JWT トークン検証パイプラインの認証バイパス（CVSS 9.1）。8/11 に Rapid7 の Stephen Fewer が技術解説と GitHub 上の PoC を公開し、8/12 に Defused が「攻撃者がその PoC を我々の SharePoint ハニーポットに使っている」と報告した。脆弱性自体は 2026 年 7 月の月例パッチで修正済みで、CISA も 7/15 に対策を呼びかけていた——8/11 に新規公表されたのは PoC であって脆弱性ではない（昨日の記録を訂正する）。Shadowserver はインターネット露出 SharePoint サーバを 8,500 台超と数える。Microsoft は依然「悪用が成功した」とはフラグしていない。
ディレクトリトラバーサルにより、ネットワークアクセスを持つ攻撃者が任意コードを実行できる。Broadcom の修正は 7 月下旬で、侵害されたシステムが攻撃者のドメインに最初に接触したのは 8 月 3 日——公表から 5 日後である。攻撃連鎖はパストラバーサルの痕跡に続き、reverse_ssh（攻撃者側インフラへ SSH を張る OSS）を仕込んだ悪性 cron ジョブで永続化する。仮想化基盤の管理サーバであり、侵害されれば配下の全ワークロードに波及する。
インストール総数 75,486、公開元は少なくとも 40 の開発者アカウント。274 個が Proton VPN・NordVPN・Surfshark・ExpressVPN・Cloudflare の 1.1.1.1・Google の Outline など 66 の既存ブランドを偽装していた。主たる標的は遮断されたサービスへのアクセスを求めるロシア語話者。決定的な測定結果は「一括まとめの 522 個のうち 520 個が同一の SOCKS5 インフラに流している」——500 以上の別々の拡張に見えて実体は一つの傍受基盤である。個別審査ではこの構造は検出できない。
OpenAI・Anthropic・Google の reasoning API が呼び出し間で運ぶ暗号化推論オブジェクトは、あるセッションで生成されたブロックを別セッションに再生でき、検証では同一プロバイダ系列のより弱いモデルに渡して隠された内容を吐かせることまでできた。悪用経路は 4 つ：モデル蒸留のための独自推論の窃取／他利用者の公開トレースからの私的データ抽出／安全に見える回答の裏に隠された有害内容の復元／不透明な推論ブロック内へのプロンプトインジェクションの潜伏。公開エージェント軌跡 6,708 件から 315,320 個の thinking ブロックを復号した。問題は暗号化の有無ではなくセッションへのバインディングの欠落である。
Trivy 侵害に関連する 2 件の悪性リリースが、クラウドキー・SSH 鍵・Kubernetes トークン・DB パスワード等を収集した。CloudSEK は攻撃者が捕獲した約 434,000 ファイルから成るデータセットを元に、組織名・ドメイン・露出した秘密の件数・確度ラベルを付した公開検索ページを出している。ただし CloudSEK 自身が「これは被害者数ではない」「機密の情報源から得た戦利品とログであり、名前を挙げた組織から収集したデータではない」と明言している——組織名リストは被害確定の根拠にならない。悪性版の存在時間が 40 分であることは、SBOM の粒度が時間に耐えるかという問いを立てる。
Operation Dream Job キャンペーンの一環として CVE-2026-68820 が使われた。8/12 に Check Point Research 経由で記録した内容の追認だが、「防衛産業が標的」という点は新規の具体化である。
窃取物は恐喝に使われるほか犯罪マーケットで販売され、その際に氏名・生年月日・メール・電話番号・SNS ユーザ名が本人の知らないまま添付される。結果として嫌がらせ・セクストーション・ストーキング等の二次被害に至り、被害者本人の SNS ページ上で窃取物が宣伝されるケースもある。同日 FBI と NCAA は学生アスリートを標的とする同種スキームについても警告した。手口の指標は「認証コードを送らないとアカウントが無効化されると称する未承諾 SMS」「新規ログインに言及しリセットリンクを埋め込んだ未承諾メール」。正当なプラットフォームが認証コード・仮パスワード・PIN リセットコードを保有者に要求することはない。
