7/30、1,196 の Bitcoin アドレスから 41 分間で 1,082.65 BTC が一括で抜き取られた。2021 年 3 月のファームウェア統合ミスにより、シード生成が STM32 のハードウェア RNG ではなく決定論的なソフトウェア PRNG に流れていたことが原因。攻撃者はデバイス UID・タイマー状態・過去の RNG 呼び出し履歴を十分に絞り込めれば、実機に触れずオフラインで候補シード列を再現し、導出アドレスを公開ブロックチェーンと突き合わせて検証できる。Coinkite は 7/31 に全機種向け緊急ファームウェアを公開したが、適用しても既存のシードは修復されず、新規シードの生成が必要となる。
Adform は 7/27 に改ざんを検知して悪性コードを除去し、影響顧客への通知と当局への報告を行った。同日に該当スクリプトを配信するサイトを閲覧し、Bitcoin・Ethereum・Tron のアドレスをコピーした利用者は、別のアドレスに差し替えられた可能性がある。検体はクリップボード経由だけでなく、フォームに直接入力されたアドレスも書き換える。改ざんファイルがブラウザキャッシュに残りうるためキャッシュ削除が推奨されている。アドテク経由という、自社資産の棚卸しでは捕捉しにくいサプライチェーン汚染の事例。
CISA 公式の KEV JSON フィードは本日も空応答のため、cvefeed.io のミラーで確認した。追加日 2026-08-01〜08-03 のエントリは存在しない。
プラグインやテーマが信頼できない入力をパラメータに渡した場合に成立する SQL インジェクション。CVE-2026-63030（インタープリテーション競合、CVSS 9.8）と連鎖することで、デフォルト構成の WordPress に対して未認証の RCE が成立する。修正版は WordPress 7.0.2。本日時点で KEV 収載分のうち最も期限が近い。
シンボリックリンクによる永続化機構向けのパッチを、細工した HTTP リクエストで回避できる。前提として別の脆弱性によるファイルシステムレベルの侵害が必要だが、侵害済み環境での居座りを許すため、FortiOS 運用者は期限内の対処が必要。
ユーザー操作を一切必要とせず、現在のユーザー権限で任意コード実行に至る。同時に SQL インジェクションによる任意ファイル読み取り（CVE-2026-48448、CVSS 8.6）も修正された。Adobe は現時点で悪用を把握していないとしており、KEV には収載されていないため対応期限は存在しない。修正は ACC v7: 7.4.3 build 9398 ほか。
Microsoft は実行主体 Storm-2945 を Midnight Blizzard（APT29／Cozy Bear。米英政府はロシア対外情報庁 SVR に帰属）の作戦サブクラスタと評価した。侵害されたネットワークではキャプティブポータルのゲートウェイが接続端末の DNS リゾルバも兼ねており、その管理権限を奪えば DNS 応答を偽造して OS の接続性チェックを偽のブラウザ／OS 更新ページへ誘導できた。一部ページは ClickFix 型の手順を提示し、利用者自身にターミナルでコマンドを実行させる。CornFlake はウェブカメラ画像・マイク音声・キーストロークを取得できる。
中国語話者による中央アジア 5 か国＋シリアの政府機関への攻撃（Kaspersky、2025 年 1 月から継続）、Go 製ローダ HollowFrame と Rust 製 Matryoshka による士業狙いのスピアフィッシング（Blackpoint Cyber）、出荷時マルウェア混入と SOCKS5 出口ノード化（Bitsight）。いずれも新たな進展の報告はない。
連鎖により未認証 RCE が成立する 2 件を修正。KEV 対応期限は明日 8/4。自社管理外の受託サイト・キャンペーンサイトを含めた棚卸しを推奨。
CVSS 10.0 の認可不備（CVE-2026-48449）と CVSS 8.6 の SQL インジェクション（CVE-2026-48448）を修正。悪用は未確認だが、スコアと攻撃条件（ユーザー操作不要）からは早期適用が妥当。
適用しても既存のシードは修復されない。Coinkite は、影響を受けたシードの保有者に対し、パッチ適用済みファームウェア上で新しいシードを生成するよう案内している。
