認証不要のリモート攻撃者がアプリケーション DB に任意 SQL を注入し、インスタンスの管理者権限を取得できる。そこから設定変更・接続先データベースの保存資格情報の窃取・当該接続で到達できる全データの読み出しとエクスポートに至る。影響は 1.58 以降で、セルフホスト構成も脆弱。Framework は氏名・メール・ログイン元 IP・住所・電話・法人の VAT／EIN まで、Tally はメールとパスワードハッシュ（ソルト有無は未回答）、LexisNexis は Diligence・Metabase API・Newsdesk を切断した。侵入は 8/3。
既定で開いている TCP 4307 に無認証で接続し、KLCERT-26-057（隔離環境内でのスクリプト実行）と KLCERT-26-058（サンドボックス脱出）を連鎖させて NT AUTHORITY\SYSTEM まで昇格。\public\js\locale.php を Web シェルに置換したうえで、正規インストーラを PhantomCore 入りの署名なし版に差し替える。別途 PhantomGraph（OneDrive 経由でコマンドを受け取る 2 つの DLL）も投入され、LSASS ダンプによる資格情報窃取が観測された。対象は TrueConf Server 5.3.9／5.4.9／5.5.5 未満。同製品は 2026 年 4 月にも CVE-2026-3502 で同種の攻撃（Operation True Chaos）を受けている。
ウィルミントン港・モアヘッドシティ港・シャーロット内陸港が対象。8/4 に検知し、サイバーセキュリティ緊急時計画を発動して 8/5 朝から復旧を開始した。システム全体の停止により 8/5 のゲート開放は 8 時にずれ込み、港湾業務とトラック輸送に遅延が出た。ウィルミントン港は 9 バース・年間 60 万 TEU・週平均 5,000 回のコンテナゲート処理を扱う。攻撃者の特定にもデータ窃取の有無にも言及はなく、犯行声明もない。
攻撃者は従業員 3 名にソーシャルエンジニアリングを仕掛け、その端末上に保存されていた企業データにアクセスして窃取した。侵害の起点が「人」である点で、継続監視中の UNC6671 による私物携帯へのヴィッシングと同じ系統の論点になる。
医療ソフトウェア企業が、2025 年 10 月に発生したインシデントで 380 万人超が影響を受けたと報告した。発生から影響通知までに 9 か月以上を要している点が実務上の論点になる。
認証不要の攻撃者が、複数のコマンドエンドポイントの未サニタイズ入力を悪用して LoadMaster アプライアンス上で任意コマンドを実行できる。ロードバランサ＝境界装置であり、KEV 収載は実際の悪用が確認されたことを意味する。前回実行（8/8）時点ではミラーに未反映で捕捉できておらず、期限まで残り 1 日の時点で検出した。
継続監視分。シンボリックリンク永続化機構向けパッチを迂回されるもので、前提として別の脆弱性でファイルシステムレベルの侵害が成立している必要がある。上記 LoadMaster と同じ 8/10 が期限。
KEV 収載ではないが、CVSS 10.0 かつ悪用確認済みのため掲載する。CVE 番号が採番されておらず GHSA しか識別子がないため、CVE を鍵に構成された KEV・脆弱性管理製品・SBOM 突合のいずれからも漏れる。修正版は 0.58.24／0.59.21／0.60.17／0.61.11／0.62.9／0.63.5。即時更新できない場合は /api/session/reset_password の遮断が暫定策。
Kaspersky 内部管理番号のみで CVE は付いていない。修正版（5.3.9／5.4.9／5.5.5）は 2026-06-18 リリース済み。公開識別子のない脆弱性が実攻撃で連鎖使用された例として、上記 Metabase と同じ論点に属する。
PhantomCore は侵害された TrueConf サーバから「クライアント更新」として配布されるバックドア。PhantomGraph は SysExcSvc.dll と SysReadSvc.dll の 2 つの DLL からなり、Microsoft OneDrive アカウントを C2 チャネルとしてコマンドを受け取り結果を返す。観測された活動には LSASS のメモリダンプによる資格情報窃取、hostname／whoami による偵察、リバース SSH トンネルの開始が含まれる。Kaspersky はロシアの計装・電子・輸送・エネルギー・IT・ソフトウェア開発分野で複数の Head Mare キャンペーンを現在進行形で観測しているとする。