2026 年上期に実顧客の本番環境で 3 億 3,800 万回超の攻撃シミュレーションを計測。平均防止有効性は 62%→69%（2024 年のピーク水準）、ログ取得率は 58% で 4 年来の最高。しかし境界を越えられた後は反転し、偵察と資格情報窃取という「静かな動き」に最も弱い。攻撃者が有効な資格情報を手にした時点で、その後の行動のうち阻止されるのは 37% にすぎない。8/12 のポーランド CHP プラント事案（閉域 APN の内側が無分割）と重なる指摘である。
未認証のリモート攻撃者がアプリケーションデータベースに任意の SQL を注入し、インスタンスの管理者権限を取得しうる。そこから設定変更・接続先データベースの認証情報窃取・アクセス可能な全データの読み出しとエクスポートが可能。BI ツールは定義上社内のあらゆるデータベースに接続されており、期限は明日である。
HTTP リクエスト処理時のエラー検査不備により、未認証のリモート攻撃者が Remote Access SSL VPN サービスに細工した HTTP リクエストを送って機器を予期せず再起動させ、DoS に至らせうる。対象は IKEv2 Remote Access VPN（クライアントサービス有効）等の脆弱な構成を持つ機器。
ローカル認証済み攻撃者が競合状態を誘発して SYSTEM 権限を取得。Check Point Research は Lazarus が Operation Dream Job で本脆弱性をゼロデイとして悪用し、カーネルモードルートキット FudModule の新版を配置したとしており、標的は防衛セクター企業である。JPCERT/CC も 8/12 の注意喚起 at260022 で本 CVE を名指しした。CVSS 7.0 という中程度のスコアと、国家関与アクターによる実運用という実態の乖離が要点。
7 月の月例パッチで修正済み。KEV には収載されておらず、したがって CISA の是正期限も存在しないが、8/12 にハニーポットに対する実悪用が観測されている。対象は SharePoint Server Subscription Edition／2019／2016 のオンプレミス版（SharePoint Online は対象外）。期限のない実悪用という状態は、KEV 依存の優先順位づけの死角にあたる。
Microsoft Malware Protection Engine（mpengine.dll）の競合状態により SYSTEM 権限のシェルを起こせる。研究者が 2026 年 6 月に公表→約 1 か月後に Microsoft が修正→その後の「多層防御の更新」も今回バイパスされた、という三段構え。「パッチを出したこと」と「脆弱性が対処されたこと」が同一でない実例であり、バイパス対象がエンドポイント保護製品自身である点も重い。
Broadcom の修正は 7 月下旬。侵害システムの攻撃者ドメイン接触は 8/3＝公表から 5 日後。KEV 未収載のため期限は設定されていない。
未認証の攻撃者が既定の認証クライアントを悪用し、検証が不十分な関数に細工した入力を送ることで任意コード実行に至り、内部コンポーネントを侵害しうる。Onapsis は修正済みリリースへの適用後に SAP Commerce Cloud を再デプロイすることを求めている。8/12 に「CVSS 10.0 の不適切な認可」として記録した分の識別子が確定した。
TPM は暗号鍵の保管とプラットフォーム完全性測定を担うハードウェア信頼基盤であり、問題は特定ベンダ製品ではなく Trusted Computing Group のリファレンス実装＝多数ベンダが自社 TPM／ファームウェア TPM の基礎として取り込む上流コードにある。最終製品の側から「自社の TPM 実装がこのコード由来か」を答えられる組織はほとんどない。CRA の SBOM 義務が試される領域。
8/11 に「認証も操作も不要な CVSS 9.8 が 4 件」として記録したうちの Windows DNS Server 分に相当する具体名。ユーザ操作なしで昇格した権限でのコード実行に至る。悪用報告はないが、前提条件がない分だけ実運用上の優先度は高い。
