unzip）における任意のファイルが上書きされる脆弱性（7/30 11:00）。② JVNVU#98815601 トレンドマイクロ製 TrendAI Vision One に対するセキュリティアップデート（2026年7月）（7/30 09:30）。7/31 付の公表は本日時点で未確認。
警察庁｜2026-07-31
サイバー警察局トップの新着情報欄は更新なし（家庭用IoT機器悪用対策 R8.7.21 が最新＝既記録）。ただし警察庁本体の新着として 7/31 付「北朝鮮IT労働者に関する各国・企業等に対する注意喚起」が公表されており（NCO と同日・同内容）、サイバー局ページには未反映。
新着なし：IPA（2026-07-17 が最新、2 日連続で更新なし）／経産省サイバーセキュリティ政策（2026-05-20 が最新、ページ最終更新日 4/27）／経産省プレスリリース（一覧の最新が 7/24 のまま、サイバー関連の新着なし）／デジタル庁（7/31 の新着は人事・幹部一覧のみ、セキュリティ政策ページ最終更新日は 2026-04-07）。
障害記録：① CISA 公式 KEV JSON フィードが空応答（継続）→ cvefeed.io ミラーで代替。② BleepingComputer が 7/20〜7/24 の古いキャッシュしか返さず、本日分の差分抽出に使用できなかった。③ cybersecuritynews.com の RSS がバイナリ応答で解析不可、トップページ HTML も取得不可（同サイト由来の情報は今回なし）。④ The Hacker News のラベル別ページが 6 月末までの古いキャッシュ（トップページは 7/30 分まで取得できたため代替）。⑤ NCO は Chrome 経由で正常取得。
サイバーセキュリティ戦略本部 第６回会合（2026-07-31、総理大臣官邸）
高市総理出席のもと開催され、「サイバーセキュリティ2026」（年次報告・年次計画）、「重要インフラ統一基準」、「脅威ハンティングの基本方針」を決定。あわせて、AI 高度化を踏まえ 5 月に策定した「プロジェクト・ヤタ・シールド（Project YATA-Shield）」の取組状況が報告された。総理からは AI 高度化への対応強化、サイバー対処能力強化法等に基づく取組の加速について 3 点の指示。同法の 2026年10月1日施行に向けた準備が進行中。（NCO 新着 / 首相官邸）
重要インフラサイバーセキュリティ対策推進会議 第４回会合（持ち回り）（2026-07-30）
持ち回りで開催。翌 7/31 の戦略本部における重要インフラ統一基準の決定に先立つ手続きと見られる。（NCO 新着）
「重要インフラ統一基準（案）」に関する意見の募集の結果（2026-07-31）
2026-04-21 から実施していた意見募集の結果が公表され、同日の戦略本部で統一基準が決定された。（NCO 新着）
新着なし：経産省 産業サイバーセキュリティ研究会（SCS・JC-STAR 関連）／AI事業者ガイドライン検討会／NCO サイバーセキュリティ人材フレームワーク検討会／デジタル・サイバーセキュリティWG／AI・半導体WG。
7月31日、総理大臣官邸で第6回サイバーセキュリティ戦略本部が開催され、「サイバーセキュリティ2026」「重要インフラ統一基準」「脅威ハンティングの基本方針」が決定された。重要インフラ統一基準は4月21日から意見募集にかけられていたもので、その結果も同日公表されている。2026年10月1日のサイバー対処能力強化法施行を前に、重要インフラ事業者に求められる対策水準と、政府側の能動的な脅威ハンティングの枠組みが同時に固まった格好で、特別社会基盤事業者に該当しうる企業は自社の対策水準を統一基準に照らして点検すべき段階に入った。
NCO と警察庁が同日、「北朝鮮IT労働者に関する各国・企業等に対する注意喚起」を公表した（英文・仮訳を同時公開）。2025年8月の日米韓共同声明・注意喚起（更新版）に続く国際共同での発信で、今回は「各国・企業等」を宛先に据えている点が特徴。北朝鮮IT労働者は身元を偽って業務委託・リモート採用に入り込み、外貨獲得だけでなく情報窃取や悪意あるサイバー活動の起点にもなりうるとされる。リモート採用・オフショア委託を行う企業にとって、採用時の本人確認と業務環境のアクセス制御が、そのままサプライチェーンセキュリティの問題になることを示す文書である。
中国系サイバー犯罪グループ Silver Fox が、日本の産業機械製造業の組織を標的に、新規の脆弱ドライバ3種を用いた BYOVD 攻撃で ValleyRAT（Winos 4.0）を投下していたと Cato Networks が報告した。侵入は請求書を装ったフィッシングから始まり、正規の QQ／Tencent Cloud 上に置かれた攻撃者コンテンツを経由して ZIP 内の DLL サイドローディング連鎖が起動、ValleyRAT 展開前に BYOVD でカーネル権限を取り、セキュリティ製品を無力化する。国内製造業が具体的に名指しされた事例であり、「EDR を入れているから大丈夫」という前提が BYOVD によって崩される典型として、ドライバのブロックリスト運用（HVCI／WDAC）の実装状況を点検する契機になる。
