政府・教育・メディア・技術・ゲーム分野の、インターネットに露出した Windows／Linux サーバを標的とする。初期侵入は Zimbra・AjaxPro・Nacos・Telerik の公知 RCE に依存し、新規のゼロデイは使われていない。Talos は生成された攻撃手順書、トラブルシュート用の論理、エクスプロイトスクリプト、検証ワークフローを発見しており、AI は単一の自動化ツールではなく作戦補佐として使われている。Windows では BadIIS を設置して IIS フォルダ周辺の検査を弱め、Linux では Web シェル設置後に Dirty Pipe 等でルートを取る。
注目すべきは規模ではなく、スキャンが標的を選別していなかったことである。WordPress 固有の URL パターンで Drupal 環境まで叩いており、そもそも該当し得ない対象にも無差別に打ち込まれていた。失敗要求のコストがほぼゼロであるため、攻撃の経済性が「特定してから攻撃する」から「広く攻撃してから何が通ったかを見る」へ移行している。緩和（コンテナ分離・WAF・セグメンテーション）は是正の代替ではなく時間を買う層として位置づけよ、というのが寄稿者の結論である。
2022 年 8 月から 2026 年 8 月にかけて公開された鍵が対象である。4 年前に漏えいした鍵が今日も生きているという事実は、鍵の失効・ローテーションが運用として機能していない組織が相当数あることを意味する。脆弱性ではなく資格情報衛生の問題であり、CVE もパッチも存在しない——それゆえ脆弱性管理プロセスの網からは構造的に漏れる。
病院側は臨床システムおよび患者記録には影響がないとしている。被害を受けた組織と脆弱性を作り込んだ組織が異なる構図であり、CRA が求めるサプライチェーン上の脆弱性処理の実例として参照価値がある。影響が人事・採用データに留まる場合は被害の可視性が低く、報告の動機が弱くなりやすい点にも注意を要する。
オプションの zimbra-snmp パッケージが導入され SNMP 通知が有効な場合に、未認証の攻撃者が細工した SMTP リクエストを送ることで Zimbra ユーザ権限の任意 OS コマンド実行に至る。修正は先月リリースの 10.1.20。CERT Polska が 8/20 に実環境での悪用を報告してから 1 日での収載であり、収載から期限まで 3 日という短さは TrueConf の 2 件に続く。影響条件が「オプション導入かつ SNMP 通知有効」という二重の構成依存である点が実務上の難所で、SBOM だけでは該当判定ができない。
期限内で残りがあるものは他に CVE-2026-64849 MLflow（9.3、9/2）、CVE-2026-72530 TrueConf Server（9.5、9/3）。期限を経過したまま残っているものは 18 件で、VMware vCenter・Apple macOS・Microsoft SharePoint・Microsoft IKE Service Extensions（いずれも 8/21 期限、2 日超過）、Ray（3 日超過）、Metabase・Cisco ASA/FTD（9 日超過）、Progress LoadMaster・Fortinet FortiOS（13 日超過）、JetBrains TeamCity（15 日超過）、Apache Tomcat・N-able N-central・IBM Langflow（16 日超過）、Cisco Secure FMC（22 日超過）ほか。
公式 JSON フィードは本日も空応答であった。二次ソースで収載総数 1,678 件を確認しており、前回（1,677 件）との差分 1 件は Zimbra の CVE-2026-73570 で完全に説明がつくため、8/21 分の取りこぼしはない。ただし当該ミラーの最新エントリの相対日付表示が「1 days ago」であることから 8/21 時点のスナップショットと判断され、8/22 付の追加があった場合は本日時点で未確認である。
従来未知のマルウェアファミリである。Teams のフィッシングという配布経路は、Microsoft が 7/23 の Q2 メール脅威レポートで指摘した「Teams ベースのソーシャルエンジニアリングへの拡大」の延長線上にある。偽ロック画面という手口は、利用者に「再認証」を自然な動作と誤認させる点でフィッシングページよりも疑われにくい。
FTP のバナーは接続時にサーバが返す挨拶文であり、本来は人間向けの表示である。プロトコルのメタデータ領域が C2 チャネルに転用された事例であり、通信先が正規の FTP サーバに見えるため宛先ベースの検知が効きにくい。設計時に「自由記述領域」を残すことのセキュリティ上の代償という論点を含む。