8/12 付で Unsafe による Presentations.AI（インド・技術）、8/11 付で Storm による Southern Metals Company（米・金属リサイクル） および Qilin による B Wright Drywall（カナダ・建設） の主張を確認した。いずれも被害組織側の確認は取れていないため暫定扱いとする。前回までの direwolf（Leafwell）、Qilin（City of Winchester ほか）、Play（Rilpa Enterprises）も暫定のまま。
8/11 の SonicWall SMA1000（CVE-2026-15409／15410）、8/12 の SharePoint（CVE-2026-45659）に続く 3 日連続の付与は発生しなかった。ただしミラーのフィルタ付き一覧が取得できず、本日の「更新なし」判断は追加日順一覧と報道の不在に依拠しており、根拠は弱い（障害記録 1 参照）。
最新は 8/10 付の DeadLock ランサムウェア分析（Rust 製エンクリプタ、Polygon スマートコントラクトと Session メッセージングによる分散型恐喝インフラ、主張被害者 96 件）のままで、本日時点で新規記事はない。
Gunra ランサムウェア（CVE-2024-5559 Schneider Electric PowerLogic P5／CVE-2025-24472 Fortinet を初期侵入に使用、二重恐喝、支払わない被害者のデータは 5〜7 日で公開）、ポーランド CHP プラント OT 侵害（CERT Polska、閉域 APN 経由の横移動）、Sandworm 傘下 UAC-0145 の偽採用面接（トロイの木馬化 WireGuard）、Kimwolf／AISURU v7（HTTP/2 DDoS＋ENS／Tor 多段 C2）、DeadLock、StormEncryptor／Storm-1175、UNC6671／BlackFile、Kimsuky のオフライン AI スタック、macOS ClickFix、悪性 MCP サーバによる指示分割、ChainDrop／keyv npm ワーム、約 800 個の悪性 npm パッケージ／WEL1DROPPER。
BleepingComputer 400 件、The Hacker News 398 件、SecurityWeek 421 件。Critical 42 件（うち RCE 37 件・権限昇格 5 件）は SecurityWeek 集計。悪用中 1 件（CVE-2026-68820）・公表済みゼロデイ 2 件（CVE-2026-62832 Windows User Profile Service、CVE-2026-72971 Container Isolation FS Filter Driver）という構成は各社一致。400 件級のパッチで公式件数が 20 件以上ぶれる事実自体が、脆弱性管理の突合負荷を示している。
CVE-2026-48362（10.0）ColdFusion の OS コマンドインジェクション→任意コード実行（修正版 2025.0.12／2023.0.23）、CVE-2026-71398（10.0）Campaign Classic の不適切な認可、CVE-2026-48273（9.9）ColdFusion の eval インジェクション、CVE-2026-71384（9.6）ColdFusion の不適切な認可→DoS、CVE-2026-71362（9.1）Commerce の不適切な認可→権限昇格。8/11 に「Adobe（ColdFusion・Commerce ほか）」として記録した分の内訳が確定した。
鍵透明性（key transparency）の仕組みで、Cloudflare と Trail of Bits を第三者の独立監査者として使い、電話番号／ユーザ名と公開鍵の対応が Signal エコシステム全体で一貫していることを検証する。想定脅威は「悪意ある主体が Signal を侵害し、相手の電話番号に別の鍵を紐づけた場合」の検出。設定 > プライバシー > 詳細で有効化。Signal 側や監査者を信頼したくない利用者は無効化して従来の手動安全番号確認を続けられる——信頼の置き場所を利用者が選べる形にしてある点が設計上の要点。
JVNVU#96623328 TCG TPM2.0 リファレンス実装の複数脆弱性（CVE-2026-6726／6727）、JVNVU#96740507 EC プラットフォーム Opencart のディレクトリトラバーサル、JVNVU#98375707 Siemens 製品に対するアップデート（2026 年 8 月）、JVNVU#95587179 CISA ICS Advisory / ICS Medical Advisory（2026 年 08 月 11 日）。ただし jvn.jp トップページの新着リストにはこの 4 件が現れておらず（最終更新日 2026/08/10 のまま）、JPCERT/CC トップページ経由で確認した。
