Cloud Software Group が 6/30 に「DoS や不審な動作につながる」として公表した脆弱性について、watchTowr Labs が 8/14 にヒープベースのバッファオーバーフローとしての詳細分析を公表し、SAML SP／IdP として構成されている場合に認証なしで RCE が可能であるとした。その後、Webshell を設置可能な PoC コードも公開されている。JPCERT/CC は「影響を受ける対象製品が国内で広く利用されていることを確認」と明記し、8/15 時点で悪用は未確認だが PoC 悪用による攻撃発生を懸念している。対象は NetScaler ADC／Gateway 14.1-72.61 未満・13.1-63.18 未満、ADC FIPS 14.1-72.61 FIPS 未満、FIPS/NDcPP 13.1-37.272 未満。回避策は提供されておらず対策はアップグレードのみ。侵害調査の観点：(1) 想定外の PHP ファイルへのアクセス（PoC は /var/vpn/theme/ 配下に x.php を設置）、(2) SAML Response の異常に長いデータ（SignedInfo・InclusiveNamespaces の PrefixList 属性、/cgi/samlauth 等への POST）、(3) nsppe プロセスの異常終了・短時間での再生成・PID 変更、(4) /bin/sh のパーミッション変更。なおベンダは「ゲートウェイまたは AAA 仮想サーバー構成」、研究者は「SAML SP／IdP 構成」と影響条件の記述が食い違っており、利用者側での該当性判定が難しい点に注意。
コア Data Hub Adapter 拡張における不適切な認可に起因し、未認証の攻撃者がデフォルトの認証クライアントを悪用して十分な検証を欠く機能に細工した入力を送ることで任意コード実行に至る。Defused は「本脆弱性には公開 PoC が存在せず、悪用も知られていない」と明記したうえで、パッチ公開から 3 日でハニーポットへの着弾を報告した——攻撃者はパッチ差分から独自に武器化したことになる。SAP はアドバイザリで悪用をフラグしていないが、広報は「認識しており調査中」「セキュリティノート 3771065 を公開済み、直ちに適用を推奨」と回答。Shadowserver は SAP Commerce Cloud のフィンガープリントを持つ IP を 4,200 超追跡しており、大半が欧州・北米。2021 年 11 月以降、KEV には SAP の脆弱性が 14 件収載され、うち 3 件はランサムウェアで悪用されている。
オランダ NCSC-NL がアドバイザリ更新で、ポート 5900 がインターネットからアクセス可能だった複数システムでの悪用報告を受けたと公表。いずれのケースでも root がアクセスを獲得し Monero マイナーが設置されていた。Apple は 8/6 のアドバイザリと緊急アップデート（macOS Tahoe 26.6.1／Sequoia 15.7.9／Sonoma 14.8.9）で修正済み。Calif によれば本件は macOS Tahoe 26.6 で修正された Screen Sharing Server の一連のバグ（CVE-2026-43779 CVSS 9.8／CVE-2026-43777 CVSS 7.5／CVE-2026-43760 CVSS 8.6）の一部で、研究者 @osxreverser は「本質は screensharingd のプリ認証脆弱性で、IP さえ分かれば画面共有が有効な任意の Mac を掌握できる」と主張、直近のスキャンで約 40,000 の画面共有ホストがインターネットに露出していたとしている。Calif は「ヒープグルーミングも ASLR 回避もレースもクラッシュもない。正しい順序でパケットを 1〜2 個送るだけで、未パッチの機械には毎回入れる」と述べ、AI エージェントで両方の動作するエクスプロイトを 4 時間で作成したことを理由に CVE-2026-65400 の詳細公開を差し控えている。即時適用が難しい場合は「一般設定 > 共有 > 画面共有」をオフにすること。
RingCentral は 600,000 社超が利用するクラウド型コミュニケーション基盤。同社は 7/28 に「巧妙なソーシャルエンジニアリングキャンペーン」による侵害を公表していた。ShinyHunters は 7/27 に 623GB の窃取を主張し、身代金の支払い拒否を受けて 280GB 分の圧縮アーカイブをダークウェブのリークサイトに公開。HIBP がこれを解析し、1,600,000 アカウント分の氏名・メールアドレス・電話番号・物理的な住所が含まれていたと公表した。RingCentral は「コア基盤には影響なし」「影響を受けた顧客には直接連絡済み」としているが、侵入経路の詳細は明かしていない。ShinyHunters は Salesloft Drift／Salesforce Aura で 15 億件超、直近では Oracle PeopleSoft ゼロデイで 100 組織超の侵害を主張している。
