アフガニスタン・キルギス・タジキスタン・ウズベキスタン・カザフスタンおよびシリアの政府組織を、2025年1月以降継続的に標的とするキャンペーン。医療・研究・外務省・物流・法執行機関・都市計画・公教育と対象セクターが広い。難読化された2種のバックドア OctLurk・SilkLurk は追加プラグインをダウンロード／インジェクトしてコマンドシェル起動などを行い、トラフィック中継用ユーティリティ LurkProxy も併用される。既知のいずれの攻撃グループにも紐付いていない点が特徴。
暗号化アーカイブへのリンクを含むスピアフィッシングから始まり、Windows ショートカット（LNK）の実行で権限昇格・Microsoft Defender の保護弱体化・追加ペイロード投下へ進む多段チェーン。Go 製ローダ HollowFrame は正規の python.exe と偽 python311.dll による DLL サイドローディングで起動する。Rust 製 Matryoshka は HTTP 通信版と GitHub を C2 に使う版の2系統を持ち、後者は通常の C2 ドメインブロックでは検知しにくい。
LTE 2 実装（Open5GS・OpenAirInterface）と 5G 5 実装（Open5GS・free5GC・OpenAirInterface・SD-Core・eUPF）を GTP-C・PFCP の2プロトコルで検証し、DoS および利用者セッションの乗っ取りに至る欠陥を発見。根本原因は単一で「コアネットワーク要素間の暗黙の信頼（implicit trust）」であるとされる。ローカル 5G を含む通信インフラの設計前提に関わる指摘で、状況に変化はないが継続監視対象。
Telegram 経由の初期指示のみで、以降の操作者入力なしにインターネット露出システムを発見し公開エクスプロイトを選択した事例。エイリアス knaithe／KnYuan で追跡され、7 系統・8 CVE のエクスプロイトを使用。別途の手動作戦では NetScaler のメモリ過剰読み取り（CVE-2026-3055）で3組織からデータが持ち出された。攻撃側の自律化が実験から実運用へ移行しつつある指標。
追加日ベースの最新は依然 2026-07-29 の CVE-2026-20316。CISA 公式の KEV JSON フィードは空応答が続いており、cvefeed.io ミラーで確認した。
プラグインやテーマが信頼できない入力をパラメータに渡した場合に SQL インジェクションが成立する。CISA は CVE-2026-63030（解釈の競合／9.8）との連鎖により、デフォルト構成の WordPress に対して未認証攻撃者がリモートコード実行を得られると明記している。本日時点で期限まで残り2日。修正版は WordPress 7.0.2。
対応期限が昨日をもって経過した。未認証のリモート攻撃者が低権限アカウントでログインし機微情報にアクセスできる。CVSS は 5.3 の「中」でありながら悪用が進行中であり、スコア依存トリアージの限界を示す例。IoC は system log 上の package_info.pl 実行と /var/tmp/license.tmp の参照。悪用が疑われる場合は当該 FMC 上の全資格情報・鍵・証明書のローテーションが推奨されている。
シンボリックリンクによる永続化機構に対して開発されたパッチを、細工した HTTP リクエストで迂回できる。前提として別の脆弱性によりファイルシステムレベルで侵害されている必要がある。次の対応期限案件として継続マーク。
HTTP ベースの通信とコマンド実行を行う版と、ビーコン・タスキング・偵察・ファイル転送・二次ペイロード配信のすべてを GitHub 経由で行う版の2変種が確認されている。HollowFrame ローダと組み合わせて法律事務所への持続的アクセスを確立した。正規サービスを C2 に使う手法のため、ドメインレピュテーションによる検知が効きにくい。
OctLurk と SilkLurk はいずれも難読化されたバックドアで、追加プラグインをダウンロードしてインジェクトし、コマンドシェルの起動をはじめとする追加の悪性動作を実行できる。LurkProxy はネットワークトラフィックのプロキシに特化した専用ユーティリティ。既知グループへの帰属がなされていないため、TTP ベースの検知設計が求められる。
プリインストールアプリが端末のハードウェア識別情報を書き換えて Samsung／Huawei／Xiaomi／Vivo のスマホを騙り広告不正を行う一方、HDMI 信号を検知している間は所有者の回線を SOCKS5 出口ノードとして貸し出す。多くが型番 H96_MAX_V11。浙江蜂窝物联网科技に帰属。CRA 附属書 I の「既知の悪用可能な脆弱性を含まない状態での上市」に真正面から抵触する類型として継続マーク。
