Nexis Diligence・Metabase API・Newsdesk を停止し、フォレンジック企業を入れて調査中。新環境で再構築してから復旧させる方針。Nexis「Metabase API」は報道・メディアデータのフィード製品であり、8/7 にゼロデイ SQLi（CVSS 10.0・CVE なし）が報じられた BI ツールの Metabase Cloud とは無関係であることを Nexis Solutions 部門長が明確に否定している。同社は 2025年5月（GitHub 経由・36.4万人）、2026年3月（React2Shell／FulcrumSec）に続く3度目の公表事案。
GTIG は「かつて BlackFile として活動していた UNC6671 が Redact・Pink・Helix・Falcon という複数ブランドに恐喝を分散させ、背後では単一の中核侵入グループがヘルプデスク・ヴィッシングとクラウドデータ窃取を回している」とする。標的は Point72・Millennium・Two Sigma・Citadel 等で、2026年7月に製造・医療等から金融セクターへ切り替え。1〜5月で1,060万ドル超のビットコイン流入、初期要求は最大300万ドル、着地はおおむね75万ドル。なお Falcon はリークサイトで「我々は Redact のアフィリエイトのみ」と公開反論しており、クラスタリングそのものが係争になっている。
侵害されたのは Valve 自身ではなく配送パートナーの CEVA Logistics で、欧州の顧客が対象。前回記録した Levi Strauss（従業員3名への標的型ソーシャルエンジニアリング）と並べると、「本体ではなく周辺から入る」事案が連続している。
Ollama・GPT4All・Msty が「ダウンロードされただけでなく実行・設定されていた」痕跡（初回起動時生成鍵、設定済み localdocs_v3.db）に加え、LLaMaSharp・Semantic Kernel・Microsoft.Agents.AI、Whisper、Cursor を確認。Genians は独自モデルの訓練は確認しておらず「研究・知識獲得の段階」と評価し、RAG DB の存在も「手元の文書を AI に繋ごうとした」証拠であって窃取物である証拠ではないと慎重に区別している。被害環境での稼働は未確認で、Reuters も独立検証できなかったとする。防御側は LNK 実行・PowerShell・隠しスケジュールタスク・GitHub 通信・後続ペイロードの相関で見るしかない。
内部評価でエージェント的コーディングとサイバーセキュリティ能力の顕著な向上が検出されたため。隔離テスト環境・ネットワークとツールのアクセス制限・モデル重みの保護強化・サンドボックス実行などの統制を実装中で、それらの要件を満たさない内部活動を停止したとしている。
CISA が両 CVE に「ランサムウェアキャンペーンでの悪用が既知」フラグを後付けした。うち1件は最大深刻度の SSRF。Volexity は UTA0533 が SonicWall の公表より数週間早い 6/22 から悪用し KNUCKLEBALL／Sou5／ROOTRUN／ORANGETAIL を配置していたと報告。Shadowserver は380台超の SMA1000 がインターネット露出としており、SonicWall 自身は元のアドバイザリを未更新。dateAdded だけを監視する実装ではこの状態変化を取りこぼす。
ミラー上の最新エントリのままで、8/8〜8/11 の4日間、新規追加はゼロ。CVSS 値はミラーが 9.8、The Hacker News が CISA 発表値として 9.6 と割れたままで、一次情報での確認が取れていない。同じく 8/10 期限だった CVE-2025-68686 Fortinet FortiOS（CVSS 5.9）も経過済み。
KEV 収載ではない。Windows が過去の YubiKey 署名を平文で保存し、認証済みの非特権ユーザ（リモート含む）が読める。Entra ID のパスキー検証の弱さと連鎖させると、フィッシング耐性 MFA を要求するポリシー下でも特権ユーザになりすませる。スコアは 6.5 と低いが、連鎖の一部としては MFA 突破に至る——CVSS だけで対応順位を決める運用の限界を示す典型。Microsoft はセキュリティ更新を提供済みで、Entra 側にも別途緩和策を適用したとしている。
同期パスキーを保護する32バイトのマスター鍵。Unit 42 は Chrome のデバイスログ上での露出を発見し、Google は報告後にログ出力からは削除したが、再登録時にプロセスメモリ上へ一時的に現れる状態は残る。奪われれば同期パスキーの秘密鍵を復元でき、Google の現行実装にはローテーション／失効の手段がないため、一度の侵害が恒久的な影響になる。