実在銘柄を対象に、被害者同士の取引を装って売買を誘導する。被害規模は数百万ドル規模とされる。
8/22 に記録した Adversa AI の「Cryptographic Context Injection」の別媒体による報道である。新規の事実追加はなく、パッチ・CVE・利用者側の回避策のいずれも依然として存在しない。
KEV 収載により、連邦機関の是正期限は 8/24 に設定された。オプションの zimbra-snmp を導入している環境では優先度を最上位に引き上げるべきである。SNMP 通知を無効化することが暫定的な緩和になるが、是正は 10.1.20 以降への更新である。
既記録の不具合について原因究明が進んだものである。セキュリティ事象ではないが、8 月更新の適用可否を判断する材料になる。
一次情報はベンダ発表であり、本ウォッチとしては動向記録に留める。
Zimbra Collaboration を運用している場合、zimbra-snmp パッケージの導入有無と SNMP 通知の有効／無効を今日中に確認する。該当する場合は 10.1.20 以降へ更新し、更新までの間は SNMP 通知を無効化する。CVE-2026-73570 は KEV 収載済みであり、悪用は既に観測されている。
TrueConf Server の CVE-2026-72529（KEV、期限は本日 8/23）を未対応で残していないか確認する。ポート 4307/TCP がネットワーク到達可能な状態であれば、未認証の任意スクリプト実行が成立する。是正できない場合は当該ポートへの到達経路を遮断する。
Zimbra・AjaxPro・Nacos・Telerik を含むインターネット露出資産の棚卸しを行う。UAT-10147 はこれらの公知 RCE を初期侵入に用いており、標的 URL リストは約 17 万件に及ぶ。侵害後の痕跡としては、Windows では BadIIS モジュールの設置と IIS フォルダに対する除外設定の追加、Linux では Web シェルと Dirty Pipe 系の権限昇格が挙げられる。
公開リポジトリ等に露出した AWS アクセスキーの失効状況を点検する。4 年前に漏えいした鍵が現在も有効な事例が 9,300 件超確認されている。IAM Access Analyzer 等で未使用・長期未ローテーションの鍵を洗い出し、失効させる。これは CVE を持たないため、脆弱性管理プロセスとは別建てで実施する必要がある。
脆弱性対応の前提時間を「日〜週」から「時間」へ改める。wp2shell では公開後 1 週間で 4,500 万回の悪用試行が観測された。WAF ルール・分離構成・セグメンテーションは時間を買う層として有効だが、是正の代替にはならない——両者を明確に区別した運用設計を行う。
差分ウィンドウ（8/22 朝〜8/23 朝）における日本の官公庁ソースの新着はゼロであった。JVN の最新は 2026-08-21 14:00（JVN#81414813 NEC UNIVERGE IX-R/IX-V シリーズルータ）で前回記録済み。JPCERT/CC 注意喚起は 2026-08-15（NetScaler ADC／Gateway CVE-2026-8452）、Weekly Report は 2026-08-19号（次号は 8/26 見込み）、お知らせは 2026-08-13 でいずれも変化なし。
NCO（国家サイバー統括室）は Chrome MCP 経由で取得に成功し、新着情報の最新が 2026-08-05 であることを確認した。「松本デジタル大臣兼サイバー安全保障担当大臣のシンガポール訪問（結果）」と「安全基準等策定ガイドライン（案）に関する意見の募集」が最新で、新着はない。なお WebFetch では新着情報欄が空で返るため、Chrome 経由が必須である点は変わらない。
IPA のセキュリティ分野の最新は 2026-08-03（「企業組織を狙うメールを悪用した攻撃の手口とその対策」）で、8/21 の新着は試験情報のみ。警察庁サイバー警察局は 2026-08-20 のサイバー警察局便り R8 Vol.10 が最新で前回記録済み。デジタル庁の 8/21 付新着（病院情報システム刷新協議会の構成員決定、公金受取口座特例制度の周知広報動画、共創PFキャンプ、JP PINT 更新）はいずれも非セキュリティである。
［障害記録］経済産業省は 2 経路とも取得不能となり、本日の新着は完全に未確認である。サイバーセキュリティ政策ページ（meti.go.jp/policy/netsecurity）の空応答は 2 日連続。加えて本日はプレスリリースページ（meti.go.jp/press）も空応答となった——昨日は正常に取得できていたため、本日新たに発生した障害である。SCS 評価制度・JC-STAR 関連の更新有無は 2 日連続で未確認扱いとなる。