8/12 に Clop が Fiserv への攻撃を主張したのと同じ週に、石油大手 Shell が別途 Clop に名指しされた。Shell は調査中であることを認めているが侵害の確認には至っておらず、現時点では暫定扱いとする。
2026-08-12 10:46 UTC に研究者 @q1uf3ng が X で公開したもので、「GeoServer の jsonArrayContains に未認可の SQL インジェクションがあり、sa データベースの場合は自然に RCE が可能」とされる。watchTowr は公開から数時間以内に悪用試行を観測し、少数の IP プールから数百件を確認。現時点で未修正・CVE 未採番。「攻撃者はインターネット上の脆弱なシステムを特定するプローブを行い、エラーを引き起こすところまでで先へは進んでいない」——標的リストの作成段階にあると解釈すべきである。GeoServer は地理空間データ配信の OSS で、自治体・研究機関・インフラ事業者での利用が多い。
2023 年 11 月の 4 日間に €30M（約 3,460 万ドル）が不正に引き出された事件。ドイツ当局によれば、攻撃者は金融機関の決済・取引処理システムにおいて「不具合のあるソフトウェア更新によって持ち込まれたソフトウェア脆弱性」を悪用した——更新そのものが脆弱性を作ったケースである。Commerzbank は「サービスプロバイダの技術的問題により不正な口座引落としが行われたが、顧客に金銭的損害はなかった」と回答。資金は通過口座・企業・決済機関・仮想資産プラットフォーム・本人同意なく発行された決済カードを経由して隠匿された。ブラジル連邦警察は 8/13 に「Operation Klonen」で 7 都市 21 件の令状を執行し 4 名を予防拘禁、うち 1 名は 2024 年に選挙へ立候補し不正資金を選挙運動に充てていた。R$106M 相当の資産差押えも命じられている。
中国系の hackers-for-hire グループ。XG-Web はブラウザ中心のリモートアクセス／情報窃取フレームワークで、「被害者のブラウザを完全なリモート制御チャネルに変え、そこからホストおよびその背後の内部ネットワークへ到達する」。標的は中東・東南アジア・南アジアの政府と軍。C2 コードは 5 世代にわたって開発され、ブラウザ・Windows エンドポイント・Linux サーバ・ネットワーク機器にまたがるインプラント群を持つ。
最新の追加は依然として 8/11 付の 3 件。CISA 公式の KEV JSON フィードは本日も空応答であったため、二次ソースの cvefeed.io ミラーで代替した（4 日連続の同一障害）。
未認証のリモート攻撃者が Metabase のアプリケーションデータベースに任意 SQL を注入し、管理者権限を取得しうる。取得後は設定変更、接続先データベースの保存済み認証情報の窃取、そこから参照できる全データの読み出しとエクスポートが可能。8/14 に JPCERT/CC が国内向け注意喚起（JPCERT-AT-2026-0023）を発行した。
未認証のリモート攻撃者がデバイスを予期せず再起動させ、サービス運用妨害（DoS）を引き起こしうる。
認可された攻撃者がローカルで権限昇格しうる。KEV 収載分のうち唯一、期限が未到来のもの。
エージェントポーリングプロトコル経由の未認証 RCE。8/13 の JPCERT/CC CyberNewsFlash で国内稼働が確認されている。
未認証の攻撃者が複数のコマンドエンドポイントの未サニタイズ入力を悪用し、アプライアンス上で任意コマンドを実行しうる。
CVE-2025-68686 Fortinet FortiOS（期限 8/10）、CVE-2026-34486 Apache Tomcat（期限 8/7）、CVE-2026-9198 IBM Langflow（期限 8/7）、CVE-2026-18556 N-able N-central（期限 8/7）、CVE-2026-18577 N-able N-central（期限 8/6）、CVE-2026-20316 Cisco Secure FMC（期限 8/1）。
不適切な認可に起因する未認証 RCE。パッチ公開から 3 日でハニーポットに悪用試行が着弾。公開 PoC は存在しない。KEV 未収載のため CISA の是正期限は設定されていないが、実質的な緊急度は KEV 収載分と同等以上である。