2026 年第 1 四半期の実績として発表。通知を悪用したフィッシング・スケアウェア導線の抑制に相当する。
【今日中】KEV 期限が明日 8/14 の 2 件を確認する。① Metabase（CVE-2026-72898、CVSS 10.0）——BI ツールは社内の全データベースに接続されているため、未修正インスタンスがあれば侵害の影響範囲は接続先すべてに及ぶ。修正だけでなく、接続先 DB の認証情報のローテーションも検討対象。② Cisco Secure Firewall ASA／FTD（CVE-2026-20349）——Remote Access SSL VPN／IKEv2 Remote Access VPN を有効にしている機器が対象。
【今日中】SharePoint オンプレミスの CVE-2026-55040 を「KEV 未収載だが実悪用中」として扱う。7 月の月例パッチが適用済みかを確認する。KEV に載っていないため CISA の是正期限もなく、期限駆動の運用では拾えない。あわせて 8/12 にランサムウェアフラグが付いた CVE-2026-45659 の適用状況も再確認する。SharePoint Online は本 CVE の対象外。
【今週】VMware vCenter の CVE-2026-59310（CVSS 9.8）を優先適用する。公表から実悪用までが 5 日であり、月次パッチサイクルでは間に合わない。既に適用済みの場合も、reverse_ssh を含む不審な cron ジョブと、8 月 3 日以降の外部ドメインへの発信通信を遡って確認する。
【今週】組込み・IoT 製品を扱う組織は、TPM2.0 リファレンス実装（CVE-2026-6726／6727）の影響を確認する。自社製品のファームウェア TPM や TPM ドライバが TCG のリファレンス実装由来かどうかを、部品ベンダに照会する。この問いに答えられない状態は、CRA の SBOM 義務が 9/11 以降に適用されたときにそのまま問題になる。Siemens 製品（JVNVU#98375707）を使う OT 環境も 8 月分アップデートを確認。
【今週】ブラウザ拡張機能の棚卸しを行う。737 個の偽 VPN 拡張の件は、個別審査では検出できない構造（522 個中 520 個が同一 SOCKS5 インフラ）だった。管理下の端末で VPN・プロキシ・広告ブロック系の拡張がどれだけ入っているかを把握し、企業ポリシーで許可リスト方式に寄せる。Proton VPN・NordVPN 等の正規ブランドを名乗る拡張であっても、公開元アカウントを確認する。
【設計課題】AI エージェント／LLM API を業務に組み込んでいる場合、推論トレースの扱いを見直す。暗号化された reasoning オブジェクトがセッション間でリプレイ可能だった以上、「暗号化されているから秘密を通してよい」という前提は成立しない。エージェントのログとトレースを公開・共有する運用があれば停止し、API キー・パスワードがプロンプトや推論に混入する経路を洗う。
【設計課題】境界の内側を分割する。Blue Report 2026 は「攻撃者が有効な資格情報を手にした時点で、その後の行動のうち阻止されるのは 37%」と測っている。防止率という単一指標での経営報告は、この内側の弱さを隠す。偵察と資格情報窃取の検知（ログ取得率ではなく検知率）を別建てで評価すること。閉域網・専用 APN を「安全な内側」として扱っていないかを、ポーランド CHP プラント事案を参照して点検する。
官公庁は JVN の 4 件を除き全ソース新着なし。 NCO（8/5 が最新、Chrome MCP でトップページを直接確認）、IPA（8/12 の新着は人材育成 1 件のみでセキュリティ非関連、セキュリティ分野の一覧上の最新は 8/3 のまま）、経産省プレスリリース（8/10 が最新）、経産省サイバーセキュリティ政策（5/20 が最新、ページ最終更新 2026-04-27、Chrome MCP で確認）、警察庁サイバー局（8/10 が最新）、デジタル庁（8/10 が最新、いずれもセキュリティ非関連）に新規はない。
