ReliaQuest は「汎用 Web シェルの流用ではなく、Windchill の内部 API・DBスキーマ・キーストア・ファイルボールト構造の詳細な知識を前提に構築された」と評価し、Clop の大量悪用プレイブックの「アプリケーション特化型の進化」と表現した。JSP シェルが Windchill 固有クラス（MethodContext / WTConnection / WTKeyStoreUtil）を直接インポートし、アプリケーション自身の DB ID でクエリを実行するため、DBテレメトリは活動を正規サービスIDに帰属させる。制御は独自ヘッダ X-windchill-req（8文字、先頭1文字がコマンド）で行われ、S=LDAPパスワード復号、L=ファイルボールト列挙（flst.txt出力）、D=ディレクトリ列挙、G=ファイル読取、R=削除、J=Javaバイトコードのメモリ内実行、O=OS判定、E=エコーの8コマンドを持つ。
エンタープライズCAにおける AD CS の登録フォールバック機構（"chase"）の処理不備。認証済みの低権限ドメインユーザが、管理者権限も利用者操作もなしに、ドメインコントローラを含む任意のドメインコンピュータアカウントの証明書を取得できる。PoC は krbtgt シークレットの抽出まで到達し、実質的なドメイン完全掌握に至る。修正は 2026-07-14 の月例更新、PoC 公開はその10日後。Microsoft は「確認された脅威アクターによる悪用は観測しておらず、これまでの活動はセキュリティテストと整合的」としており KEV 未収載。本ウォッチでは本日から継続監視対象に追加する。
Outlook on the web、Outlook デスクトップ、SharePoint Online、OneDrive で検索が機能しない事象を Microsoft が認めた。セキュリティ事案ではないが、8/17 の GitHub 全世界障害に続く「開発・業務基盤の可用性」の連続事象として記録する。
8/17 追加の CVE-2025-62593 Ray が引き続き最新エントリ。ただし 8/17 の追加そのものが公式フィード沈黙下で発生した実績があるため、本日の「ゼロ」は真の追加なしと配信断の区別がついておらず、暫定判定として扱う。
AI/MLワークロードを分散実行する Python ネイティブフレームワーク。/api/jobs 等の重要エンドポイントに認証を実装しないという長年の設計判断が原因で、User-Agent を改変できるブラウザ（Firefox・Safari）と DNS リバインディング攻撃の組合せにより、開発者が悪意あるサイトを踏むだけで任意コード実行に至る。修正は 2.52.0。是正期限は明日である。
WinSock 用補助機能ドライバの解放後利用。認可された攻撃者によるローカル権限昇格。2026年8月 Patch Tuesday で修正された、実際の攻撃で悪用中のゼロデイ。
CVE-2026-72898 Metabase（CVSS 10.0、期限 8/14、5日超過）／CVE-2026-20349 Cisco ASA・FTD（8.6、8/14、5日）／CVE-2026-8037 Progress LoadMaster（9.8、8/10、9日）／CVE-2025-68686 Fortinet FortiOS（5.9、8/10、9日）／CVE-2026-63077 JetBrains TeamCity（9.8、8/8、11日）／CVE-2026-34486 Apache Tomcat（9.8、8/7、12日）／CVE-2026-18556 N-able N-central（8.2、8/7、12日）／CVE-2026-18577 同（8.2、8/6、13日）／CVE-2026-9198 IBM Langflow（9.8、8/7、12日）／CVE-2026-60137 WordPress Core（9.1、8/4、15日）／CVE-2026-20316 Cisco Secure FMC（5.3、8/1、18日）／CVE-2026-16812 Arista VeloCloud Orchestrator On-Prem（10.0、7/30）／CVE-2026-63030 WordPress Core（9.8、7/24）／CVE-2026-0770 Langflow（9.8、7/24）／CVE-2021-27137 DD-WRT（8.1、7/24）。
Clop への帰属は、恐喝メールに含まれるリークサイト使用アドレス、過去に観測された X-windchill-req ヘッダの一致、TTP の共通性に基づく。Accellion FTA、GoAnywhere MFT、SolarWinds Serv-U FTP、Cleo、MOVEit Transfer（2,770組織超）と続くファイル共有基盤の大量悪用系列に、PLM（製品ライフサイクル管理）という新しい標的カテゴリが加わった。窃取対象は個人データではなく設計図面・部品表・サプライヤ情報である。
Azure/Entra テナントからの364万件流出主張（TheHatman）／フランス DGFiP 67.8万人分窃取（ZeroBytes）／Cavern（Cav3rn）C2（イラン系・DNS A レコードで HTTPS と Google Apps Script リレーを切替）／Evooo1Bot（Mirai 派生・SOCKS5 中継化）／HoneyMyte・CoolClient 署名済みカーネルルートキット／macOS ClickFix（250超ドメイン・ブラウザフィンガープリンティング）／ChainDrop・keyv npm ワーム／Akira のセーフモード EDR 無効化／Zbtlink ルーターのバックドア。