KEV 収載の2件を修正する。両者は連鎖により未認証 RCE に到達するため、単体の CVSS ではなく連鎖後の影響で優先度を判断すべき案件。自動更新が無効化されている環境と、プラグイン／テーマ経由で信頼できない入力が渡る構成を優先的に洗い出す。
過去 23 マイルストーンの合計を上回る修正数。Chrome 151 だけで 370 件（うち 349 件は Google 自身の報告、7 件が Critical）。NVD には 2026年に既に 46,872 件が登録され 2025年通年（49,920 件）に接近している。LLM による脆弱性発見の加速により、報告の増加速度が修正能力を上回っている状況が続く。
at260020「2026年7月マイクロソフトセキュリティ更新プログラムに関する注意喚起」の 7/31 付［更新］が最新で、既記録。at260021 Ruby on Rails Active Storage（CVE-2026-66066）も 7/30 付で既記録。Weekly Report は 2026-07-29号のままで、次号は 8/5 の見込み。
最優先（期限 8/4）：WordPress を 7.0.2 へ更新する。自動更新が無効な環境、および管理外に置かれている旧サイト・キャンペーンサイトの棚卸しを先に行うこと。CVE-2026-60137 単体は「プラグインやテーマが信頼できない入力を渡した場合」に成立するが、CVE-2026-63030 との連鎖でデフォルト構成でも未認証 RCE に到達するため、条件付きだからと後回しにしない。
Cisco Secure FMC（CVE-2026-20316、期限経過）：未対応であれば直ちに対処する。悪用の有無は system log 上の package_info.pl 実行と /var/tmp/license.tmp の参照で確認し、痕跡がある場合は当該機器上の全ユーザー資格情報・鍵・証明書をローテーションする。FMC は 2026年1月から管理面が継続的に狙われている。
GitHub を C2 に使うマルウェアへの備え：Matryoshka のように正規 SaaS を C2 とする実装が増えている。ドメインレピュテーションによる遮断は効かないため、端末からの GitHub API アクセスのベースライン化（誰が・どのプロセスから・どの頻度で）と、DLL サイドローディング検知（正規バイナリと同一ディレクトリの署名なし DLL）を優先する。
士業・専門サービス業向け：今回の標的は法律事務所。機密情報を大量に保持する一方で情シス体制が薄い層に対しては、LNK ファイルの実行制限、暗号化アーカイブ添付の隔離、Defender 改ざん保護（Tamper Protection）の強制有効化という3点を最低ラインとして確認する。
災害時の偽情報対策（警察庁 R8 Vol.8）：令和8年熊本地震に乗じた偽・誤情報および詐欺投稿への注意喚起が出ている。平時に「一次情報の参照先リスト」と「社内拡散前の確認手順」を定めておくことが、災害発生後の対応より効果が高い。
警察庁サイバー警察局（新着1件）：サイバー警察局便り R8 Vol.8「令和8年熊本地震に伴うインターネット上の偽・誤情報や災害に乗じた詐欺関連投稿等に注意！」（R8.7.30 付）が新着情報欄に掲載された。前回 8/1 実行時点では未掲載で、掲載反映が遅れたもの。7/21 の「家庭用IoT機器を悪用したサイバー攻撃への官民一体となった対策の推進について」は既記録。なお 7/31 付の「北朝鮮IT労働者に関する注意喚起」は本日時点でもサイバー局ページに未反映。 サイバー警察局
NCO（国家サイバー統括室）：新着なし（Chrome で本文取得成功）。7/31 の4件（北朝鮮IT労働者に関する各国・企業等に対する注意喚起／重要インフラ統一基準（案）意見募集の結果／サイバーセキュリティ戦略本部第6回会合／松本デジタル大臣兼サイバー安全保障担当大臣のシンガポール訪問）および 7/30 の重要インフラサイバーセキュリティ対策推進会議第4回会合（持ち回り）が最新のままで、いずれも既記録。 NCO
JVN：新着なし（サイト最終更新日 2026/07/31 のまま）。8/1・8/2 付の公表はなし。7/31 の6件（シャープ製ネットワークスキャナーツールの初期設定／シャープ製および東芝テック製 MFP／CISA ICS Advisory 07-30／SGLang／DEEBOT PRO M1・K1VAC／BaserCMS）はいずれも既記録。 JVN