at260020「2026年7月マイクロソフトセキュリティ更新プログラムに関する注意喚起」（7/31 更新）が最新。Weekly Report は 2026-07-29 号のままで、次号は 8/5 の見込み。
1. WordPress の緊急棚卸し（期限：明日 8/4） — 自社サイトだけでなく、受託・キャンペーン・過去案件の放置サイトを含めて WordPress 7.0.2 未満を洗い出す。CVE-2026-60137 と CVE-2026-63030 の連鎖で未認証 RCE が成立するため、放置サイト 1 件が侵入口になる。
2. 公衆 Wi-Fi 運用ルールの再確認 — CaptiveCrunch はキャプティブポータル経由の DNS 偽造を使う。出張・展示会での「常時 VPN」「OS／ブラウザ更新は社内配信経路のみ」「ポータルが提示する更新・手順（ClickFix 型を含む）には従わない」を改めて周知する。
3. 自社サイトの外部スクリプト管理 — Adform 事案を踏まえ、サイトに読み込んでいる第三者スクリプトを一覧化し、CSP（script-src の限定）と SRI（サブリソース完全性）の適用状況を確認する。SBOM は組み込みコンポーネントを対象とするため、実行時に注入されるコードは別枠で管理が必要。
4. Fortinet FortiOS（CVE-2025-68686、期限 8/10） — FG-IR-25-934 に従って更新。侵害済み環境での永続化回避を許す性質のため、更新に加えて侵害の痕跡調査（シンボリックリンクによる永続化の有無）まで行う。
5. CRA 対応チームは実務ガイダンスの確認を — 欧州委員会が 7/27 に公表した C(2026) 5252 とその附属書は、FOSS・リモートデータ処理の適用範囲、「実質的な変更」、サポート期間、報告義務の解釈に答えている。報告義務の適用開始（2026-09-11）まで約 6 週間であり、自社製品の該当性判定を今のうちに固める。
日次ソース：本日は全機関で新着なし。 NCO（Chrome で取得成功）は 7/31 の 4 件（北朝鮮IT労働者に関する注意喚起／重要インフラ統一基準（案）意見募集の結果／サイバーセキュリティ戦略本部第６回会合／松本大臣シンガポール訪問）と 7/30 の重要インフラ対策推進会議第４回会合が最新のままで、いずれも既記録。IPA は 7/17（東北サイバーセキュリティシンポジウム2026）で 5 日連続の更新なし。JVN はサイト最終更新日 2026/07/31 のままで 8/1〜8/3 付の公表なし。JPCERT/CC の注意喚起は at260020（7/31 更新）が最新、Weekly Report は 7/29 号のまま。警察庁サイバー局はサイバー警察局便り R8 Vol.8（R8.7.30）が最新＝既記録。経産省（政策ページ 5/20・プレスリリース 7/24）、デジタル庁（7/31 は人事のみ、セキュリティ政策ページは 4/7 のまま）も新着なし。
週次ソース（本日実施）：いずれも新着なし。 内閣府サイバー安全保障ページは条文・施行令・基本方針および有識者会議に更新表示なし。総務省サイバーセキュリティ統括官は新着情報欄の最新が 2026-05-14。金融庁は「フロンティアAIによる脅威変化を踏まえた金融機関等の短期的な対応」に係る要請（令和8年5月22日）が最新のまま。
月次ソース（本日実施・8月第1月曜）：新着なし。 防衛省は偽サイト・なりすまし注意喚起のみで日付付きの新規掲載なし。厚労省は「高性能AIの悪用リスクを踏まえたサイバーセキュリティ対策の強化について（医療機関等への注意喚起）」（令和8年5月27日）が最新。国交省は AI 性能高度化に関する官民対話（5/28）と各分野ガイドライン改訂（航空・空港 4/30、鉄道 4/22、水道・港湾 5/13）が最新のまま。外務省サイバーセキュリティページは本日取得を実施しておらず、次回月次チェック（9月第1月曜）に併せて確認する（障害記録）。