英 Filtronic（通信機器製造）と米 Astro Electroplating の 2 件。いずれもランサムウェアグループ側の主張であり、被害組織による確認は取れていないため暫定として扱う。前回記録した「7 月 799 件／6 月 668 件」（The Register／BlackFog）は本日も一次ソース未確認のまま。
約 800 個の悪性 npm パッケージ／WEL1DROPPER（README で require() を促す手口）、macOS ClickFix の Go 製スティーラー、UNC6671 の私物携帯へのヴィッシング、Microsoft 365 への AitM フィッシング（Arctic Wolf Labs／Storm-2755 と重複）、ChainDrop／keyv npm ワーム、Open VSX の evil twin 拡張、COLDCARD フィッシング、Oracle DB 内の khunt、TeamPCP／Redis。Microsoft Threat Intelligence ブログは本日正常取得できたが、最新は 8/5 の macOS ClickFix 記事で新規投稿はない。
最小の安全版は 0.58.24／0.59.21／0.60.17／0.61.11／0.62.9／0.63.5。Cloud 顧客は適用済み。セルフホストは手動更新が必要で、あわせて全ユーザセッションの失効、API キーと管理者アカウントの不正変更の点検、接続先データベースの資格情報のローテーション、ログとクエリ履歴の精査が推奨されている。
修正は 2 か月近く前に出ていたが、未適用サーバが悪用された。署名のないインストーラを実行させない統制が、更新適用と並ぶ実務上の防御線になる。
Android の 8 月セキュリティ情報はパッチレベル 2026-08-05 で公開済み（RCE・権限昇格を含む）。Samsung は Galaxy 向けに 56 件（Google 由来 38 件＋Samsung 独自 18 件）を告知している。Android ／ Samsung
1. Progress LoadMaster を明日（8/10）までに更新する。CVE-2026-8037 は KEV 収載＝実際に悪用されており、期限は残り 1 日。境界装置であるため、更新が間に合わない場合は管理インタフェースの露出範囲を直ちに絞る。同じ期限の CVE-2025-68686 Fortinet FortiOS もあわせて確認する。
2. Metabase を使っているなら、更新だけで終わらせない。接続先データベースの保存資格情報が奪われている前提で、全ユーザセッションの失効・API キーと管理者アカウントの点検・接続先 DB の資格情報ローテーションまで実施する。侵害判定は「/api/session/reset_password への POST が 400 → 直後に /api/user/current への GET が成功」だが、ベンダ自身がそのログの改ざんを示唆しているため、ログが綺麗でも安心材料にはならない。
3. 「電子署名のないインストーラは実行させない」を統制として明文化する。TrueConf の件は、自組織が当該製品を導入していなくても、取引先の侵害されたサーバから会議参加時に配られるという経路を持つ。資産台帳にも SBOM にも載らない経路であり、実行制御（署名検証）と、外部から受け取ったインストーラを持ち込む際の申告ルールで塞ぐしかない。
4. CVE 番号のない重大脆弱性を拾う経路を用意する。本日の Metabase・TrueConf は、いずれも CVE が採番されていない（GHSA／ベンダ内部番号のみ）。CVE を前提とした脆弱性管理製品と SBOM 突合だけでは検出できない。利用中の主要製品については、ベンダの PSIRT／セキュリティアドバイザリを直接購読する経路を確保する。
