米司法省が金曜に公表。2024 年に FTC と共同で提起した訴訟の決着で、3 億ドルを即時支払い、残る 1 億ドルは前身 Musical.ly への既存同意判決を取り消す命令の発効時に支払う。訴状は 13 歳未満によるアカウント作成を知りつつ許容し「Kids Mode」利用者からも違法にデータを収集、保護者の削除請求にも応じなかったと主張していた。セキュリティ事象ではなくデータ保護法制の執行事例だが、規模の点で参照価値がある。
Integrated Health Systems（米・ヘルスケア）は coinbasecartel によりシステムとデータの障害を主張され、el-group（スイス）は incransom により顧客データ・研究開発資産・財務書類の窃取を主張されている。いずれも被害組織側の公式発表ではなく攻撃者側の掲載であり、事実関係は未確認。リークサイト掲載は交渉決裂または圧力段階入りの指標であって、侵害規模や成否を直接示すものではない。
オプションの zimbra-snmp パッケージが導入され SNMP 通知が有効な場合に成立する OS コマンドインジェクション。未認証の攻撃者が細工した SMTP リクエストを送ることで Zimbra ユーザ権限の任意 OS コマンド実行に至る。修正は 7 月リリースの 10.1.20。8/20 に CERT Polska が実環境での悪用を報告し、翌 8/21 に KEV 収載、期限は収載から 3 日。
use-after-free によるローカル権限昇格。8 月 Patch Tuesday で修正済みで、実環境での悪用が確認されている 3 件のゼロデイのうちの 1 件。
MLflow は内部・クラウドメタデータサービスに到達しうる SSRF。TrueConf Server は 4307/TCP 経由で隔離環境を脱出しホスト上で任意コード実行に至るコードインジェクション。
CVE-2026-72529 TrueConf Server（9.8、期限 8/23、1 日超過・本日新たに超過側へ移行）／CVE-2026-59310 VMware vCenter（9.8、8/21、3 日）／CVE-2026-65400 Apple macOS（9.8、8/21、3 日）／CVE-2026-55040 Microsoft SharePoint（9.1、8/21、3 日）／CVE-2026-33824 Microsoft IKE Service Extensions（9.8、8/21、3 日）／CVE-2025-62593 Ray（9.4、8/20、4 日）／CVE-2026-72898 Metabase（10.0、8/14、10 日）／CVE-2026-20349 Cisco ASA/FTD（8.6、8/14、10 日）／CVE-2026-8037 Progress LoadMaster（9.8、8/10、14 日）／CVE-2025-68686 Fortinet FortiOS（5.9、8/10、14 日）／CVE-2026-63077 JetBrains TeamCity（9.8、8/8、16 日）／CVE-2026-34486 Apache Tomcat（9.8、8/7、17 日）／CVE-2026-18556 N-able N-central（8.2、8/7、17 日）／CVE-2026-9198 IBM Langflow（9.8、8/7、17 日）／CVE-2026-18577 N-able N-central（8.2、8/6、18 日）／CVE-2026-20316 Cisco Secure FMC（5.3、8/1、23 日）／CVE-2026-16812 Arista VeloCloud Orchestrator On-Prem（10.0、7/30、25 日）。KEV の期限は運用者（連邦機関）に課されたものでありメーカーの是正義務ではない点に留意。多くの事例で修正版は既に提供されており、遅れているのは適用側である。
BleepingComputer の RSS は 8/22 10:14（EDT）の「Android 車載ヘッドユニットへのプロキシボットネット感染」を最後に停止、Cyber Security News も 8/22 09:31（UTC）の Top 10 記事が最終、Microsoft Threat Intelligence ブログは 8/10 の DeadLock 分析から動いていない。週末による更新停止と判断する。継続監視中の UAT-10147（エージェント型 AI 統合）、SynkLoader、E4del／PINHOLE、RedC2 4.0、ChainDrop などに状況変化は確認されなかった。
