完全露出（氏名・メール・電話番号・配送先住所）11,742 名、部分露出（氏名・市区町村・メール）1,947 名。対象は 2026 年 5 月 10 日〜8 月 8 日に注文を受け取った米英スウェーデン・コロンビア・ブラジル・イタリア・ポルトガルの顧客。ShipMonk からの通知は 8/10、公表は 8/13。Trezor は自社システムもデバイスも侵害されていないと明言したうえで、銀行・暗号資産取引所・Trezor 自身になりすますフィッシングへの警戒を求めている。同社は 2024 年 1 月にも第三者サポートポータル経由で 66,000 名の情報を失い、その際に攻撃者は 24 語のリカバリーシードを詐取するフィッシングを実行している。
攻撃は単一 IP（158.220.87.79、ドイツ VPS の Contabo）から発し、city-forum.com ドメインに少なくとも 2025 年 3 月から紐づく。標的は通信・銀行・金融サービス・ソフトウェアベンダ・セキュリティ企業・公共部門ポータル。Salesforce では旧 Aura（/aura、/s/sfsites/aura）で HostConfigController.getConfigData によりゲスト参照可能なオブジェクトを列挙し、SelectableListDataProviderController.getItems でレコードを取得。新しい LWR サイトに対しては UI API の GraphQL エンドポイント（/webruntime/api/services/data/{version}/graphql）を叩いており、Reco は「この手法を使う公開ツールは見たことがない」としている。ServiceNow 側は POST /api/now/sp/search が匿名リクエストを受け付ける点を悪用。最多の標的では 560,000 件超のイベントを記録。ServiceNow のログは POST ボディを記録しないため、何を検索されたかは追跡できない。
8/12 署名の NSPM が国家調整センター（NCC）に対し、米国政府の統制下で越境犯罪組織を標的とするサイバー作戦に民間能力を活用するプログラムの創設を指示。司法省・国土安全保障省が指名する執行ディレクターが監督し、参加企業は事前審査を経て契約、最低 100 万ドルの保証金またはエスクローを維持し違反時は没収。承認範囲を超える活動（米国市民や米国内システムの意図しない標的化を含む）を発見した場合は即時停止と NCC への通報が義務づけられる。Veracode 共同創業者 Chris Wysopal は「米国サイバー政策の相当大きな転換」と評し、元 CNMF 幹部 Jason Kikta は「請求可能な脅威の永久機関」と皮肉った——脅威を見つけて作戦を提案する主体と報酬を得る主体が同一である点は制度設計上の論点として残る。
CISA 公式の KEV JSON フィードが本日も空応答であったため、二次ソースの cvefeed.io ミラーで確認した。最新の追加は 8/11 付の 3 件のままである。
未認証のリモート攻撃者が Metabase のアプリケーションデータベースに任意の SQL を注入でき、インスタンスの管理者権限を取得しうる。そこから設定変更、接続先データベースの保存済み認証情報の窃取、接続経由で参照可能な全データの読み取り・エクスポートに至る。是正期限は本日である。
HTTP リクエスト処理時のエラーチェック不足により、未認証のリモート攻撃者が Remote Access SSL VPN サービスに細工した HTTP リクエストを送ることで装置を予期せず再起動させ、DoS 状態を引き起こせる。IKEv2 Remote Access VPN 等の脆弱な構成が対象。是正期限は本日である。
WinSock 用補助機能ドライバの use-after-free により、認可された攻撃者がローカルで SYSTEM へ権限昇格できる。Check Point Research によれば Lazarus が Operation Dream Job で本ゼロデイを使用し、フランス・ドイツ・ブラジル・インドの防衛・航空宇宙企業に未知のバックドアを配布していた。
Adobe は 8/11 のアドバイザリ APSB26-92 で「悪用は確認していない」としていたが、Sansec は自社 WAF「Shield」が既に悪用試行をブロックしていると公表。悪用に既存アカウント・管理者権限・ユーザー操作のいずれも不要で、顧客セッションを別の顧客アカウントに切り替えられる。Adobe の月次修正は独立パッチファイルとして配布されるため、適用前に該当ブランチの最新 -p リリースであることの確認が必要。
CVE-2026-63077 JetBrains TeamCity（期限 8/8・JPCERT/CC が国内稼働を確認）、CVE-2026-8037 Progress LoadMaster（8/10）、CVE-2025-68686 Fortinet FortiOS（8/10）、CVE-2026-34486 Apache Tomcat（8/7）、CVE-2026-18556／18577 N-able N-central（8/7／8/6）、CVE-2026-9198 IBM Langflow（8/7）。
偽の GitHub ダウンロードページから ClickFix 型の誘導で Base64 コマンドを Terminal に貼り付けさせる。第 1 段がシェルスクリプト、第 2 段が Keychain・ブラウザ・Apple Notes・Telegram を収集する Rust スティーラー、第 3 段の stream_module が Chrome DevTools Protocol 経由でヘッドレスブラウザを操作する。攻撃者は約 3fps のライブ画面とキーボード・マウス・スクロール・ナビゲーション・タブ管理の全入力を得る——Jamf は「自動ダンプではなく hands-on-keyboard の隠しブラウザセッション」と表現している。システムパスワードは偽インストーラのプロンプトで詐取し dscl で照合、正しいものだけを平文で ~/.pwd に保存して sudo -S や security unlock-keychain に流用。Safari の Cookie 窃取には TCC バイパス CVE-2020-9771 を使用。永続化は Apple のクラッシュレポートサービスを騙る root LaunchDaemon。
