火曜 18:00 UTC 前後に障害が発生。同社は当初「コロケーション事業者側のネットワーク障害」と説明したが、翌日スイス・インド・中国の利用者から報告が続き DDoS 攻撃を認めた。攻撃は Threema 本体とコロケーション事業者 Nine の双方を標的とし、攻撃者が緩和策を回避するため手口を継続的に変え続けたため防御が難航した。最も示唆的なのは「無関係の技術的問題により現行のシステムステータスページを更新できず、オフラインにすることを決めた」という記述で、障害の告知経路が障害の最中に失われている。Threema On-Prem（自社インフラ稼働）の組織は無影響。再発防止として上流でのトラフィックフィルタリング（専用 DDoS 防御）を追加導入した。
CISA 公式の KEV JSON フィードが 8/13 以降 5 日連続で空応答を返しているため、二次ソースのミラーで代替した。購読側から見ると「新規追加ゼロ」と「配信断」は外形上区別できない点に留意が必要である。二次ソースでも 8/11 以降の追加は確認できていない。
未認証のリモート攻撃者が任意 SQL を注入し、インスタンスの管理者権限を取得できる。BI ツールであるため、侵害時は接続先データベースの認証情報の変更まで必要になる。国内向け注意喚起は 8/14 に発行済み。
未認証のリモート攻撃者が機器を予期せず再起動させ、サービス運用妨害を引き起こしうる。
WinSock 用補助機能ドライバの解放後利用で、認可された攻撃者がローカルで SYSTEM へ権限昇格できる。2026 年 8 月月例で修正された、実悪用が確認されているゼロデイ。
新規追加が止まっている間も、既収載分の期限超過は日々累積している。KEV を運用トリガーにしている組織は、新規追加の有無ではなく未消化キューの棚卸しを行うべき局面である。
CVE-2026-8452 NetScaler ADC／Gateway（PoC 公開済み・国内で広く利用と JPCERT/CC が明記・回避策なし）、CVE-2026-58231 SAP Commerce Cloud（CVSS 10.0、公開 PoC なしでパッチ 3 日後に悪用試行）、CVE-2026-65400 macOS Screen Sharing（CVSS 9.8、実悪用・Monero マイナー設置）、GeoServer 未採番ゼロデイ（SQLi→RCE、未修正・悪用試行観測）。
交渉に応じなければ機微データを公開すると脅迫している。会計事務所は顧客企業の財務データを集約して保持するため、単一の侵害が多数の顧客企業へ波及する類型で、8/14〜8/16 に記録した「委託先・第三者連携経由の漏えい」（ShipMonk、RingCentral、Fiserv）と同じ構造にある。同時期に ShinyHunters および The Gentlemen も複数の被害者を主張している。いずれもリークサイトの主張ベースであり、被害組織側の確認は取れていないため暫定扱いとする。
8/13 に The Hacker News／Jamf Threat Labs 経由で記録済みの案件の追加報道である。内容は既記録の範囲（ClickFix 経由の配布、Rust 製インフォスティーラー、stream_module による攻撃者のブラウザライブ操作）を超えないため、新規事案としては扱わない。
Evooo1Bot（Mirai 派生・三菱電機製品を含む機器を SOCKS5 中継化）、HoneyMyte／CoolClient 署名済みカーネルルートキット、Jewelbug／XG-Web（政府スパイ活動と暗号資産詐欺の並行運用）、Chrome DevTools Protocol によるセッション奪取、RecruitTrap（Browser-in-the-Browser、3,000+ URL）、dropcatch ドメイン（日次約 65,000 件・約 700 万ドル）、Akira のセーフモード EDR 無効化、WindRelay／SpyNote（Android NFC リレー）、Kimwolf／AISURU v7、Sandworm UAC-0145。
CVSS v4.0 基本値 4.6 / v3.0 基本値 3.3。対策は最新バージョンへのアップデート。アップデートできない場合の回避策として、「字幕（SMIL形式）を開く」機能の利用停止が案内されている。
CVSS v4.0 基本値 5.4 / v3.0 基本値 6.7。対策はアップデートのみで、回避策の記載はない。
CVSS v4.0 基本値 5.1 / v3.0 基本値 6.1。対策はアップデート。ベンダ告知は f-revocrm.jp にて公開済み。