障害記録：①CISA 公式 KEV JSON が空応答（継続）→cvefeed.io ミラーで代替。②BleepingComputer の RSS が 7/23〜7/24 で停止したまま（継続・11 日目）→THN で代替。③cybersecuritynews.com の RSS がバイナリ応答で本文取得不可（継続）。④Microsoft Security Blog は本日直接取得せず、CaptiveCrunch の内容は THN 経由で確認。⑤総務省ページが文字化け（Shift_JIS 誤判定）で返却されたが、新着情報欄の日付・見出しは判読可能。⑥外務省ページ未取得（上記）。⑦NCO 新着一覧は WebFetch では空のため Chrome で取得（成功）。
新着なし。経産省 産業サイバーセキュリティ研究会（最新は第10回・2026-04-03）、AI事業者ガイドライン検討会、NCO サイバーセキュリティ人材フレームワーク検討会、デジタル・サイバーセキュリティWG、AI・半導体WG、サイバーセキュリティ戦略本部（第6回・7/31 開催＝既記録）のいずれも、8/1〜8/3 の新規開催案内・資料公開は確認されなかった。デジタル庁「次世代セキュリティアーキテクチャ検討会」も更新なし。
欧州委員会は 7/27、CRA の実務ガイダンス（C(2026) 5252 通知および附属書）を公表した。報告義務の適用開始（2026-09-11）まで残り約 6 週間というタイミングで、実務者が最も詰まっていた 4 論点——リモートデータ処理ソリューションと FOSS の適用範囲、「実質的な変更」の定義、サポート期間の解釈、報告義務とリスクアセスメントの満たし方——に正面から答えている。非拘束文書でありながら、零細・中小企業向けに 67 の実例とフローチャートを収録した点が実務的に効く。日本のメーカー・SaaS 事業者にとっては「自社製品が CRA 対象か」「アップデートのどこからが実質的変更か」を判定する初めての公式な足場であり、JC-STAR・SCS 評価制度との対応関係を整理する好機でもある。
7/30、Coldcard の 1,196 アドレスから 41 分で 1,082.65 BTC が抜き取られた。原因は 2021 年 3 月のファームウェア統合ミスで、シード生成が決定論的なソフトウェア PRNG に流れていたこと。実機に触れずオフラインで候補シードを再現できるため、公開ブロックチェーンとの突き合わせだけで資産が特定される構造だった。緊急ファームウェアは配布されたが既存シードは修復されない——CRA 附属書 I が要求する「サポート期間中の脆弱性ハンドリング」が、パッチ配布だけでは責務を果たしたことにならない典型例として読む。SBOM が第三者コンポーネントの棚卸しを担うのに対し、乱数源のような「自社実装の見えない部品」をどう検証するかという問いにつなげる。
Adform が配信する JavaScript が改ざんされ、7/27 に同スクリプトを読み込んでいたサイトの閲覧者へ、暗号資産アドレスを差し替えるコードが配信された。クリップボード経由だけでなくフォーム直接入力も書き換える点、キャッシュに残るため修正後も影響が続きうる点が実務上厄介である。CRA の SBOM 義務は「製品に組み込まれるコンポーネント」を対象とするが、実行時にサードパーティから注入されるコードは射程が曖昧で、自社製品の部品表を完備しても捕捉できない。CSP・SRI といった従来型の対策と、規制が想定する供給網管理の間に空いた隙間を論じる。
Microsoft はホテル Wi-Fi のポータルを乗っ取り偽更新で RAT「CornFlake」を配布する作戦を CaptiveCrunch として追跡し、実行主体 Storm-2945 を Midnight Blizzard（APT29／ロシア SVR）の作戦サブクラスタと評価した。鍵はポータルのゲートウェイが接続端末の DNS リゾルバも兼ねていた点で、管理権限を握れば OS の接続性チェックを偽更新ページへ誘導できてしまう。ClickFix 型の手順提示も併用される。出張・展示会でのモバイル運用ルール（常時 VPN、OS 更新は社内経路のみ、ClickFix 型の手順に従わない教育）を見直す具体的な根拠として使える。
本日は 8 月第 1 月曜のため、週次（NVD・FIRST）と月次（欧州委員会CRA・EUR-Lex・ENISA・CEN-CENELEC・経産省SCS／IPA SBOM 手引）を同時実施した。