前者は国内で広く使われるコンシューマ製品の、しかもインストーラ段階の問題。後者は多数のプロジェクトに組み込まれるヘッダオンリー OSS ライブラリで、SBOM の観点では後者の方が影響範囲の把握が難しい。あわせて JVNVU#91804527（CISA ICS Advisory 2026年08月07日分）も公表されている。
前段はほぼ確実に CVE-2026-18577（N-central 認証バイパス、CVSS 8.2）の悪用。Storm-1175 は中国拠点とみられ、従来は Medusa のアフィリエイトとして GoAnywhere MFT・SmarterMail・Exchange・Ivanti Connect Secure・JetBrains TeamCity を狙ってきた。Medusa から自前の暗号化ツールへ移行した点、Microsoft が同アクターを観測したのは 2026年4月以来である点が明示されている。C++ 製で拡張子は .encrypted、身代金メモは !!!README_FIRST!!!.txt、交渉期限は3日。侵入後は AnyDesk／SimpleHelp・Advanced IP Scanner・Mimikatz という既製品の組み合わせで、初期侵入からデータ窃取・暗号化までを数日で走り切る。
helper-beeps.solidity-pro と web3devtoolsx.solidity-pro の2つ。v1.0.0〜v2.4.x は Cloudflare Workers から暗号化 Python ペイロードを取得して実行、v3.0.0 以降は本格的な情報窃取型に切り替わり、ブラウザプロファイル・暗号資産ウォレット・ソース管理トークン・API キー・SSH 鍵・Telegram ボットトークンを収集して Telegram ボットで持ち出す。Open VSX からは削除済みだが GitHub リポジトリは執筆時点で生存。Open VSX の evil twin 拡張、ChainDrop／keyv npm ワームに続く、開発者環境を狙う3例目。
Qilin による City of Winchester（米ケンタッキー州）・Synergy Interactive（米）・Chun Tai Sing Chemical Industry（香港）、Play による Rilpa Enterprises（カナダ）の主張を確認。いずれも被害組織側の確認が取れておらず暫定扱い。前回記録した Qilin の2件（Filtronic／Astro Electroplating）も暫定のまま継続。
子どもや10代を標的とするオンライン犯罪集合体「The Com」の一員に対する判決。世界中の約120名の被害者に対する恐喝・性的搾取が対象。
日本時間では 8/12 未明の公開となるため、本日のウォッチでは内容を確認できない。7月は Windows 413件を含む570件、月間累計620件超という過去最多。予測は Windows User Profile Service の権限昇格（非管理者が他ユーザのレジストリハイブをフルアクセスでマウントできる、CVE 未採番）が対象に入る可能性と、悪用中の CVE-2026-50522 SharePoint RCE の適用優先を挙げていた。JPCERT/CC の月例注意喚起は例年翌日に発出されるため、明日のウォッチで確認する。
Windows は CVE-2026-34348 のセキュリティ更新を適用する。Microsoft は Entra 側にも「パスキーリレーアサーション」に関する緩和策を適用したとするが、技術的な範囲の詳細は示していない。eBay は Unit 42 の報告後に WebAuthn の user-verification フラグ検証を修正。Google は Security Domain Secret を Chrome のデバイスログ出力から削除したが、再登録時のメモリ上の一時露出とローテーション手段の欠如は未解決。
CVE-2026-18577 は hotfix（2026.3 HF1／build 2026.3.1.7、8/2 リリース）で修正。ただし 8/8 に Hotfix 2 が追加公開されており、Hotfix 1 適用済みでも Hotfix 2 が必要。侵害の兆候としてユーザの Documents フォルダ内の svchost.exe、Cloudflared という名称で登録されたサービス、アドバイザリ記載 IP からのインバウンド接続を確認すること。