JPCERT/CC が7月30日、Ruby on Rails の Active Storage における CVE-2026-66066（CVSS 9.5）について注意喚起を公開した。libvips を画像処理に用い、信頼できない利用者からの画像アップロードを受け付ける構成が対象で、細工した画像により未認証の攻撃者がアプリケーションサーバー上の任意ファイルを読み取れる。secret_key_base、Rails master key、DB パスワード、クラウドストレージ資格情報、API トークンが露出しうるため、そこから RCE や横展開に至る。Rails 7.0 以降は Vips が既定の画像プロセッサであり、「特別な設定をしていない Rails アプリ」が広く該当する点が実務上の要点である。
韓国当局とセキュリティ4社が、正規の国内サイトを改ざんして、端末にインストール済みの金融セキュリティソフト AnySign4PC（1.1.4.4〜1.1.4.6）の脆弱性を悪用し、SIGNBT／COPPERHEDGE バックドアを無警告で送り込む国家支援型キャンペーンを公表した。ダイアログもダウンロード操作も不要で、改ざんページを開くだけで感染しうる。AhnLab は2026年に72組織で関連攻撃の痕跡を、水飲み場として悪用された正規サイト15件を確認したとしている。日本でも銀行・証券が利用者に導入を促す常駐型クライアントソフトは広く存在し、「利用者が自分で選んでいない、しかし特権的に常駐するソフト」の脆弱性管理と自動更新の責任分界を問い直す材料になる。
CISA が SBOM の最小要素に関するガイダンスを改訂して新たなベースラインを設定し、同日 NCO が国際文書「サイバーセキュリティのためのソフトウェア部品表（SBOM）の最小要素に関する国際ガイダンス」に署名した。2025年9月の「A Shared Vision of SBOM for Cybersecurity」署名に続く動きで、日本を含む主要国が SBOM の最小要素について共通の土台を持ったことになる。EU CRA 附属書 I が求める SBOM 作成義務に対し、どこまでの粒度・形式で作れば足りるのかは国内メーカーの実務上の最大の悩みどころであり、経産省・IPA の SBOM 導入手引や SCS 評価制度と突き合わせて読む価値がある。
FCC が7月28日、海外製の移動ロボットとネットワーク接続型パワーインバータを Covered List に追加し、新規モデルが米国での輸入・販売に必要な機器認証を原則受けられないようにした。既認証モデルの販売や利用者の既存機器、連邦調達・利用には影響せず、脆弱性修正と OS 互換性のためのソフトウェア／ファームウェア更新は少なくとも2029年1月1日まで適用除外が認められる。EU CRA や日本の JC-STAR が「製品の要件を定めて適合させる」アプローチであるのに対し、Covered List は「供給元を理由に市場アクセスを断つ」アプローチであり、両者の併存が組込み・OT 製品を持つメーカーの北米・欧州向け戦略にどう効くかを整理しておく必要がある。
本日（金曜）は週次・月次チェックの対象外。週次ソース（NVD・FIRST）および月次ソース（欧州委員会 CRA・EUR-Lex／EU官報・ENISA・CEN-CENELEC・経産省 SCS 評価制度／IPA SBOM 導入手引）は次回 2026-08-03（月／8月第1月曜のため週次・月次とも実施）に確認する。日次対象の CISA KEV・JVN／JPCERT/CC は上記の各セクションに記録済み。
CRA 実務に接続する本日の動き：CISA が SBOM の最小要素ガイダンスを改訂して新ベースラインを設定し（7/30）、同日 NCO が国際共同ガイダンス「サイバーセキュリティのためのソフトウェア部品表（SBOM）の最小要素に関する国際ガイダンス」に署名した。CRA 附属書 I の SBOM 作成義務に対し、日米を含む主要国が「最小要素」の共通土台を持ったことになり、国内メーカーが SBOM の粒度・形式を決める際の実務的アンカーになる。（Help Net Security / NCO 新着）
CRA Art.14（積極的に悪用されている脆弱性）観点の要注目マーク：CVE-2026-20316 Cisco Secure FMC（KEV 期限 8/1・明日／ハードコード認証情報は CRA 附属書 I の必須要件に真正面から抵触する類型）。新規マークとして、① AnySign4PC（韓国）——金融機関が導入を促す常駐型クライアントソフトがプロンプトなしで水飲み場攻撃の実行経路になった事例、② FCC Covered List 拡大——移動ロボット・ネットワーク接続インバータという組込み／OT 寄りカテゴリに、サイバーリスクを理由とした市場アクセス制限がかかった事例。継続マーク：CVE-2026-60137 WordPress Core（8/4）、CVE-2025-68686 Fortinet FortiOS（8/10）、CVE-2026-42897 Microsoft Exchange／OWA、CVE-2026-16723 Fastjson 1.x、CVE-2026-12569 PTC Windchill／FlexPLM、DD-WRT、Langflow、リコー複合機 JVN#32082029、エレコム製無線 LAN ルーター／AP 3件。