8/17 公開の Windows 11 ベータビルド（26220.9202／26H1系 28020.2731）で WMIC が削除され、8/14 には 24H2／25H2 の新規インストールで既にデフォルト削除・FoD 提供終了であることが明かされた。経緯は Windows Server 2012 で 2016年非推奨 → Windows 10 21H1 で 2021年非推奨 → Windows 11 22H2 で 2022年 FoD 化 → 2024年1月に削除予告 → 2026年8月に実削除。削除対象はレガシー WMIC のみで WMI 本体は影響なし。移行先は PowerShell、WMI の COM API、.NET ライブラリ等。WMIC はランサムウェアのシャドウコピー削除、セキュリティ製品の列挙・アンインストール、Defender 除外パス追加に常用されてきた代表的 LOLBIN である。
Ray 2.52.0（CVE-2025-62593、KEV期限 8/20）／GitLab 19.2.4・19.1.6・19.0.8・18.11.11（CVE-2026-19478、CVSS 9.4、self-managed のみ）／Forminator Forms 1.56.2（CVE-2026-15748、CVSS 9.8）／Windows 2026年8月 Patch Tuesday（421件、ゼロデイ3件）／macOS Tahoe 26.6.1・Sequoia 15.7.9・Sonoma 14.8.9（CVE-2026-65400）／Apache Allura 1.19.1（CVE-2026-69223）／Roundcube 1.6.18・1.7.3。未修正のまま残るもの：ShieldBreak／CVE-2026-69414（Microsoft Defender、CVE採番済みだがパッチ未提供）、Unisoc モデムファームウェア（ベンダ連絡不能）、GeoServer 未採番ゼロデイ。
本日最優先：Ray の是正期限は明日（8/20）である。社内で Ray を使った AI/ML 基盤を運用している場合、Python パッケージを 2.52.0 に更新するか、Ray ダッシュボード／ジョブ API をインターネットおよび開発者端末のブラウザから到達できない位置に隔離すること。攻撃はブラウザを confused deputy として利用するため、Ray インスタンスがプライベートネットワーク内にあっても、同一ネットワークの開発者が悪意あるサイトを踏めば成立する。
PTC Windchill／FlexPLM 利用組織：CVE-2026-12569 の修正（PTC が 6/17 から提供）を即時適用したうえで、Windchill ディレクトリ内の異常な JSP ファイル、特に X-windchill-req という文字列を含むものを探索すること。侵害が疑われる場合は LDAP マネージャパスワードその他 Windchill 資格情報をすべて侵害済みとみなして変更する。DB 監視ルールの前提を見直すこと——本 Web シェルはアプリケーションの正規サービス ID で DB に接続するため、「新規アカウント」「予期しない接続元ホスト」に依存した検知は機能しない。
Windows 環境：WMIC 削除により既存の運用スクリプトが停止しうる。24H2／25H2 への新規展開前に、WMIC に依存する管理スクリプト・監視エージェント・資産管理ツールを棚卸しし、PowerShell 等へ移行しておくこと。逆に、まだ WMIC が残る既存環境では引き続き AppLocker／WDAC による実行制限を検討する価値がある。
AD CS を運用する組織：Certighost（CVE-2026-54121）は KEV 未収載だが公開 PoC が存在し、標準ドメインアカウント1つでドメイン完全掌握に至る。2026年7月の月例更新が適用済みであることを確認し、未適用なら KEV 収載を待たずに優先度を上げること。あわせて PKI を Tier 0 の ID インフラとして扱っているか（CA サーバの管理経路、証明書テンプレートの権限、監査ログ）を点検する。
KEV 運用の見直し：公式 JSON フィードの障害が7日連続で継続している。KEV を CRA Art.14 のトリガーや脆弱性優先度の唯一の入力としている場合、二次ソース（cvefeed.io 等）または CISA の HTML カタログページを併用した冗長化を、暫定運用ではなく恒久的な設計として組み込むこと。あわせて「新規追加の差分」だけでなく「既存エントリの属性変更（ランサムウェアフラグ等）」も監視対象に含める。
差分ウィンドウ（8/18午後〜8/19朝）内の新着はゼロ。そして特筆すべきは取得できなかったソースもゼロである点で、8/16〜8/18 に断続的に発生していた経済産業省のページ取得障害（8/16〜8/17 はサイバーセキュリティ政策ページ、8/18 はプレスリリース一覧）は本日いずれも解消し、NCO トップページも Chrome 経由で正常に取得できた。すなわち本日の「新着なし」は配信断ではなく実際に新着がないことを意味する——KEV 側の「フィードが死んだままのゼロ」とは判定の質が異なる。