トップページの「Last 20 Scored Vulnerability IDs & Summaries」に表示されるのは Google Chrome（Chromium 系）8 件、Oracle Helidon 系 11 件、Snipe-IT 1 件で、いずれも公開日は 8/11〜8/18。CVSS v4.0 サポートや 2.0 API の告知内容に変更はない。CISA 公式 KEV フィードの 12 日連続空応答と時期が重なっており、CVSS スコアと KEV 収載の双方を判断材料にする脆弱性管理プロセスは、現在その両方の一次配信が不安定な状態に置かれている。
Microsoft 8 月 Patch Tuesday は 400 件を修正、うち実環境での悪用が 1 件（CVE-2026-68820）、公開済みゼロデイが 2 件。Oracle Critical Patch Update は 943 件。Zimbra は 10.1.20、Citrix NetScaler ADC/Gateway は 14.1-73.32 / 13.1-63.21 が修正版。差分ウィンドウ内の新規パッチリリースは確認されていない。
Zimbra Collaboration は本日が是正期限。 10.1.20 未満で稼働している場合、まず zimbra-snmp パッケージの導入有無と SNMP 通知の有効／無効を確認する。該当する場合は 10.1.20 以降へ更新するか、SNMP 通知を無効化して緊急の緩和とする。オンプレミス設置が主であるため、「入れた覚えがあるか」ではなく実機での構成確認を行うこと。
「更新がない」を「新規がない」と読み替えないこと。 CISA 公式 KEV フィードは 12 日、NVD の採点は 6 日更新が止まっている。脆弱性情報の取り込みを自動化している場合、フィードの空応答や更新日時の停滞を検知して警告する仕組みを入れる。フィードが沈黙している間も攻撃側は動いている。
認知経路を冗長化する。 Zimbra の事例では CERT Polska の報告が KEV 収載より 1 日早かった。KEV を単一のトリガーに据えず、利用製品のベンダアドバイザリ、各国 CERT（JPCERT/CC・CERT Polska 等）、JVN を並行して監視する。CRA Art.14 の 24 時間報告義務を負う事業者にとっては、コンプライアンス以前の実務要件である。
期限超過 17 件の棚卸しを行う。 VMware vCenter、Apple macOS、Microsoft SharePoint / IKE Service Extensions は期限を 3 日超過、Metabase（CVSS 10.0）と Cisco ASA/FTD は 10 日超過、Arista VeloCloud（10.0）は 25 日超過。いずれも悪用が確認済みで修正版が存在する。自組織の資産台帳と突合し、未適用のまま残っているものを特定する。
差分ウィンドウ（8/23 朝〜8/24 朝）における日本の官公庁ソースの新着はゼロ。 本日は月曜のため週次ソース 3 件も実施したが、前回週次確認日（8/17）以降の新着はなかった。
JVN は 8/21 14:00 の JVN#81414813（NEC UNIVERGE IX-R/IX-V の認証欠如）が最新。JPCERT/CC の注意喚起は 8/15（NetScaler CVE-2026-8452）、Weekly Report は 8/19 号（次号は 8/26 見込み）、お知らせは 8/13。NCO は 8/5（松本大臣シンガポール訪問結果／「安全基準等策定ガイドライン（案）」意見募集）。警察庁は 8/20（サイバー警察局便り R8 Vol.10）。IPA のセキュリティ分野は 8/3。デジタル庁のセキュリティページは最終更新 4/7 で変化なし、新着・更新は 8/21 だがいずれも非セキュリティ。
週次分 — 内閣府（サイバー安全保障）は掲載構成に変化なし。総務省は 8/3「全国型 CTF コンテスト」の開催が最新。金融庁は 8/5「G7 サイバー・エキスパート・グループによる 2026 年クロスボーダー協調演習実施の公表」が最新。
障害記録 ── ① CISA 公式 KEV JSON フィードの空応答が 12 日連続（cvefeed.io ミラーで代替）。② 経産省サイバーセキュリティ政策ページ（policy/netsecurity/index.html）の空応答が 3 日連続（配下の SCS 評価制度ページは取得可、最終更新 2026-05-20 で変化なし）。③ NCO ニュース一覧ページは WebFetch では一覧本体が描画されず取得不可（従来どおり）。NCO トップページは Chrome 経由で取得成功。④ BleepingComputer / Cyber Security News の RSS がいずれも 8/22 で停止。