ネットワーク上の攻撃者が有効な認証情報なしにリモートデスクトップ機能へ認証できる。オランダ NCSC-NL がポート 5900 露出環境での root 奪取と Monero マイナー設置を確認。関連して CVE-2026-43779（CVSS 9.8）・CVE-2026-43760（CVSS 8.6）・CVE-2026-43777（CVSS 7.5）が macOS Tahoe 26.6 で修正済み。
watchTowr Labs が Webshell 設置可能な PoC を公開。JPCERT/CC は 8/15 時点で悪用を示す情報を確認していないが、国内で対象製品が広く利用されていることを確認済み。CVSS は Cloud Software Group／NVD ともに本日時点で確認できていないため記載しない。
少なくとも 7 月から、Alcatel・NETGEAR・Tenda・三菱電機・Telesquare・D-Link の機器を既知の脆弱性経由で標的化。新しいビルドは Hikvision カメラ・Atlassian Confluence・Zyxel ファイアウォール・TP-Link ルーター・D-Link NAS・WSO2・Kubernetes ingress-nginx・脆弱な PHP-CGI を狙うモジュールを含む（一部は実装不備で失敗する）。機能は SOCKS5 リレー（直接リッスンとリバースリレーの両モード、複数セッション同時可）、認証情報スニファ（/proc/net/tcp を監視し HTTP Basic 認証と Cookie ヘッダを捕捉）、150 通りの企業向けアカウント指向 SSH ブルートフォース、16 手法の DDoS（UDP・DNS・SYN・ACK・GRE・断片化 TCP・カスタム HTTP フラッド）。C2 は 443 番ポートで暗号化、起動前にデバッガ・セキュリティツール・サンドボックス・VM・コンテナ・ハニーポットを広範に検査。永続化は systemd・SysV init・シェルプロファイル・rc.local の 4 系統に加え、cron が 5 分ごとにペイロードを再取得。Fortinet は「ボットネットが十分大きくなれば住宅用プロキシサービスとして収益化できる」と指摘している。
ルートキットは悪性のプロセス・ファイル・レジストリオブジェクト・C2 のネットワーク情報を隠蔽・保護できる。被害はミャンマー・モンゴル・パキスタン・ロシアで確認され、政府機関を含む。CoolClient は一貫して PlugX 感染後の二次バックドアとして展開される。カーネルコンポーネントは CoolClient が Service Control Manager への完全アクセスと SeTcbPrivilege を得た場合にのみ展開され、条件を満たさなければドライバ展開を飛ばして最終段インプラントへ進む。Kaspersky はファイルハッシュ・パス・C2 ドメインを IoC として公開している。
稼働中の Chrome／Edge プロセス内で CDP を有効化し、Cookie・保存データ・認証済みセッションへアクセスする技法。前提として Windows ホスト上でのコード実行を既に得ている必要があり、ブラウザの脆弱性を突くものではない。防御側は Sysmon イベント ID 8 と 10 で chrome.exe／msedge.exe を標的としたプロセスインジェクションを探せる。Google は 2025 年 3 月に「App-Bound Encryption を有効化して以降、Cookie 抽出に Chrome のリモートデバッグを使う攻撃者が増加している」と述べており、8/13 に記録した macOS の AmnesiaStealer（CDP 経由のライブブラウザ操作）と同じ潮流にある。
偽の面接日程調整ページと BitB ウィンドウで Google および Facebook の認証情報を窃取し、高度なケースでは MFA プロンプトをリアルタイムで中継する。2 か月で 3,000+ の URL を確認、14 業種 50 組織超の実在の採用担当者と採用プロセスを詐称。標的の大半はマーケティング職で、CTM360 はこれを意図的な選択と見ている——侵害したマーケティングアカウントは広告プラットフォーム・企業 SNS・顧客データ・メールへのアクセスを与えるためである。
Akira のアフィリエイトが侵害システムをネットワーク付きセーフモードで再起動して EDR を停止させた。データ窃取には成功したが暗号化には失敗している。既知の手口だが依然として有効であることの確認として記録する。