期限超過が大きい順に、Cisco Secure FMC（16 日）、N-able N-central CVE-2026-18577（11 日）、Apache Tomcat／IBM Langflow／N-able CVE-2026-18556（各 10 日）、JetBrains TeamCity（9 日）、Progress LoadMaster／Fortinet FortiOS（各 7 日）、Metabase／Cisco ASA・FTD（各 3 日）。Windows AFD.sys（CVE-2026-68820）の期限は 8/25 で残り 8 日。
KEV の未消化キューを棚卸しする。新規追加が 6 日間ゼロという状況は「対応すべきものがない」ことを意味しない。むしろ既収載分の期限超過が累積している時期であり、Cisco Secure FMC（16 日超過）から Metabase／Cisco ASA・FTD（3 日超過）までの未適用分を、内部の資産インベントリと突き合わせて確認すべきである。
KEV の取得経路を二重化する。CISA 公式 JSON フィードの空応答が 5 日連続している。KEV を脆弱性管理の運用トリガーにしている場合、公式フィードのみを購読する構成では配信断が無音の失敗になる。ミラーや二次ソース、あるいは「前回取得時から件数が変化していない場合にアラートを上げる」死活監視を組み込むことを推奨する。
miChecker の利用状況を確認する。自治体・公共機関でウェブアクセシビリティ検査に miChecker を使っている場合、3.10 以前が対象である。直ちにアップデートできない場合は「字幕（SMIL形式）を開く」機能の利用を停止する。検査対象が外部から提供されたコンテンツである場合、検査行為そのものが内部ネットワークへの偵察経路になりうる点に留意する。
Synology Assistant を 7.0.7 以降へ更新する。NAS 本体ではなく Windows 端末側の管理ユーティリティが対象である。共用端末や複数ユーザが利用する業務端末にインストールされている場合、ローカル権限昇格の踏み台になるため優先度を上げる。
ステータスページの依存関係を点検する。Threema の事例は、障害告知の経路が本番インフラと依存を共有していると、障害時にまとめて失われることを示している。ステータスページを本番と別の障害ドメイン（別 CDN・別リージョン・別事業者）に置いているか、また告知の代替経路（メール・SNS）が事前に定義されているかを確認する。
JVN（2026-08-17）— 新着 3 件。本日の国内案件はすべて JVN 経由である。(1) JVN#40688603 miChecker の XXE（CVE-2026-14304）——Eclipse Foundation が開発し総務省が提供するウェブアクセシビリティ評価ツール。3.10 以前が対象。細工された SMIL 形式の字幕を読み込むことで、製品から意図しない通信が発生し、ローカルリソースや内部ネットワークリソースへアクセスされる。報告者は松橋勇輝氏。(2) JVN#91713656 Synology Assistant のファイル権限不備（CVE-2026-4793）——7.0.7 より前が対象。端末にアクセス可能なユーザによる SYSTEM 権限での任意コード実行。報告者は GMO サイバーセキュリティ by イエラエ株式会社の松本一真氏。(3) JVN#58692577 F-RevoCRM の XSS（CVE-2026-71368）——シンキングリード株式会社提供の国産 OSS CRM、7.3.0〜8.0.3 が対象。報告者は株式会社VLCセキュリティラボのブイ ミン ダン氏。3 件とも情報セキュリティ早期警戒パートナーシップに基づく国内報告者からの届出であり、JPCERT/CC が開発者（うち 1 社は台湾ベンダ）との調整を行っている。
JPCERT/CC — 新着なし。注意喚起の最新は 8/15 の NetScaler ADC／Gateway（CVE-2026-8452、JPCERT-AT-2026-0024）で変化なし。Weekly Report は 8/13 号が最新（次号は 8/20 見込み）。CyberNewsFlash の最新は 8/13 の JetBrains TeamCity（CVE-2026-63077）。
IPA — セキュリティ分野の新着なし。新着情報の最新は 8/14 だがいずれもデジタル・人材育成カテゴリで、セキュリティ分野の最新は 8/3 の「企業組織を狙うメールを悪用した攻撃の手口とその対策」から変化していない。