各機関の最新状況：JVN＝2026-08-18 12:00（Apache Allura SSRF／CVE-2026-69223、8/18 記録済み）。JPCERT/CC 注意喚起＝2026-08-15（NetScaler ADC／Gateway CVE-2026-8452、JPCERT-AT-2026-0024）。Weekly Report＝2026-08-13号（次号は 8/20 見込み）。お知らせ＝2026-08-13（CyberNewsFlash「JetBrains TeamCity CVE-2026-63077」）。NCO＝2026-08-05（松本デジタル大臣シンガポール訪問結果／「安全基準等策定ガイドライン（案）」意見募集）。IPA セキュリティ分野＝2026-08-03（企業組織を狙うメールを悪用した攻撃の手口とその対策）。経産省サイバーセキュリティ政策＝2026-05-20（最終更新 2026-04-27）。経産省プレスリリース＝2026-08-17（健康経営銘柄2027／非セキュリティ）。警察庁サイバー警察局＝2026-08-10（サイバー警察局便り R8 Vol.9「家庭にある機器が悪用されています」）。デジタル庁＝2026-08-17（いずれも非セキュリティ）、セキュリティ政策ページ＝2026-04-07。
障害記録：CISA 公式 KEV JSON フィードが 8/13 以降 7日連続で空応答（cvefeed.io ミラーで代替）。WebSearch による補完（「JPCERT/CC 注意喚起 2026年8月19日」「ransomware attack August 19 2026」「security patch update August 18 2026」）では本日付の新規事案は検出されず。日次実行が JST 朝であるため、米国時間 8/18 夕方以降の報道は次回実行時に捕捉される（BleepingComputer RSS は 8/18 18:49 GMT、The Hacker News は 8/18 付が最新）。それ以外のソースはすべて取得成功。
新着なし。NCO トップページ（Chrome 経由で取得）の新着情報欄は 8/5 が最新で、サイバーセキュリティ人材フレームワーク検討会・サイバーセキュリティ戦略本部の新規開催情報は掲載されていない。経産省 産業サイバーセキュリティ研究会（SCS・JC-STAR 関連）については、サイバーセキュリティ政策ページの最新情報が 2026-05-20 で止まっており、プレスリリース一覧（本日は取得成功、最新 8/17）にも該当する開催案内はない——8/18 に「判定不能」としていた部分は本日解消し、新着なしと確定した。AI 事業者ガイドライン検討会、デジタル・サイバーセキュリティ WG、AI・半導体 WG についても、デジタル庁新着（8/17 が最新、いずれも非セキュリティ）および NCO 新着に該当する掲載はない。
MOVEit や Cleo で見せた Clop の「一つの脆弱性を大量に叩く」プレイブックに、新しい層が加わった。CVE-2026-12569（PTC Windchill）攻撃で使われた Java Web シェルは汎用ツールの流用ではなく、Windchill の内部 API・DBスキーマ・キーストア・ファイルボールト構造を熟知して作られている。決定的なのは、シェルが Windchill 自身の MethodContext／WTConnection クラスで DB に接続するため、DBテレメトリ上は正規のサービス ID として記録される点である——「新規アカウント」「予期しない接続元」を見る検知は原理的に空振りする。標的が PLM、すなわち設計図面と部品表の保管庫であることも含め、サプライチェーンセキュリティの議論を「部品の来歴」から「部品表を持つシステム」へ一段深める材料になる。
ランサムウェアがシャドウコピーを消し、攻撃者がセキュリティ製品を列挙し、マルウェアが Defender の除外パスを追加する——WMIC は LOLBIN の代表格として長年これらに使われてきた。Microsoft は 8/18、Windows 11 24H2／25H2 の新規インストールから WMIC を既定で削除し、FoD としての提供も終了したと明らかにした。2016年の非推奨化から数えて10年である。この年表は、いったん出荷した機能を後から取り除くコストの実測値として読める。CRA 附属書 I が新規製品に「デフォルトで安全な構成」と攻撃面の最小化を求める理由が、そのまま10年という数字に表れている。
CISA の KEV 公式 JSON フィードは 8/13 から7日連続で空応答である。その沈黙のさなかの 8/17、Ray（CVE-2025-62593、CVSS 9.4）が追加され、是正期限は3日後の 8/20——つまり明日に設定された。フィードが死んでいる間に「追加なし」を観測しても、それは配信断と区別がつかない。KEV を CRA Art.14 の実務トリガーや優先度判定の唯一の入力として使っている組織は、この7日間、事実上目を閉じていた可能性がある。同じ週に公開 PoC 付きでドメイン完全掌握に至る Certighost（CVE-2026-54121）が KEV 未収載のまま存在していることも併せて、「KEV は必要条件であって十分条件ではない」という論点を扱う。
本日は対象外（週次・月次チェック日のみ更新）