2026 年上半期、.com などの gTLD だけで 1 日あたり 50,400 の dropcatch ドメインが再登録され、ccTLD を含めると約 65,000。日々の全登録の約 20%、すなわち新規登録ドメインの 5 件に 1 件にあたる。Infoblox は「これらのドメインは前世からレピュテーションを、時には接続関係までも引き継ぐため、特に興味深く、危険でもある」としている。
8/14 付で Storm が Rood & Riddle Equine Hospital（米・馬専門の獣医療機関）を主張。Akira が Keystops（米・石油燃料流通事業者）を標的としたとされる。構造的な数字として、Q2 2026 の産業組織を巻き込んだランサムウェアインシデントは 1,140 件で Q1 の 1,020 件から 12% 増、うち製造業が 747 件（65%）を占める。前回までの Fiserv（Clop）、Greater Austin Merchants Cooperative Association（incransom）、Westbrook Greenhouse Systems／Enteroptyx／The Rutherford Group（Blacknevas）等も暫定のまま。
ウクライナ当局が全国 94 の詐欺コールセンター（投資詐欺への誘導、銀行口座アクセスの窃取）を摘発し数百万相当の現金を押収。また Brightly Software の元データアナリスト（契約者）が、雇用主を標的とした 250 万ドルの恐喝スキームで懲役 2 年の判決を受けた。
2026 年 7 月のパッチチューズデー後に公表されていた Windows のゼロデイに対するセキュリティパッチが公開された。
Apple は 110 か国の利用者に通知を送り、これまでに 150 か国超の顧客へ通知してきたと述べている（開始は 2021 年後半）。「極端なコスト・巧妙さ・世界的な性質から現存する最も高度なデジタル脅威の一部」であるため、攻撃や通知を特定の攻撃者や地域に帰属させないとしている。通常はジャーナリスト・活動家・政治家・外交官など、個別に標的とされた人物に送られる。
CVE-2026-58231（Commerce Cloud、CVSS 10.0）を含む。SAP は「直ちにパッチを適用すること」を推奨している。直近では 7 月に 16 件、6 月・5 月に 30 件を修正しており、Commerce Cloud には CVE-2026-44761／CVE-2026-22732／CVE-2026-34263 の重大な脆弱性も含まれていた。
8/13 に記録した「ウォーターマーク除去ツールの氾濫」と対になる記事。検出器が非公開である以上、除去の成否を第三者が検証できないという構図は変わっていない。
【最優先】NetScaler ADC／Gateway の棚卸しとアップグレード。JPCERT/CC が国内での広範な利用を確認しており、回避策は存在しない。14.1-72.61 未満／13.1-63.18 未満／ADC FIPS 14.1-72.61 FIPS 未満／FIPS・NDcPP 13.1-37.272 未満が対象。ベンダと研究者で影響条件の記述が食い違っているため、「ゲートウェイ／AAA 仮想サーバー構成」「SAML SP／IdP 構成」のいずれかに該当する可能性がある場合は対象とみなして扱うのが安全である。あわせて JPCERT/CC が示した 4 つの観点（想定外の PHP ファイル、SAML Response 内の異常に長いデータ、nsppe プロセスの異常終了・再生成、/bin/sh のパーミッション変更）で侵害調査を実施すること。
【最優先】期限を超過している KEV 収載分の一掃。Metabase CVE-2026-72898（10.0、期限 8/14）と Cisco ASA/FTD CVE-2026-20349（8/14）が 2 日超過、TeamCity CVE-2026-63077（8/8）が 8 日、Progress LoadMaster CVE-2026-8037（8/10）が 6 日超過している。Metabase については、アップデートだけでなく「POST /api/session/reset_password（HTTP 400）→ GET /api/user/current（HTTP 200）」の連続アクセスをログで確認し、該当があればユーザーセッション・API キー・管理者アカウントの点検に加えて接続先データベースの認証情報を変更すること。BI ツールは複数 DB の認証情報を保持しているため、影響は Metabase 単体にとどまらない。
SAP Commerce Cloud はセキュリティノート 3771065 を即時適用。公開 PoC がないにもかかわらずパッチ公開 3 日で悪用試行が観測されている。「PoC が公開されていないから猶予がある」という優先度判定は、CVSS 10.0 の未認証 RCE では成立しないと考えるべきである。あわせて Data Hub Adapter 関連エンドポイントのインターネット露出を見直すこと。