警察庁サイバー警察局 — 新着なし。最新は 8/10 のサイバー警察局便り R8 Vol.9「家庭にある機器が悪用されています」。
デジタル庁 — セキュリティ分野の新着なし。新着・更新の最新は 8/17 の「GDPの四半期別速報に関するダッシュボードを更新」（非セキュリティ）。セキュリティ政策ページは 4/7 から変化なし。
経済産業省 — プレスリリースに新着なし（最新 8/14・非セキュリティ）。サイバーセキュリティ政策ページは 8/16 に続き 2 日連続で空応答となり取得できなかったため、同分野の新着有無は判定不能である。
【週次】内閣府・総務省・金融庁 — いずれも確認済み・新着なし。内閣府（サイバー安全保障）はサイバー対処能力強化法・施行令・報告命令および基本的な方針（令和 7 年 12 月 23 日閣議決定）の掲載で、差分ウィンドウ内の更新なし。総務省（サイバーセキュリティ統括官）の新着情報は 2026 年 8 月 3 日「全国型CTFコンテスト」の開催が最新。金融庁は令和 8 年 8 月 5 日「G7 サイバー・エキスパート・グループによる 2026 年クロスボーダー協調演習実施の公表」が最新。
【障害】NCO（国家サイバー統括室）— 本日は判定不能。タスク指示では Chrome ブラウザでの直接取得が必須だが、Claude in Chrome 拡張が本セッションで接続されておらず取得できなかった。代替として news/list を WebFetch で取得したが、新着情報欄が JavaScript レンダリングのため空で返った。WebSearch による補完でも公式サイトの更新日を特定できず、差分ウィンドウ内の新着有無は判定不能である（前回時点の最新は 2026-08-05）。次回実行時に再確認が必要。
【障害】CISA 公式 KEV JSON フィード — 5 日連続で空応答。8/13 以降継続。cvefeed.io の KEV ミラーで代替取得した。【障害】経産省サイバーセキュリティ政策ページ — 2 日連続で空応答。【障害】総務省サイバーセキュリティページ — Shift_JIS で文字化け（リンク URL と日付は判読可能だったため新着なしの判定は可能）。【継続】cybersecuritynews.com RSS — 応答サイズ超過のため取得を見送り、BleepingComputer・The Hacker News・WebSearch で代替した。
差分ウィンドウ（8/16 夕方〜8/17）内の新着はなし。経産省 産業サイバーセキュリティ研究会（SCS・JC-STAR関連）、AI事業者ガイドライン検討会、NCO サイバーセキュリティ人材フレームワーク検討会、デジタル・サイバーセキュリティWG、AI・半導体WG、サイバーセキュリティ戦略本部のいずれについても、新規の開催情報・資料掲載は確認されなかった。デジタル庁の新着（最新 8/17、GDP ダッシュボード更新・非セキュリティ）にも審議会関連の新規掲載はない。
ただし 2 点の留保がある。(1) 経産省サイバーセキュリティ政策ページが 2 日連続で取得できないため、同省所管の審議会については判定不能である。(2) NCO サイトが Chrome 未接続のため取得できず、NCO 所管の検討会（人材フレームワーク検討会・サイバーセキュリティ戦略本部）についても判定不能である。
Eclipse Foundation が開発し総務省が提供するウェブアクセシビリティ評価ツール miChecker（3.10 以前）に XML 外部実体参照の脆弱性が見つかった。CVSS は v4.0 で 4.6 と高くないが、論点は数値ではない——利用者の中心は自治体・公共機関のウェブ担当者であり、配布主体は省庁である。開発は海外 OSS 財団、提供は日本の省庁、報告は国内研究者から IPA・JPCERT/CC 経由という三層構造で、脆弱性対応の責任がどこに帰属するのかを整理する好例になる。EU CRA が OSS スチュワード（第 24 条）に課した義務との対比、および「アクセシビリティ検査という行為そのものが内部ネットワークの偵察経路になる」という技術的な皮肉も書ける。
CISA KEV は 8/12 から 8/17 まで 6 日連続で新規追加がない。同じ期間、CISA 公式の KEV JSON フィードは 5 日連続で空応答を返し続けている。この 2 つは購読側から見れば区別できない。その間に Metabase（CVSS 10.0）と Cisco ASA/FTD の期限 8/14 は 3 日超過し、TeamCity は 9 日、Cisco Secure FMC に至っては 16 日超過したまま残っている。EU CRA 第 14 条が求める「認知から 24 時間以内の早期警報」の「認知」を外部の公的カタログの購読に置く組織にとって、配信断は義務履行のタイマーが無音で止まることを意味する。認知の起点を単一ソースに依存する設計の脆さ、という論点で書ける。