［障害記録］CISA 公式 KEV JSON フィードの空応答は 11 日連続。cvefeed.io ミラーで代替し収載総数 1,678 件を確認した。また Microsoft Threat Intelligence Blog は 2026-08-10「DeadLock ransomware」から 13 日間新着がない。BleepingComputer RSS の配信遅延（昨日記録）は解消したが、8/22 付の記事は本日時点で未配信であり、The Hacker News も最新は 8/21 付である。
新着なし。NCO サイトを Chrome 経由で確認した結果、新着情報の最新は 2026-08-05 であり、サイバーセキュリティ人材フレームワーク検討会・サイバーセキュリティ戦略本部のいずれについても差分ウィンドウ内の開催情報・資料公開はなかった。
経産省 産業サイバーセキュリティ研究会（SCS・JC-STAR 関連）は、サイバーセキュリティ政策ページとプレスリリースページの双方が取得できず、本日は未確認である（2 日連続）。AI 事業者ガイドライン検討会、デジタル・サイバーセキュリティWG、AI・半導体WG についても差分ウィンドウ内の新規開催情報を確認できなかった。
CERT Polska が 8/20 に実環境での悪用を報告した Zimbra Collaboration の OS コマンドインジェクション（CVSS 8.9）が、翌 8/21 に KEV へ収載された。是正期限は 8/24 で、収載から 3 日という短さは TrueConf の 2 件に続く。本件の実務上の難所は深刻度ではなく影響条件にある——オプションの zimbra-snmp が導入され SNMP 通知が有効な場合のみ該当するため、SBOM だけでは「自社が該当するか」を判定できない。CRA Art.14 の 24 時間早期警報において、構成情報を持たないメーカーが何を報告すべきかという問題として整理する。
中国語話者の犯罪グループ UAT-10147 が、エージェント型 AI を単なる自動化ツールではなく作戦補佐として運用し、攻撃手順書の生成・失敗したエクスプロイトの調整・成否の検証・バックドア設置までを支援させていたことを Cisco Talos が公表した。初期侵入は Zimbra・AjaxPro・Nacos・Telerik の公知 RCE に依存しており、新規のゼロデイは使われていない。約 17 万件の標的 URL リストが示すのは、脆弱性の新しさではなく既知の脆弱性を消化する速度である。CRA Art.14 の「認知から 24 時間」が攻撃側の速度に何の制約も課さないという非対称を論じる。
wp2shell の悪用試行は公開後 1 週間で約 15 万の一意送信元から 4,500 万回に達し、Drupalgeddon の約 20 倍となった。特筆すべきは、WordPress 固有の URL パターンで Drupal 環境まで叩くという無差別さであり、攻撃の経済性が「特定してから攻撃」から「広く攻撃してから成果を確認」へ移ったことを意味する。日〜週単位の評価を前提にした脆弱性管理は成立しない。緩和は時間を買う層であって是正の代替ではなく、CRA の下では利用者側の緩和をもってメーカーの是正を遅らせる論法は通らない点を併せて整理する。
2022 年 8 月から 2026 年 8 月にかけて公開された AWS アクセスキー 9,300 件超が現在も有効で、うち数百件は企業アカウントの完全な制御を与えるという調査が公表された。CVE もパッチも存在しない——製品の欠陥ではなく利用者側の資格情報管理の失敗だからであり、それゆえ脆弱性管理プロセスの網から構造的に漏れる。CRA が利用者の運用衛生を射程外とする一方、附属書 I 第 1 部の「デフォルトで安全な構成」からは、漏えい検知時の自動失効やローテーション強制を製品側に組み込む余地がある。
FTP サーバが接続時に返すバナー文字列に命令を隠し、未文書化の RAT 2 種（E4del、PINHOLE）を配布する手法が観測された。バナーは本来、人間が読むための挨拶文であり、プロトコル仕様上は任意の文字列を置ける自由領域である。通信先が正規の FTP サーバに見えるため宛先ベースの検知が効かず、正規に見える経路を使う攻撃の系譜に属する。設計時に「自由記述領域」を残すことのセキュリティ上の代償という観点から整理する。
本日は対象外（週次・月次チェック日のみ更新）