5. KEV の期日管理を単一フィードに依存させない。CISA 公式 JSON の空応答が 11 日続いており、本ウォッチも二次ミラーに依存した結果、8/10 期限のエントリを残り 1 日で検出した。複数ミラーの併用、ベンダ PSIRT の直接購読、EPSS など別軸の併走で冗長性を持たせる。
デジタル庁（2026-08-07）— 新着 1 件（前回取りこぼし分）。「職員の個人情報の漏えいについて」。国家資格等情報連携・活用システムの運用において、他省庁へ送付した「ログイン履歴」ファイルに、本来含めるべきでない各資格管理団体の職員 150 名分の個人情報（氏名・ユーザー ID・所属等のコード）が記載されていた。7/6（月）に送付先省庁の担当者からの連絡で発覚。原因は攻撃ではなく「運用の作業手順書の曖昧な記載による作業誤り」。当該ファイルは第三者に転送されておらず削除済みで、二次被害は現時点で確認されていない。再発防止としてチェック体制の強化と作業手順書の点検を挙げる。発覚から公表まで約 1 か月。元記事
NCO（国家サイバー統括室）— 本日は確認できず（障害）。Chrome 拡張（Claude in Chrome）が接続不可で、新着情報欄は JavaScript 描画のため WebFetch では「Loading...」のまま返る。新着一覧ページも同様に空。前回 8/8 時点の最新は 8/5 の 2 件（松本デジタル大臣兼サイバー安全保障担当大臣のシンガポール訪問（結果）／「安全基準等策定ガイドライン（案）」に関する意見の募集）で、いずれも記録済み。8/6 以降の新着有無は未確認のまま持ち越す。
IPA（2026-08-07）— セキュリティ分野の新着なし。8/7 の新着はデジタル事例データベース（ブリヂストン）でセキュリティ関連ではない。セキュリティの最新は 8/3 の 2 件（メール悪用攻撃の手口と対策／中小企業向けセミナー開催支援）のままで記録済み。
経産省 — プレスリリースは新着なし（最新は 8/7 の 2 件で、7 府省庁合同要請は記録済み）。サイバーセキュリティ政策ページは WebFetch が空応答で確認できず（前回は正常取得できていたため断続的障害とみられる）。SCS 評価制度・SBOM 手引の更新有無は未確認。
警察庁サイバー局 — 新着なし。新着情報欄の最上位は 8/7 の IHC 運用ガイドライン改定のままで記録済み。8/8・8/9 付の新規はない。
JPCERT/CC・JVN — ともに新着なし。注意喚起は at260021（Ruby on Rails Active Storage、8/3［更新］）のまま、Weekly Report も 2026-08-05 号のままで次号（8/12 号想定）は未公開。JVN の最終更新日は 2026/08/07 で、最新 3 件（OpenSSL CVE-2026-54876／CISA ICS Advisory 8/6 分／Alinto SOGo）はいずれも記録済み。
障害記録：①CISA 公式 KEV JSON が空応答（継続・11 日目）— cvefeed.io ミラーで代替。前回はミラー側の反映遅延により 8/7 追加分を取りこぼしており、KEV 差分検出に最大 1 日の遅れが生じうることが実証された。②Chrome MCP が接続不可 — NCO を確認できず。③経産省サイバーセキュリティ政策ページが空応答。④cybersecuritynews.com の RSS が取得不可（継続）。⑤THN の RSS が取得不可（継続）— トップページで代替、最新は 8/7 付で 8/8 の新規記事はない。⑥Microsoft Threat Intelligence ブログは本日正常取得できた（前回までの障害は解消）。
新着なし。経産省 産業サイバーセキュリティ研究会（最新は第 10 回・2026-04-03 のまま）、AI事業者ガイドライン検討会、NCO サイバーセキュリティ人材フレームワーク検討会、デジタル・サイバーセキュリティWG、AI・半導体WG、サイバーセキュリティ戦略本部のいずれも、8/9 時点で新規の開催案内・資料公開は確認されなかった。ただし NCO 配下の 2 件（人材フレームワーク検討会・戦略本部）は、Chrome 接続障害により今回は直接確認できていない。