1. KEV は「追加」ではなく「差分」で監視する。 本日の SonicWall の件が示すとおり、KEV エントリは収載後に「ランサムウェア悪用既知」欄が更新される。dateAdded 順の一覧を見るだけの運用では、深刻度の再評価に等しい変化を取りこぼす。CISA 公式 JSON が13日連続で空応答である現状では、この差分監視自体が成立していない点も前提に置くこと。
2. 自社管理下および委託先の N-central を最優先で確認する。 CVE-2026-18577 は既にランサムウェア（StormEncryptor）の初期侵入経路として使われている。Hotfix 1 では不十分で Hotfix 2（8/8 公開）が必須。あわせて Documents フォルダ内の svchost.exe、Cloudflared という名称のサービス登録、アドバイザリ記載 IP からのインバウンド接続を侵害痕跡として探索する。RMM は「管理される側の全端末」に届く経路であり、初期侵入から暗号化まで数日という速度を前提に動くこと。
3. SonicWall SMA1000 の露出を今日中に確認する。 CVE-2026-15409／15410 は 6/22 からゼロデイ悪用され、現在はランサムウェア攻撃で使われている。是正期限（7/17）は既に3週間以上経過しており、Shadowserver は380台超の露出を計測している。ベンダアドバイザリが未更新であるため、ベンダ発信を待つ運用では気づけない。
4. パスキーの脅威モデルを「フィッシング耐性」から書き直す。 今回の3件のうち2件は「端末が既に侵害されていること」を前提としており、パスキーが本来守るフィッシングとは別の話である。混同せずに、(a) CVE-2026-34348 の Windows 更新適用、(b) WebAuthn アサーションを受け入れる側で要求した user-verification を実際に強制する、(c) パスキーストア・リカバリフロー・ブラウザメモリを資格情報相当の保護領域として扱う、(d) デバイス識別子を伴わない Windows Hello for Business 認証と想定外のデバイス登録を監視する、の4点を実施する。Microsoft が 2026-09-01 から SMS／音声認証利用者を自動的にパスキーへ移行させるため、移行前の設計見直しは今月中が実質的な期限になる。
5. 開発者端末の拡張機能を棚卸しする。 Solidity Pro は Open VSX から削除されたが、既にインストール済みの環境からは消えない。v3.0.0 以降はブラウザプロファイル・暗号資産ウォレット・ソース管理トークン・API キー・SSH 鍵・Telegram ボットトークンを収集する。Open VSX の evil twin 拡張、ChainDrop／keyv npm ワームと合わせ、開発者端末を「最も権限の集まったエンドポイント」として扱う方針転換が要る。
6. 本日夜（日本時間 8/12 未明）の Microsoft 月例更新に備える。 7月は月間620件超と過去最多で、8月も高水準が見込まれる。悪用中の CVE-2026-50522 SharePoint RCE が未適用であれば、月例を待たずに先行適用すること。
新着は JVN 3件と警察庁1件のみ。それ以外は全ソース新着なし。
JVN（2026-08-10・新着3件）：(1) JVN#40467227 LINE PC版（Windows版）のインストーラにおける DLL 読み込みに関する脆弱性（16:00）、(2) JVNVU#91804527 CISA ICS Advisory / ICS Medical Advisory（2026年08月07日分）（10:00）、(3) JVNVU#95261826 nothings の stb TrueType ライブラリにおけるヒープベースのバッファオーバーフローの脆弱性（10:00）。国内コンシューマ製品と、多数のプロジェクトに組み込まれるヘッダオンリー OSS ライブラリという対照的な組み合わせ。
警察庁サイバー警察局（2026-08-10・新着1件）：サイバー警察局便り R8 Vol.9「家庭にある機器が悪用されています」。7/21 の「家庭用 IoT 機器を悪用したサイバー攻撃への官民一体となった対策の推進について」（レジデンシャルプロキシ対策）から約3週間後の、一般向け普及啓発版という位置づけに見える。前号 Vol.8 は 7/30 の熊本地震関連の偽・誤情報注意喚起。