macOS の画面共有（ポート 5900）をインターネットに露出させない。macOS Tahoe 26.6.1／Sequoia 15.7.9／Sonoma 14.8.9 以降へ更新し、即時適用が難しい場合は「一般設定 > 共有 > 画面共有」をオフにする。研究者のスキャンでは約 40,000 のホストが露出していた。リモート運用が必要な場合は SSH 等の背後に置くこと。
境界機器・IoT 機器のファームウェア更新と管理画面の閉塞。Evooo1Bot は Alcatel・NETGEAR・Tenda・三菱電機・Telesquare・D-Link の既知脆弱性を突いている。ファームウェアを最新化し、初期管理者資格情報を変更し、リモートアクセスパネルを無効化し、ベンダサポートが終了した機器は交換すること。SSH は 150 通りの企業向けアカウント指向の組合せでブルートフォースされるため、パスワード認証の無効化と鍵認証への移行が有効である。
GeoServer 利用組織はインターネット露出の確認と監視強化を。未修正・CVE 未採番のゼロデイに対する悪用試行が観測されている。現段階は「脆弱なシステムの特定」フェーズとされており、露出インスタンスの絞り込みと、jsonArrayContains 関連のリクエストに対するログ監視・WAF ルールでの緩和を検討すること。
採用・面接をテーマにしたフィッシングへの注意喚起（特にマーケティング部門）。RecruitTrap は BitB で偽のブラウザウィンドウを描画し、MFA プロンプトをリアルタイム中継する。URL バーの見た目では判別できないため、認証はブックマークまたは自分で入力したドメインからのみ行うよう周知すること。フィッシング耐性のある認証（パスキー・FIDO2）への移行が根本的な対策になる。
ブラウザのリモートデバッグ／CDP 利用の検知ルールを整備する。Windows では Sysmon イベント ID 8・10 で chrome.exe／msedge.exe を標的としたプロセスインジェクションを監視する。App-Bound Encryption の導入後、攻撃者は Cookie の直接復号から「生きているブラウザプロセスを操る」方向へ移っており、防御の追加が別の経路を太らせている点を前提に検知を設計すること。
差分ウィンドウ（8/15〜8/16）内の新着は 3 件。JPCERT/CC 注意喚起 JPCERT-AT-2026-0024「NetScaler ADC および NetScaler Gateway におけるリモートコード実行につながる脆弱性（CVE-2026-8452）」（8/15）（リンク）。国内で対象製品が広く利用されていることを確認したと明記し、回避策がないためアップグレードのみが対策であるとしたうえで、4 つの侵害調査観点を具体的に示している。8/13 の TeamCity CyberNewsFlash（国内稼働を確認）に続き、JPCERT/CC が短期間に 2 度「国内に対象がある」と踏み込んだ形である。
JPCERT/CC 注意喚起 JPCERT-AT-2026-0023「Metabase の SQL インジェクションの脆弱性（CVE-2026-72898）」（8/14）（リンク）。CISA KEV 収載（8/11、是正期限 8/14）から 3 日遅れの国内向け注意喚起。Metabase の公表は 8/6（日本時間）だが、JPCERT/CC は「2026 年 8 月 2 日には本脆弱性が悪用されていたと公表する情報も確認されている」としており、公表前から悪用があったことになる。対象は 63系 x.63.5 未満／62系 x.62.9 未満／61系 x.61.11 未満／60系 x.60.17 未満／59系 x.59.21 未満／58系 x.58.24 未満（58系より前は影響なし、Metabase Cloud は対策済み）。回避策は /api/session/reset_password へのアクセス遮断。侵害検知の指標は「POST /api/session/reset_password（400）→ GET /api/user/current（200）」の連続アクセス。侵害の疑いがある場合は接続先データベースの認証情報変更まで求められている。なお同日公表の別の SQL インジェクション CVE-2026-72899 も PoC とみられる情報が確認されている。
JVNVU#97860021「CISA ICS Advisory / ICS Medical Advisory（2026年08月13日）」（8/14 09:30 公表）（リンク）。CISA の ICS／医療機器向けアドバイザリの定期的な国内周知。個別の対象製品は JVN の該当ページで確認が必要。