本件で最も読むべき部分は技術ではなく運用である。同社は当初「コロケーション事業者側のネットワーク障害」と説明し、DDoS だと認めるまでに丸一日近くかかった。さらに「無関係の技術的問題によりステータスページを更新できず、オフラインにした」——障害の告知経路が障害の最中に失われている。ステータスページを本番と同じ依存関係の上に置いてはいけないという古典的な教訓が、プライバシー特化・自前インフラ主義のサービスで再現された。Threema On-Prem 利用組織が無影響だった点と併せ、「自前主義がプライバシーには効き、可用性には効かない」という構図で整理できる。
論点は 2 つ。第一に、脆弱性が製品本体（NAS）ではなく付属の管理ユーティリティのインストーラにあること——EU CRA の適用範囲は主製品とともに供給されるソフトウェアにも及び、附属書 I 第 1 部が求める「デフォルトで安全な構成での出荷」と最小権限の原則に真正面から対応する。第二に、報告経路が国内研究者（GMO サイバーセキュリティ by イエラエ）→ IPA → JPCERT/CC → 台湾ベンダという国際調整であったこと。CRA が前提とする研究者・メーカー間の報告チャネルが国境をまたいで機能した事例として、8/16 に記録した macOS の @osxreverser のケース（「Apple との長い経緯」を理由に報告しなかった）と対にして論じられる。
本日は月曜日のため週次分（NVD・FIRST）を実施した。いずれも確認済み・新着なし。月次分（欧州委員会 CRA ページ・EUR-Lex／EU官報・ENISA・CEN-CENELEC・経産省 SCS 評価制度／IPA SCS 評価ガイド・SBOM 導入手引）は毎月第 1 月曜のみの実施のため本日は対象外で、次回は 2026-09-07。
NVD（NIST）— 確認済み・新着なし。トップページの「Last 20 Scored Vulnerability IDs & Summaries」は 2026-08-11〜08-12 公開分（Microsoft 8 月月例の大半、Apache Airflow の CVE-2026-58076／54183 ほか）で構成されており、差分ウィンドウ内の新規公表・アナウンスはない。CVSS 運用・CVE 採番状況に関するステータス更新も確認されなかった。なお NVD のニュース・ステータス更新は nist.gov/itl/nvd に移管されているため、次回以降はそちらも併せて確認する。nvd.nist.gov
FIRST — 確認済み・新着なし。CVSS（v4.0 仕様書・ユーザーガイド・実装ガイド・ガバナンスガイドライン）および EPSS（データ・手法・研究）のいずれについても、差分ウィンドウ内の仕様改訂・運用変更のアナウンスは確認されなかった。PSIRT Services Framework・CSIRT Services Framework にも改訂の掲示はない。トップページの掲示は主にイベント告知（Mexico City / APNIC Technical Colloquium、VulnOptiCON、LATAM・Asia Pacific Regional Symposium、2027 CTI Conference Berlin）および FIRST CORE の募集である。first.org
CRA Art.14 観点の新規マーク（3 件）。(1) Synology Assistant CVE-2026-4793——NAS ベンダのユーティリティにおける「インストール時の権限設定」。CRA 附属書 I 第 1 部の「デフォルトで安全な構成での出荷」と最小権限の原則に直結し、CRA の適用範囲が主製品とともに供給されるソフトウェアにも及ぶ点が実務的に重い。(2) miChecker CVE-2026-14304——行政が無償配布する OSS ベースのツールの脆弱性責任。CRA が OSS スチュワード（第 24 条）に課した義務と、「商業活動の一部として提供される場合は適用される」という線引きの難しさをそのまま示す。(3) KEV 配信経路の 5 日連続障害——CRA 第 14 条の「認知」を外部の公的カタログの購読に依存する設計は、そのソースが落ちたときに無音で失敗する。8/14 に Adobe Commerce の文脈で論じた「認知の起点」問題の、インフラ側からの変奏である。