JVN は 8/12 付で 4 件を公表した。 JVNVU#96623328 TCG TPM2.0 リファレンス実装（CVE-2026-6726／6727）／JVNVU#96740507 Opencart のディレクトリトラバーサル／JVNVU#98375707 Siemens 製品アップデート（2026 年 8 月）／JVNVU#95587179 CISA ICS Advisory・ICS Medical Advisory（8/11 分）。TPM2.0 は信頼の起点にある上流コードであり、最終製品側から影響範囲を追いにくい点で今日最も重要な国内情報である。
JPCERT/CC は注意喚起の新着なし。 最新は 8/12 の JPCERT-AT-2026-0022（2026 年 8 月マイクロソフトセキュリティ更新プログラム、CVE-2026-68820 を名指し）。Weekly Report は 2026-08-05 号のままで、通常水曜発行の 8/12 号が発行されず、8/13 時点でも未公開である。CyberNewsFlash も 2026-01-07 が最新で変化なし。
障害・観測上の問題（4 点）。① CISA 公式 KEV JSON が空応答（15 日目）——cvefeed.io ミラーで代替。ランサムウェアフラグの後付け検出については、ミラーのフィルタ付き URL が取得できず、本日の「更新なし」判断は根拠が弱い。② jvn.jp トップページに 8/12 付の 4 件が反映されていない（最終更新日 2026/08/10 のまま）——JPCERT/CC トップページ経由でのみ確認できた。③ IPA 新着一覧への反映漏れが 2 日目——8/12 公開の「Microsoft 製品の脆弱性対策について（2026 年 8 月）」は security-alert 配下にあるが一覧に現れない。①②③はいずれも「一次入口だけを見る監視は取りこぼす」という同型の問題である。④ cybersecuritynews.com RSS と THN の feedburner RSS は引き続き取得不可（トップページで代替）。NCO 新着一覧ページは WebFetch で空（JavaScript 描画のため Chrome MCP で代替）。
新着なし。 経産省 産業サイバーセキュリティ研究会（本日 Chrome MCP で直接確認、第 10 回・2025-04-03 のまま）、AI 事業者ガイドライン検討会、NCO サイバーセキュリティ人材フレームワーク検討会、サイバーセキュリティ戦略本部（第 6 回・7/31 開催が最新）、デジタル・サイバーセキュリティ WG、AI・半導体 WG のいずれも、8/13 時点で新規の開催案内・資料公開は確認されなかった。
週次チェック（次回 8/17 月）に向けた保持論点。 内閣府「サイバー対処能力強化法の施行等に関する有識者会議」——7/31 に NCO が公表した「脅威ハンティングの普及促進、実施等に係る基本方針」が同法の運用文書にあたる可能性があり、内閣府側の続報を確認する。あわせて NCO の「安全基準等策定ガイドライン（案）」意見募集（8/5 開始）の締切と結果公表時期も確認対象とする。
8/11、Rapid7 の Stephen Fewer が SharePoint 認証バイパス CVE-2026-55040（CVSS 9.1）の技術解説と PoC を公開した。8/12、Defused が「攻撃者がその PoC を我々のハニーポットに使っている」と報告した。約 24 時間である。記事の芯は時間軸の全体にある——Microsoft の修正は 7 月の月例パッチ、CISA の注意喚起は 7/15、PoC 公開が 8/11、実悪用が 8/12。脆弱性は 1 か月前に直っていた。当局は 4 週間前に警告していた。それでも攻撃が始まったのは PoC が出た翌日である。この 1 か月間、未修正の組織を守っていたのは「攻撃コードがまだ書かれていない」という事実だけだった。露出は 8,500 台超（Shadowserver）。そして Microsoft は今も「悪用が成功した」とはフラグしていない——8/12 に CVE-2026-45659 について書いた「ベンダ情報を待つ運用は KEV より遅い」が別の CVE で反復している。CRA 第 14 条の 24 時間報告義務は、修正済みの脆弱性が第三者の PoC 公開で悪用され始めた場合、誰の「認知」を起点に動くのか——悪用を最初に観測したのはベンダでも当局でもなく、ハニーポットを運用する民間企業だった。