他省庁へ送った「ログイン履歴」ファイルに、本来は送付先省庁の担当課ユーザのみを載せるべきところ他団体のユーザが混入した。攻撃ではない。デジタル庁自身が挙げた原因は「運用の作業手順書の曖昧な記載による作業誤り」の一点で、これは国内官公庁の公表文としてはかなり率直な部類に入る — 多くの同種公表が「職員の確認不足」で止まるところを、手順書という成果物の品質に原因を帰している。是正策も人ではなく仕組みに向いている。あわせて論じられるのは時間軸で、発覚 7/6 → 公表 8/7 と約 1 か月。同じ庁が 8/7 に 7 府省庁合同要請の窓口として民間へ迅速な対応を求めている日と重なる点も含め、「攻撃でない漏えいの公表タイムライン」に国内の共通規範がないことを指摘できる。
BI ツールは定義上「社内データベースへの資格情報を一箇所に集めた装置」であり、そこが落ちることの意味が被害公表の並びにそのまま出ている。記事の芯は「CVE がない」ことにしたい — CISA KEV は CVE を鍵に構成され、脆弱性管理製品も SBOM 突合も CVE を前提に動く。CVSS 10.0 で現に悪用されているのに、その識別子が既存のパイプラインに乗らない。CRA の報告義務（2026-09-11 適用開始）は「積極的に悪用されている脆弱性」の報告を求めるが、採番されていない脆弱性をどの識別子で SRP に上げるのかは実務として詰め切れていない。前回の SCTPhantom（CVE はあるが KEV にはない）と対にすると、「KEV にない／CVE すらない脆弱性を、期日のある制度にどう乗せるか」という一本の問いになる。
入口は既定で開いた TCP 4307 への無認証接続で、修正版は 6/18 に出ていた。ここまでなら「パッチを当てていないサーバが落ちた」話だが、Kaspersky の警告文が一段先に踏み込んでいる — 「自組織が TrueConf サーバを使っていなくても、侵害された取引先のサーバの会議に参加してインストーラを取得すれば感染する」。資産管理台帳にも SBOM にも載らない経路であり、自社の脆弱性管理をどれだけ真面目にやっても、「取引先の会議に呼ばれてクライアントを入れる」という業務動作そのものが経路になる。しかも同製品は 4 月にも CVE-2026-3502 で同じ攻撃を受けており、半年以内に同じ配布経路が別の攻撃者に 2 度使われた。実務上効く対策は「署名のないインストーラを実行させない」という平凡だが検証可能な統制に落ちる。前回の npm README 誘導と並べれば、「インストール時のフックを見張る発想では届かない経路」という共通の主題になる。
CVE-2026-8037（CVSS 9.8）は認証不要でアプライアンス上の任意コマンド実行を許す、ロードバランサという境界装置の脆弱性で、内容だけでも十分に書ける。ただし本稿で書きたいのは運用側の失敗のほう — CISA 公式 KEV JSON が 11 日連続で空応答のため二次ソースに依存しており、8/8 実行時点でミラーに未反映だったため「8/5 の TeamCity が最新」と誤記録していた。結果、期限 8/10 の脆弱性を残り 1 日で捕捉した。一般論として、KEV の期限は「追加日 + 固定日数」で決まるのに、二次ソース経由だと追加日の検出自体が遅れる。BOD 26-04 の期日管理を KEV に依存する組織にとって、フィードの可用性がそのまま是正期限の遵守可能性になる。複数ミラー併用・ベンダ PSIRT 直接購読・EPSS 併走といった補い方を実装可能な形で整理する回にできる。
攻撃者の特定もデータ窃取の有無も公表されておらず、犯行声明もない。だからこそ技術的な中身ではなく時系列そのものを読む回にできる — 検知（8/4）→ 計画発動 → 復旧開始（8/5 朝）→ 部分再開（8/5）→ 通常スケジュール復帰（8/7）。ウィルミントン港は年間 60 万 TEU・週 5,000 回のゲート処理を扱い、2 港で年 440 万米トンのバルク貨物が動く。事前に用意された緊急時計画が実際に発動され、3 日で通常運行に戻った記録が残っている事例は貴重である。日本の港湾で 2023 年の名古屋港の事案以降に何が整備されたかを並べると、BCP の実効性を「復旧までの時間」という単一の指標で比較する書き方ができる。攻撃者が誰かを待たずに書けるのも利点になる。
本日は対象外（週次・月次チェック日のみ更新）