【新着・最重要】欧州委員会が CRA の実務ガイダンスを公表（2026-07-27、C(2026) 5252 通知＋附属書）。前回の月次チェック（7/6）以降の最大の動きで、本ウォッチとしては本日が初記録。非拘束のガイダンスだが、解釈が割れていた論点に正面から答えている：
・適用範囲の明確化 — 特にリモートデータ処理ソリューションとフリー／オープンソースソフトウェアがどこまで対象になるか
・「実質的な変更（substantial modification）」の定義
・サポート期間（support period）の解釈と適用方法
・報告義務とリスクアセスメント要件の満たし方
・零細企業・中小企業向けに 67 の実例・ユースケース・フローチャートを収録
「デジタル要素を持つ製品のサイバーセキュリティに関する専門家グループ」および 2026 年前半の公開協議を経て策定され、2025 年 11 月の Digital Omnibus に連なる簡素化アジェンダの一部と位置づけられている。報告義務は 2026-09-11 から、主要義務は 2027-12-11 から適用という期日に変更はない。
欧州委員会（公表ページ・通知および附属書のダウンロード） ／ CRA 政策ページ（最終更新 2026-07-27）
EUR-Lex／EU官報：確認済み・CRA 整合規格の官報掲載は確認できず。二次ソースによれば、EN 40000-1-2（サイバーレジリエンス原則）と EN 40000-1-3（脆弱性ハンドリング）は2026 年 8 月に納入見込み、水平的な Type A 規格および脆弱性管理の Type B 規格の採択期限は 2026-08-30とされる。EN 40000-1-4（一般セキュリティ要件、EN 18031:2024 系列を土台とする）は策定中で公表目標は 2027-10-30。M/606（2025 年 4 月の標準化要請、41 規格）の進捗として継続追跡する。※官報掲載の一次情報は未確認のため、掲載が確定した時点で改めて記録する。
EN 40000 series status（二次ソース） ／ Standardisation Activities Update（二次ソース）
ENISA：確認済み・新着なし。SRP（Single Reporting Platform）の仕様・稼働に関する新規公表はなし。直近の刊行物は「Procurement guidelines for the cybersecurity of hospitals and healthcare providers」（7/22）と「SME Cyber Resilience Maturity Assessment Model」（7/13、CRA の要件を織り込んだ中小企業向け成熟度評価モデル）で、いずれも 8 月の新着ではない。
SME Cyber Resilience Maturity Assessment Model
CEN-CENELEC：確認済み・EN 40000 シリーズに関する新着なし。直近の掲載は EN 18286（AI Act 対応、7/30-31）、CENELEC/TC 61 50 周年（7/31）、MDR/IVDR 改訂への提言（7/30）、メタン排出規格（7/30）で、いずれも CRA 整合規格とは別系統。
CEN-CENELEC News
NVD（週次）：確認済み・新着なし。CVSS 運用・採番状況に関するアナウンスなし。トップページの「Last 20 Scored Vulnerability IDs」は 2026-07-21 公開分（Oracle Fusion Middleware 系）で止まっており、スコアリングのバックログ状況は引き続き要注視。
FIRST（週次）：確認済み・新着なし。CVSS v4.0／EPSS の仕様・スコア運用および PSIRT Services Framework の改訂告知なし。
経産省 SCS 評価制度／IPA SBOM 導入手引（月次）：確認済み・新着なし。経産省 SCS ページの最終更新日は 2026-04-27、SCS 特設サイト公開（5/20）が最新のまま。IPA 側も「ソフトウェア管理に向けた SBOM 導入に関する手引」の改訂告知なし。7/30 の NCO による SBOM 最小要素国際ガイダンス署名・CISA の同ガイダンス改訂（既記録）に対する国内実装文書側の反映は、本日時点では確認できず。次回月次チェック（9 月第 1 月曜）で再確認する。