差分ウィンドウ内に新着がなかったソース：NCO 国家サイバー統括室（最新 2026-08-05：松本大臣シンガポール訪問（結果）、「安全基準等策定ガイドライン（案）」意見募集。本日も Chrome 経由で正常に取得できた）、IPA（セキュリティ分野の最新は 8/3「企業組織を狙うメールを悪用した攻撃の手口とその対策」。8/14 の更新は人材育成・デジタル分野）、経済産業省プレスリリース（最新 8/14 は大雨に伴う被災中小企業支援措置で非セキュリティ）、警察庁サイバー警察局（最新 8/10：サイバー警察局便り R8 Vol.9「家庭にある機器が悪用されています」）、デジタル庁（セキュリティ最新 2026-04-07。トップの新着は 8/14 だがいずれも非セキュリティ）。
【障害・取得不能の記録】(1) CISA 公式の KEV JSON フィードが本日も空応答（8/13 以降 4 日連続）。cvefeed.io の KEV ミラーで代替した。(2) 経済産業省サイバーセキュリティ政策ページ（https://www.meti.go.jp/policy/netsecurity/index.html）が空応答で取得できなかった。同省プレスリリース一覧は正常に取得できたが、セキュリティ分野の新着有無および同省所管の審議会の動向は本ページ経由では判定できていない。次回実行時に再確認する。(3) cybersecuritynews.com の RSS フィードは取得自体は成功したが、応答が取得ツールの上限（83,705 文字）を超えたためパースできなかった（8/14 の「バイナリとして返された」とは別種の障害）。同社由来の情報は BleepingComputer・The Hacker News・WebSearch 経由で代替した。
差分ウィンドウ（8/15〜8/16）内の新着はなし。経産省 産業サイバーセキュリティ研究会（SCS・JC-STAR 関連）、AI 事業者ガイドライン検討会、NCO サイバーセキュリティ人材フレームワーク検討会、デジタル・サイバーセキュリティ WG、AI・半導体 WG、サイバーセキュリティ戦略本部のいずれも、NCO 新着情報（最新 8/5）・デジタル庁新着（最新 8/14、非セキュリティ）に新規の開催情報・資料掲載は確認されなかった。ただし経産省サイバーセキュリティ政策ページが取得できなかったため、同省所管の審議会については本日は判定不能である。
Cloud Software Group が 6/30 に「DoS や不審な動作につながる」として公表した CVE-2026-8452 について、watchTowr Labs が 8/14 に「SAML SP／IdP 構成では未認証リモートコード実行が可能」とする詳細分析と Webshell 設置可能な PoC を公開し、JPCERT/CC が翌 8/15 に注意喚起を出した。同一 CVE のまま深刻度の性質が変わったこと、ベンダと研究者で影響条件の記述が食い違っていること、回避策が存在せずアップグレードのみが対策であること——この 3 点は、利用者が自組織の該当性を判定する難しさとして書ける。JPCERT/CC が示した 4 つの侵害調査観点は実務的にそのまま使える。
未認証 SQL インジェクション（CVSS 10.0）について JPCERT/CC が注意喚起を発行。CISA KEV 収載は 8/11、是正期限 8/14 は既に経過している。注目すべきは侵害時の対処範囲で、JPCERT/CC は「接続先データベースの認証情報を変更する」ことを推奨している——BI ツールは定義上、複数のデータベースへの認証情報を保持しているため、影響は Metabase 自体にとどまらない。「POST /api/session/reset_password（400）→ GET /api/user/current（200）」という具体的な侵害検知パターンと、公表（8/6）より前の 8/2 に悪用報告があったという時系列も含めて整理できる。
CVSS 10.0 の未認証 RCE がパッチ公開から 3 日でハニーポットに着弾した。Defused 自身が「公開 PoC は存在せず、悪用も知られていない」と明記しているのが重要で、攻撃者はパッチ差分から独自に武器化したことになる。「PoC が出ていないから猶予がある」という優先度判定は、CVSS 10.0 の未認証 RCE では成立しない。Shadowserver が追跡する 4,200 超の露出インスタンスと、2021 年以降 KEV に 14 件（うち 3 件はランサムウェアで悪用）という SAP の実績も併せて論じられる。