8 月の月例パッチが出た翌日、Nightmare Eclipse が Microsoft Defender のゼロデイ PoC「ShieldBreak」を公開した。これは CVE-2026-50656（RoguePlanet、CVSS 7.8）のパッチバイパスである。経緯を並べると構造が見える：6 月に研究者が RoguePlanet を公表→約 1 か月後に Microsoft が修正→その後 Microsoft が「多層防御の更新」を追加→8/12、研究者がその追加分もバイパスしたと主張。主題は「パッチを出したことと、脆弱性が対処されたことは同じではない」の一点に絞れる。しかも同じ研究者が、月例パッチで自分の別のゼロデイ（LegacyHive＝CVE-2026-62832、Microsoft は匿名研究者に帰属）が吸収された当日に次のバイパスを出している——開示と修正とバイパスが同一主体を軸に循環している。CRA 附属書 I の「効果的な対処」をこの循環のどこで満たしたと言えるのか。加えて、バイパス対象がエンドポイント保護製品そのものであり、防御機構が権限昇格の踏み台になっている点も書ける。
JVN が 8/12 付で「TCG TPM2.0 のリファレンス実装における複数の脆弱性（CVE-2026-6726、CVE-2026-6727）」を公表した。TPM は暗号鍵の保管とプラットフォーム完全性測定を担うハードウェア信頼基盤であり、Windows 11 の要件でもある。そして問題になっているのは特定ベンダの製品ではなく、Trusted Computing Group が公開しているリファレンス実装——多数のベンダが自社 TPM やファームウェア TPM の基礎として取り込む上流コードである。芯は「影響範囲を誰が答えられるか」にある。手元の PC やサーバの TPM がこのコードを含むか、利用者は知らない。多くの場合、機器メーカーも即答できない。8/12 に nothings の stb TrueType について「SBOM の観点では影響範囲の把握が難しい」と書いた。今回はそのハードウェア信頼基盤版であり、より深刻である——TPM は「他のすべての保護の前提」だからだ。CRA 附属書 I は機密性・完全性の保護と SBOM 作成を求める。ファームウェアに焼かれた上流リファレンスコードは、その製品の SBOM に現れるのか。9/11 以降に問われる具体的な問いとして書ける。同日公表の Siemens 月次アップデート（JVNVU#98375707）で OT 側の定点も併記できる。
Chrome ウェブストアの 737 個の無料 VPN・プロキシ拡張が、利用者のブラウザセッション全体を単一事業者の SOCKS5 プロキシに流していた（Socket、研究者 Kush Pandya）。インストール総数 75,486、公開元は少なくとも 40 の開発者アカウント、274 個が Proton VPN・NordVPN・Surfshark・ExpressVPN・Cloudflare の 1.1.1.1・Google の Outline など 66 ブランドを偽装。主たる標的は遮断されたサービスへのアクセスを求めるロシア語話者である。決定的な一文は「一括まとめの 522 個のうち 520 個が同一の SOCKS5 インフラに流している」。500 以上の別々の拡張に見えていたものは、実体としては一つの傍受基盤への入口だった。論点は 2 つ。第一に、個別審査ではこの構造を検出できない——1 個ずつ見れば「VPN 拡張がプロキシに通信を流す」のは仕様どおりで、異常は 500 個を横断して初めて現れる。第二に、動機と結果の皮肉さ——検閲を回避して通信の秘密を守ろうとした利用者が、その代償として全通信を単一の未知の第三者に預けていた。8/12 の BdThemes（WordPress プラグインチームがダウンロードを一時停止）と併せると、配布プラットフォームの停止判断が唯一の実効的措置になっている構図が浮かぶ——CRA が想定する「メーカーの義務」は、この種の製品には最初から届かない。