なお経産省プレスリリースページは本日は取得成功し、前日の空応答から復旧した（最新は 8/20「エンタメ・クリエイティブ産業戦略2026」、サイバー関連は 8/7 のなりすまし詐欺広告 7 府省庁合同要請が最新）。
新着なし。 経産省 産業サイバーセキュリティ研究会（SCS・JC-STAR 関連）、AI 事業者ガイドライン検討会、NCO サイバーセキュリティ人材フレームワーク検討会、デジタル・サイバーセキュリティ WG、AI・半導体 WG、サイバーセキュリティ戦略本部のいずれについても、差分ウィンドウ内の新規開催情報・資料公開は確認できなかった。ただし経産省サイバーセキュリティ政策ページの空応答が 3 日連続しているため、同ページ配下の審議会情報については取得が不完全である可能性がある。
本日期限を迎える Zimbra CVE-2026-73570 は、悪用報道から 1 日で KEV 収載、収載から 3 日で是正期限という設計である。TrueConf の 2 件も同じ 3 日期限で、CISA が BOD 26-04 の下で期限を明確に短縮していることが読み取れる。ところが同じカタログには期限超過のまま残るエントリが 17 件、うち CVSS 9.0 以上が 11 件あり、最長は 25 日超過である。期限を短くすることと守られることは別であり、「短い期限を出す」ことが実務にどう作用しているのかを、超過分布の実データから検討する。
CISA 公式の KEV JSON フィードは 12 日連続で空応答を返し、NVD の採点済み脆弱性は 8/18 を最後に 6 日間更新されていない。悪用の有無とスコアという、リスクベースの脆弱性管理が依拠する二つの一次入力が同時に不安定になっている。「更新がない」を「新規がない」と読み替えると、監視は静かに機能停止する。供給側の稼働そのものを監視対象に含める設計と、ベンダアドバイザリや各国 CERT を含む冗長化について論じる。
CRA Art.14(1) はメーカーに対し、積極的に悪用されている脆弱性を「認知してから 24 時間以内」に早期警報を出すことを求める。起点は「認知」であって「発生」ではない。では、認知の主要経路である KEV の配信が 12 日間止まっているとき、義務は発生しないのか。形式的にはそうなるが、それでは早期警戒の機能は成立しない。Zimbra の事例では CERT Polska の報告が KEV より 1 日早かった。認知経路を単一の公的フィードに委ねる設計の脆さと、監視の冗長化がコンプライアンス以前の要請である理由を整理する。
Zimbra CVE-2026-73570 の成立条件は「オプションの zimbra-snmp パッケージが導入され、かつ SNMP 通知が有効」という二重の構成依存である。SBOM は「何が含まれ得るか」を記述するが、「顧客の設置でどのオプションが有効か」は記述しない。本日期限を迎えるこの脆弱性は、構成情報を伴わない部品表が条件付き脆弱性の該当判定に使えないことを、期限という形で突きつけている。SBOM と構成管理（配備実態の把握）を分けて考える必要性を、この事例から具体的に論じる。
本日は月曜日のため週次分（NVD・FIRST）を実施した。 月次分（欧州委員会 CRA・EUR-Lex／EU官報・ENISA・CEN-CENELEC・経産省 SCS 評価制度／IPA SBOM 関連）は第 1 月曜のため次回 2026-09-07 に実施する。
NVD（週次）：確認済み・仕様面の新着なし。ただし運用面で異常を観測。 採点済み脆弱性の最新公開日が 2026-08-18 のままで 6 日間更新されていない。CVSS v4.0 サポートおよび 2.0 API に関する告知内容に変更はない。CVSS スコアの一次配信が停滞している状態は、CRA 対応で「重大性の判断根拠」として NVD スコアを参照する運用に直接の支障となるため、継続観測とする。nvd.nist.gov
FIRST（週次）：確認済み・新着なし。 CVSS v4.0 の仕様文書・ユーザガイド・実装ガイド、EPSS、PSIRT Services Framework のいずれについても、トップページ上で告知される改訂は確認できなかった。掲載されているのは 2026 年メキシコシティ Technical Colloquium、FIRST-APNIC Technical Colloquium、VulnOptiCON、LATAM／APAC 地域シンポジウム、2027 年 CTI カンファレンス（ベルリン）といったイベント告知のみである。first.org
（参考・月次対象外の付随確認）経産省 SCS 評価制度：最終更新日 2026-05-20 で変化なし。 ★3・★4 の申請受付開始は令和 8 年度末頃（2027 年 1〜3 月頃）、評価ガイド等の公表は 2026 年秋頃、★4 の評価機関公表は令和 8 年 12 月頃という予定に変更はない。meti.go.jp