NCO：新着なし。Chrome MCP でトップページの新着情報欄を直接確認。最新は 8/5 の2件（松本デジタル大臣兼サイバー安全保障担当大臣のシンガポール訪問（結果）／「安全基準等策定ガイドライン（案）」に関する意見の募集）のまま。IPA：セキュリティ分野の新着なし（8/10 の2件は試験情報）。セキュリティの最新は 8/3 の2件のまま。JPCERT/CC：新着なし。注意喚起は at260021（Ruby on Rails Active Storage、8/3 更新）、Weekly Report も 2026-08-05 号のままで次号は未公開。デジタル庁：新着なし（最新は 8/7 の5件）。
経済産業省：プレスリリースは 8/10 に「懲戒処分の公表について」が出ているがセキュリティ非関連。セキュリティ関連の最新は 8/7 の7府省庁合同要請（記録済み）。サイバーセキュリティ政策ページは WebFetch が3日連続で空応答だったため Chrome MCP で取得——最新情報欄の最上位は 5/20 の SCS 評価制度特設サイト公開のままで、ページ最終更新日は 2026年4月27日。SBOM 導入手引・情報セキュリティ早期警戒パートナーシップにも改訂の表示なし。
障害記録：(1) CISA 公式 KEV JSON が空応答（13日目）。加えて代替指定の cisa.gov/known-exploited-vulnerabilities-catalog も本日は空応答で、cvefeed.io ミラーで代替した。ミラーは既存エントリのフラグ変更を差分として見せないため、本日の SonicWall のランサムウェアフラグ付与は二次報道経由でしか把握できなかった。(2) 経産省サイバーセキュリティ政策ページの WebFetch が空応答（3日目、Chrome で代替）。(3) NCO 新着一覧ページが WebFetch で空（継続、Chrome で代替）。(4) cybersecuritynews.com の RSS がバイナリ応答で解釈不可（継続）。(5) THN の RSS 取得不可（継続、トップページで代替）。(6) Microsoft の StormEncryptor に関する発信は Bluesky で行われておりセキュリティブログには載っていない——脅威情報の出口が複数化している点は監視設計上の課題。
新着なし。 経産省 産業サイバーセキュリティ研究会（本日 Chrome で直接確認、第10回・2025-04-03 のまま）、AI事業者ガイドライン検討会、NCO サイバーセキュリティ人材フレームワーク検討会、サイバーセキュリティ戦略本部（第6回・7/31 開催が最新）、デジタル・サイバーセキュリティWG、AI・半導体WG のいずれも、8/11 時点で新規の開催案内・資料公開は確認されなかった。
内閣府「サイバー対処能力強化法の施行等に関する有識者会議」は週次チェック対象（次回 8/17）。同法の施行期日政令・施行令・特定侵害事象等の報告命令はいずれも公布済みで、制度側の次の動きは施行に向けた運用文書の公表待ちという状態が続いている。
4日連続で新規追加ゼロ、それでも KEV は動いていた。KEV を追う実務のほとんどは dateAdded を見ているが、エントリは収載後に「ランサムウェアで使われているか」の欄が更新される——深刻度の再評価に等しい変化なのに、追加日順の一覧では絶対に検出できない。しかも本件、ベンダである SonicWall はまだ自社アドバイザリを更新しておらず、ベンダ情報を待つ運用は KEV より遅れている。実務の結論は2つ：(1) KEV は差分で監視しなければならない、(2) 一次フィードが落ちている期間（13日目）はその差分監視そのものが成立しない。期日つきの義務を生む台帳が、期日以外の欄も動かしているという事実。
8/9 に「RMM は脆弱性そのものより到達範囲が問題になる」と書いた続きが、最悪の形で来た。CVE-2026-18556 の不完全な修正の結果として 18577 が生まれ、Hotfix 1 では足りず Hotfix 2 が必要になった——修正が3段階かかり、そのあいだに攻撃者はランサムウェア展開まで到達した。Storm-1175 は4か月の沈黙のあと、Medusa から自前の暗号化ツールに替えて戻ってきている。主題は「不完全なパッチのコスト」——CRA 附属書 I 第2部は「脆弱性への遅滞なき対処」を求めるが、遅滞なく出したパッチが不完全だった場合、その義務は果たされたことになるのか。本件はその問いに実損で答えを出してしまった。
3件とも FIDO2 の暗号は破っていない。壊れたのは鍵ではなく、鍵を保管し、渡し、検証する周辺の実装である。Windows が過去の署名を平文で保存していた（CVSS 6.5 という低スコアが、スコアだけで優先順位を決める運用の限界を示す）。同期パスキーのマスター鍵はローテーションも失効もできない——一度取られたら取り返す手段がない。TPM に守られたはずの鍵が PIN も生体認証もなしに使われ、Entra のチャレンジは5分有効でセッションにもテナントにも紐づいていない。Microsoft が 2026-09-01 から SMS／音声認証利用者を自動的にパスキーへ移行させる直前という時期が効く。誠実さの鍵は、3件のうち2件は「端末が既に侵害されている」前提であり、パスキーが本来守るフィッシングとは別の話だと混ぜないこと。