OpenAI・Anthropic・Google の推論 API が呼び出し間で運ぶ「暗号化された推論オブジェクト」から、内部推論と秘密情報（API キー・パスワードを含む）が復元された。手口は難解ではない——あるセッションのブロックを別セッションにリプレイするだけで、検証では同一プロバイダ系列の「より弱いモデル」に渡して隠された内容を吐かせることまでできた。公開エージェント軌跡 6,708 件から 315,320 個の thinking ブロックが復号されている。主題は「暗号化の有無ではなく、バインディングの欠落」である。暗号化されたオブジェクトが、生成された文脈から切り離しても意味を持つなら、それは秘密を守っていない。悪用経路 4 つのうち最も系統が違うのは「不透明な推論ブロック内へのプロンプトインジェクションの潜伏」で、8/12 に記録した「悪性 MCP サーバが指示を断片に割る」手法と方向が対になっている（あちらは分割、こちらは不可視化）。CRA 附属書 I の「機密性の保護」を、アルゴリズム選択ではなく設計要件として読むべき理由がここにある。8/12 の Mozilla（失効できた鍵）と Google（失効できない鍵）の対比に、これは第三の型として並ぶ——暗号は使っているが、暗号の外側の設計が守っていない。
Picus Labs が 2026 年上期に実顧客の本番環境で 3 億 3,800 万回超の攻撃シミュレーションを計測した結果、平均防止有効性は 62% から 69% に上昇し、ログ取得率は 58% で 4 年来の最高となった。数字だけ見れば防御は回復している。問題はその回復がほぼ境界に限られていることだ。境界を越えられた後、防御は反転する——外から見て強く見えるものが内側では柔らかくなり、最も弱いのは偵察と資格情報窃取という「静かな動き」に対してである。最も引用すべき数字はこれだ：攻撃者が有効な資格情報を手にした時点で、その後の行動のうち阻止されるのは 37% にすぎない。この記事の価値は 8/12 のポーランド熱電併給プラント事案と併読して出る。あちらは配電系統運用者の閉域 APN の内側が無分割で、風力発電所から別事業者の CHP プラント制御装置へ横移動できた。「境界を作ったが、内側を分割しなかった」——Blue Report が統計で示すことを、CERT Polska は 1 件の事例で示している。日本の文脈も明快で、サイバー対処能力強化法や重要インフラ統一基準の議論で問われているのは境界防御の強度ではなく境界の内側の設計だ。Picus は「防止率のスコアだけを見ると内側で何が起きるかが隠れる」と述べている——経営報告用の単一指標が、まさにその隠蔽に加担しうるという批判として読める。
本日は木曜のため対象外（週次・月次チェック日のみ更新）。次回の週次チェックは 2026-08-17（月）、月次チェックは 2026-09-07（9 月第 1 月曜）。
期日として保持している論点。 EN 40000 シリーズの水平的 Type A 規格および脆弱性管理 Type B 規格の採択期限 2026-08-30（残り 17 日）／CRA 報告義務の適用開始 2026-09-11（残り 29 日）。前者は 9 月の月次チェック（9/7）を待たずに到来するため、8/17・8/24 の週次チェックで WebSearch による補完的確認を必ず行う。
本日の Art.14 観点の新規マーク（日次分から）。 CVE-2026-55040 SharePoint——修正済みの脆弱性が第三者の PoC 公開を契機に悪用され始めた場合、24 時間報告義務のトリガーとなる「認知」は誰のどの時点か（悪用を最初に観測したのはベンダでも当局でもなく民間のハニーポット運用者だった）。ShieldBreak／CVE-2026-50656——附属書 I が求める「効果的な対処」を、修正→バイパス→多層防御追加→再バイパスという三段構えのどこで満たしたと言えるか。JVNVU#96623328 TPM2.0 リファレンス実装——信頼の起点にある上流コードが最終製品の SBOM に現れるか。JVNVU#98375707 Siemens——月次まとめ公表という形態と個別脆弱性報告義務の整合。CVE-2026-59310 vCenter——公表から悪用まで 5 日という、修正提供だけでは足りない時間感覚。悪性 LiteLLM（存在時間 40 分）——SBOM の粒度が時間に耐えるか。推論 API のリプレイ——暗号化されたオブジェクトが文脈から切り離せるかという設計要件。偽 VPN 拡張 737 個——実効的な義務主体がストア運営側の審査に移る領域。