JPCERT/CC：新着なし。注意喚起は at260020（7/31［更新］）が最新で既記録。Weekly Report は 2026-07-29号のままで、次号は 8/5 見込み。 JPCERT/CC
IPA：新着なし（「東北サイバーセキュリティシンポジウム2026」7/17 が最新のまま、4日連続で更新なし）。経産省サイバーセキュリティ政策：新着なし（SCS特設サイト 5/20 が最新、ページ最終更新日 2026-04-27）。経産省プレスリリース：サイバー関連の新着なし（一覧の最新が 7/24 のまま）。デジタル庁：セキュリティ関連の新着なし（7/31 の新着は人事・幹部一覧のみ、セキュリティ政策ページの最終更新日は 2026-04-07 のまま）。
障害記録：① CISA 公式 KEV JSON が空応答（継続）→ cvefeed.io ミラーで代替。② BleepingComputer の RSS が 7/23〜7/24 で停止したまま（継続・10日目）。③ cybersecuritynews.com の RSS がバイナリ応答で本文取得不可（継続）。④ Help Net Security の RSS が本日は取得不可、THN で代替。⑤ NCO 新着一覧ページは WebFetch では新着欄が空（JS レンダリング）のため Chrome でトップページを取得（成功）。⑥ Microsoft Security Blog（Threat Intelligence）は本日取得を実施、最新記事は 7/23 で新着なし。
新着なし。日曜日のため各府省の審議会・検討会ページの更新は確認されず（経産省 産業サイバーセキュリティ研究会、AI事業者ガイドライン検討会、NCO サイバーセキュリティ人材フレームワーク検討会、デジタル・サイバーセキュリティWG、AI・半導体WG、サイバーセキュリティ戦略本部）。NCO が 7/31 に公表したサイバーセキュリティ戦略本部第6回会合の報道発表資料が最新で、これは既記録。
警察庁サイバー警察局が「サイバー警察局便り R8 Vol.8」として、令和8年熊本地震に伴うインターネット上の偽・誤情報および災害に乗じた詐欺関連投稿への注意を呼びかけた。災害時の偽情報は「善意の拡散」によって増幅されるため、通常のフィッシング対策とは別の設計が要る。平時に決めておくべき「一次情報の参照先リスト」と「拡散前の確認手順」を組織の BCP・広報手順に組み込む形で書ける。デジタル庁が 7/29 に被災自治体へガバメントAI「源内」を緊急提供した件と並べると、災害対応のデジタル化と偽情報リスクを一本にまとめられる。
CVE-2026-60137（WordPress Core の SQL インジェクション、CVSS 9.1）は KEV 収載済みで、BOD 26-04 の対応期限が 8/4 に迫っている。単独でも危険だが、CVE-2026-63030（解釈の競合、9.8）と連鎖させるとデフォルト構成の WordPress に対して未認証 RCE が成立する点が本質で、CISA も両者の連鎖を明記している。修正版は WordPress 7.0.2。国内の中小事業者サイトの WordPress 依存度を踏まえ、「プラグイン／テーマ経由で信頼できない入力が渡る」という前提条件をどう自組織で確認するかまで落とし込むと実務記事になる。
Kaspersky は、2025年1月以降、アフガニスタン・キルギス・タジキスタン・ウズベキスタン・カザフスタンおよびシリアの政府組織を標的とする攻撃キャンペーンを報告した。医療・研究・外務省・物流・法執行・都市計画・公教育とセクターが広く、難読化された2種のバックドアとプロキシユーティリティ LurkProxy が使われる。既知のどの攻撃グループにも紐付けられていないという点が示唆的で、「帰属できない長期作戦」の増加と、帰属に依存しない防御設計（TTP ベースの検知）という論点で書ける。
Go 製ローダ HollowFrame と Rust 製マルウェア Matryoshka を用いた、法律事務所へのスピアフィッシング攻撃が報告された。暗号化アーカイブ内の LNK 実行から権限昇格・Defender の弱体化・追加ペイロード投下へ進み、HollowFrame は正規の python.exe と偽 python311.dll による DLL サイドローディングで起動する。Matryoshka には GitHub を C2 とする変種があり、通常の C2 ドメインブロックでは検知しにくい。士業・専門サービス業という「機密情報を大量に持つが情シスが薄い」層の防御をテーマにできる。
本日は対象外（週次・月次チェック日のみ更新）