製品名の衝突、時期の近さ、同じ記事に併記されること——この3つが揃うと、読み手の側で勝手に因果が結ばれる。Nexis「Metabase API」は報道データのフィード製品で、8/7 に CVSS 10.0 のゼロデイが報じられた BI ツールの Metabase Cloud とは無関係だと同社が明確に否定している。SBOM や資産台帳で製品を特定する作業も、まったく同じ罠を踏む（同名異物、ベンダ違い、フォーク）。そしてMetabase の件には CVE がなく、だからこそ名前でしか呼べず、名前は衝突する——「CVE が採番されない重大事象」の問題が別角度から刺さる。LexisNexis はこれが1年3か月で3度目の公表事案という点も、データブローカーへのリスク集中として触れられる。
8/7 に記録した「UNC6671 ヴィッシング」に、名前と数字が付いた。1〜5月で1,060万ドル超、初期要求300万ドル、着地75万ドル。だが面白さは別のところにある——Falcon がリークサイトで「我々は Redact のアフィリエイトのみ」と公開反論した。攻撃者が脅威インテリジェンス報告に事実関係で反論してくる構図である。自己申告に証拠能力はないが、「なぜ反論したのか」は問える——ブランドの独立性はアフィリエイト獲得と交渉上の信用に直結する商売上の資産だからだ。脅威アクターのクラスタリングは防御側の便宜であって実体ではないという当たり前の話に、実体側が異議を唱えた事例。手口（ヘルプデスクを騙る個人携帯への電話 → 偽ポータル → AitM → SSO ダッシュボード経由で全クラウド）は規模を問わず成立する型で、8/10 に立てた G7 CEG の再接続フレームワークの記事案とも繋がる。
7/21 の「家庭用 IoT 機器を悪用したサイバー攻撃への官民一体となった対策の推進について」から約3週間、同じ主題を一般向けに書き直した普及啓発版。書きどころは「同じ問題を二度、別の言葉で出す」という広報の設計で、この二段構えはレジデンシャルプロキシという問題の性質にきれいに対応している——被害者は攻撃を受けている自覚がなく、機器は正常に動き続け、実害は第三者側に出る。つまり当事者に動機がない。総務省も 7/21 に同テーマで意見募集と対策推進を出しており、警察庁・総務省が同時期に別角度から同じ的を狙う構図が見える。検証の軸は、ファームウェア更新・初期パスワード変更・不要ポート開放の停止という定番3点が、機器を買った人にとって実行可能な粒度で書かれているか。
本日は火曜のため対象外（週次・月次チェック日のみ更新）。 次回の週次チェックは 2026-08-17（月）、月次チェックは 2026-09-07（9月第1月曜）。
期日として保持している論点：EN 40000 シリーズの水平的 Type A 規格および脆弱性管理 Type B 規格の採択期限 2026-08-30（残り19日）、CRA 報告義務の適用開始 2026-09-11（残り31日）。前者の期限は9月の月次チェック（9/7）を待たずに到来するため、8/17・8/24 の週次チェックでは WebSearch による補完的な確認を必ず行う。
日次枠から拾った CRA Art.14 関連の新規論点（本日分）：(1) CVE-2026-15409／15410 SonicWall SMA1000 — 「積極的に悪用されている脆弱性」の判定シグナルが収載時点だけでなく収載後にも更新されるという実例。dateAdded のみを監視する実装は取りこぼす。是正期限3日という設定は CRA の24時間早期警報／72時間通知の時間感覚に近い。(2) CVE-2026-18577 N-able N-central — 不完全なパッチが3段階の修正を要し、その間にランサムウェア被害に至った。附属書 I 第2部の「遅滞なき対処」が「1回で正しく直すこと」まで含意すべき理由の実例。(3) CVE-2026-34348 — ベンダ CVSS 6.5 の低スコアが、他製品の設計上の弱点と連鎖して MFA 突破に至る類型。(4) Google の Security Domain Secret — CVE 未採番かつ鍵の失効手段が実装されていないという、脆弱性というより設計上の欠落。(5) JVN#40467227 LINE PC版 — 国内で広く使われる「デジタル要素を持つ製品」の典型例。