オランダ NCSC がポート 5900 露出環境での実悪用（root 奪取＋Monero マイナー）を確認した CVE-2026-65400（CVSS 9.8）について、報告した Calif は「AI エージェントを使えばこの 2 つのプリ認証リモート root エクスプロイトを容易に作れる」ことを理由に詳細公開を差し控え、実際に両方の動作するエクスプロイトを 4 時間で作ったと明かしている。「ヒープグルーミングも ASLR 回避もレースもない、正しい順序でパケットを 1〜2 個送るだけ」というロジックバグの性質と、研究者 @osxreverser が「Apple との長い経緯」を理由に報告しなかったと明言している点を合わせると、調整された開示という制度の前提が二方向から崩れていることが書ける。約 40,000 の画面共有ホストが露出しているという数字も使える。
2023 年 11 月の 4 日間に €30M が引き出された事件で、ブラジルで 4 名が逮捕、欧州で 3 名が訴追された。ドイツ当局が明示した原因は「不具合のあるソフトウェア更新によって決済・取引処理システムに持ち込まれたソフトウェア脆弱性」であり、更新プロセスそのものが攻撃面になった事例である。CRA はメーカーに更新の提供を義務づけるが、「更新を出すこと」と「安全な更新を出すこと」は別問題だという論点に接続できる。容疑者の 1 名が不正資金を 2024 年の選挙運動に充てていたこと、2023 年の事案が 2026 年に立件されたという時間軸も材料になる。
Mirai 派生のモジュール型 Linux ボットネット Evooo1Bot が、Alcatel・NETGEAR・Tenda・三菱電機・Telesquare・D-Link の機器を既知の脆弱性経由で乗っ取り、SOCKS5 の中継ノードに変えている。Fortinet は「ボットネットが十分大きくなれば住宅用プロキシサービスとして収益化できる」と指摘しており、これは警察庁が 7/21 の「家庭用 IoT 機器を悪用したサイバー攻撃への官民一体となった対策の推進について」および 8/10 のサイバー警察局便り Vol.9 で扱った問題と同一である。国内メーカー製品が標的リストに含まれる点を起点に、CRA 附属書 I の「既知の悪用可能な脆弱性を含まない状態での上市」という製品規制側の視点と、国内の官民連携という運用側の視点を突き合わせられる。
本日（日曜日）は週次・月次チェックの対象外。次回の週次実施は 2026-08-17（月）＝NVD・FIRST、次回の月次実施は 2026-09-07（第 1 月曜）＝欧州委員会 CRA ページ・EUR-Lex・ENISA・CEN-CENELEC・経産省 SCS 評価制度／IPA SCS 評価ガイド・SBOM 導入手引。日次分に含まれる CRA 関連の観測（CISA KEV は本日新規追加ゼロ、JVN／JPCERT は新着 3 件）は上記各節に記載済み。以下は CRA 第 14 条の観点で本日新規にマークした 5 件である。
CVE-2026-8452 NetScaler ADC／Gateway（新規マーク・深刻度の再評価と報告義務の起点）。同一の CVE 番号のまま、深刻度の評価が「DoS・不審な動作」から「未認証リモートコード実行」へ変わっている。CRA は「積極的に悪用されている脆弱性」の認知から 24 時間以内の早期警報を求めるが、その「脆弱性」の同一性がベンダの当初評価に紐づく場合、再評価が起きたときに報告義務のクロックがどこから回り直すのかは整理されていない。さらに影響条件の記述がベンダ（ゲートウェイ／AAA 仮想サーバー構成）と研究者（SAML SP／IdP 構成）で食い違っており、CRA 附属書 II が求める「脆弱性の影響を受ける製品の識別に必要な情報」の提供水準として論じられる——利用者はベンダ情報だけでは該当性を判定できない。回避策が提供されずアップグレードのみが対策である点も、「利用者が適用できる形での修正提供」の実務的な意味を問う材料になる。
CVE-2026-58231 SAP Commerce Cloud（新規マーク・公開 PoC なしでの武器化）。Defused が明記した「公開 PoC が存在せず、悪用も知られていない」状態で、パッチ公開から 3 日で悪用試行が着弾したという事実は、CRA 第 14 条の実務設計に直接効く。従来、報告義務や優先度判定の前提には「PoC 公開 → 悪用拡大」という時間差の想定があったが、本件はその前提が成り立たないことを示している。「PoC が公開されていないから猶予がある」という運用判断は、CVSS 10.0 の未認証 RCE では成立しない。Shadowserver が 4,200 超のインターネット露出インスタンスを追跡している点は、附属書 I の攻撃面最小化の観点で、EC プラットフォームの管理系エンドポイント露出そのものを問う材料になる。
CVE-2026-65400 macOS Screen Sharing（新規マーク・AI による発見–武器化ギャップの消失）。Calif の「AI エージェントで動作するエクスプロイトを 4 時間で作成した」という自己申告と、それを理由に詳細公開を差し控えるという判断は、CRA の脆弱性ハンドリング要件（附属書 I 第 2 部）における「調整された開示」の前提を揺さぶる。調整された開示は「修正の配布が完了するまで攻撃者に有利な情報を出さない」ことで成り立つが、AI が公開情報とパッチ差分から短時間でエクスプロイトを構築できるなら、守るべき秘密の賞味期限が極端に短くなる。あわせて「同一ソースファイルに 2 つの独立したロジックバグが隣り合って存在し、片方は 26.5.2 にも存在していた」という指摘は、CRA が求めるセキュアな開発プロセスとテストの実効性の議論に使える。研究者 @osxreverser が「Apple との長い経緯」を理由に報告しなかったと明言している点は、CRA が前提とする「研究者からメーカーへの報告が機能する」という想定の限界を示す。
Evooo1Bot の標的に三菱電機製品が含まれる点（新規マーク・組込み／IoT と CRA 適用）。Fortinet が挙げた標的ベンダ（Alcatel・NETGEAR・Tenda・三菱電機・Telesquare・D-Link）のうち三菱電機は国内メーカーであり、CRA の適用対象となる「デジタル要素を持つ製品」を EU 市場に出荷している。既知の脆弱性を突かれてボットネット化するという類型は、附属書 I が求める「既知の悪用可能な脆弱性を含まない状態での上市」およびサポート期間中の脆弱性対応の水準に直結する。7/21 の警察庁「家庭用 IoT 機器を悪用したサイバー攻撃への官民一体となった対策の推進について」および 8/10 のサイバー警察局便り Vol.9 と同じ問題を、製品規制の側から見た形になる。
「不具合のあるソフトウェア更新が脆弱性を作った」Commerzbank 事件（新規マーク・更新プロセス自体の攻撃面）。ドイツ BKA が明示した原因、すなわち「決済・取引処理システムにおいて、不具合のあるソフトウェア更新によって持ち込まれたソフトウェア脆弱性」は、CRA 附属書 I が求めるセキュリティ更新の提供メカニズムそのものが攻撃面になりうることを示す。CRA はメーカーに更新の提供を義務づけるが、更新の品質保証の失敗が €30M の被害に直結した本件は、「更新を出すこと」と「安全な更新を出すこと」の間にある実務的な距離を示す事例として使える。2023 年の事案が 2026 年 8 月に立件されたという時間軸も、インシデントの帰結が確定するまでの長さを示す材料になる。
継続マーク（抜粋）：CVE-2026-71362 Adobe Commerce／Magento、Trezor／ShipMonk、City-Forum キャンペーン、AI ウォーターマーク除去ツールのエージェントスキル配布、JVN#00941257 VoiceTra、CVE-2026-55040 Microsoft SharePoint、ShieldBreak／CVE-2026-50656 Microsoft Defender、JVNVU#96623328 TCG TPM2.0 リファレンス実装、JVNVU#98375707 Siemens 製品アップデート（2026 年 8 月）、CVE-2026-59310 VMware vCenter、悪性 LiteLLM リリース／Trivy 侵害、推論 API のリプレイ問題、737 個の偽 VPN 拡張機能、CVE-2026-72898 Metabase（期限 8/14・2 日超過）、CVE-2026-20349 Cisco ASA/FTD（期限 8/14・2 日超過）、CVE-2026-68820 Windows AFD.sys（期限 8/25）、CVE-2026-63077 JetBrains TeamCity、CVE-2026-8037 Progress LoadMaster、三菱電機製 CC-Link IE TSN 完全性検証不備（JVNVU#98879231）、シャープ製・東芝テック製 MFP（JVNVU#98759887）、ECOVACS DEEBOT PRO M1／K1VAC（JVNVU#92804348）、CVE-2026-64564 SCTPhantom、CVE-2026-64638 WordPress Core、Gitea CVE-2026-59774、CVE-2026-64531 OVSwrap、ChainDrop／keyv npm ワーム、OpenSSL CVE-2026-54876（JVNVU#92139835）ほか。