NFC 経由でカード情報をリアルタイムに捕捉し詐欺師へ即時送信する専用マルウェアで、実環境での初検出は 2025 年 8 月下旬。起点はフィッシング・スミッシング・ビッシングによる悪性アプリのサイドロード。Group-IB は「SpyNote の Accessibility Service へのアクセスにより、詐欺師は画面共有を一切発動させずに NFC アプリを密かにサイドロードして有効化できる」と指摘しており、利用者の追加操作なしにリレーマルウェアが導入される。被害者名義でのローン契約にも使われている。
8/12 付で Clop が Fiserv, Inc.（米・金融テクノロジー大手）への攻撃を主張（「企業の代表者が連絡してこない限り完全なリークを近く公開する」）。同 8/12 付で incransom が Greater Austin Merchants Cooperative Association について約 400GB の暗号化を主張。8/13 付で nightspire が 1 組織、Blacknevas が Westbrook Greenhouse Systems（加・商業用温室）、Enteroptyx Ophthalmology Products、The Rutherford Group（加・物流）の 3 組織を主張。いずれも被害組織側の確認は取れておらず暫定扱いとする。
CVE-2026-71362（9.1・不適切な認可→権限昇格／悪用試行を観測）のほか、CVE-2026-48413（8.7・保存型 XSS→任意コード実行、認証要・管理者権限不要）、CVE-2026-48414（7.7・保存型 XSS、認証と管理者権限要）、CVE-2026-48415（7.6・Commerce B2B の不適切な認可）、CVE-2026-48416（7.5・不適切な認可、認証も管理者権限も不要）、CVE-2026-48411（6.5）、CVE-2026-48412（2.7）。
対象は TeamCity 2026.1.3 より前および 2025.11.7 より前のバージョン（クラウド版は利用者側の対処不要）。最新版へのアップデートが基本対策。回避策として 2017.1 以降向けに本 CVE のみを修正するセキュリティパッチプラグインが提供されている（2017.1〜2018.1 への適用時はサーバ再起動が必要）。侵害検出については JetBrains がサーバログの確認箇所を、Rapid7 が悪用に使われるエンドポイントとログの痕跡を公開している。
macOS の画面共有に不適切な認証／複数の Zyxel 製品／Google Chrome／WordPress／Progress MarkLogic Server／複数の Cisco 製品／Jenkins および複数のプラグイン／NetKids iMark／Gitea のパストラバーサル／Bouncy Castle Java／Adobe Campaign Classic／サイボウズ Garoon の XSS／pgAdmin 4／Better Auth。国内導入母数の大きいサイボウズ Garoon と、広範な製品に組み込まれる暗号ライブラリ Bouncy Castle Java は影響範囲の追跡が必要。
【本日中】KEV 是正期限が到来している 2 件を確認する。Metabase（CVE-2026-72898、CVSS 10.0）と Cisco Secure Firewall ASA/FTD（CVE-2026-20349）。特に Metabase は未認証で管理者権限に至り、接続先データベースの保存済み認証情報まで奪われる——修正適用に加え、接続先データベースの認証情報のローテーションと不正クエリの痕跡調査までを 1 セットで実施すること。
TeamCity は「パッチ適用」で終わらせない。JPCERT/CC が国内稼働を確認しており、KEV 是正期限（8/8）はすでに 6 日超過している。2026.1.3 / 2025.11.7 未満であれば、更新に加えて JetBrains のログ確認手順と Rapid7 のエンドポイント／痕跡情報に基づく侵害調査を実施する。CI/CD 基盤の侵害は、保存された認証情報とビルド成果物・後続パイプラインの完全性まで波及する。
Adobe Commerce / Magento は本日中に APSB26-92 を適用する。CVE-2026-71362 は認証も管理者権限もユーザー操作も不要で顧客セッションを乗っ取れる。Adobe の月次修正は独立パッチファイルとして配布されるため、適用前に該当リリースブランチの最新 -p リリースであることを必ず確認すること。
Salesforce / ServiceNow のゲストユーザー設定を棚卸しする。City-Forum は脆弱性を使わないため、CVE ベースの脆弱性管理では検知できない。Salesforce ではゲストユーザーの共有ルール、オブジェクト／フィールド権限、ファイルアクセス、メンバー可視性、セルフ登録設定を確認する。LWR サイトでは Experience Builder の「ゲストユーザーによる公開 API アクセス」を不要なら無効化する。ServiceNow では Service Portal 経由で公開されている検索ソースを確認し、機微データを含むソースに厳格な認証・アクセス制御を適用する。
物流・配送を含む委託先の侵害を「自社の情報漏えい」として想定する。Trezor／ShipMonk、Valve／CEVA Logistics と 2 週間で同型の事案が 2 件出ている。自社システムが無傷でも顧客の氏名・住所・電話番号は出る。委託先の侵害通知から自社の顧客告知までの手順（今回は 8/10 通知 → 8/13 公表の 3 日間）を、あらかじめ決めておくこと。
macOS 利用者に ClickFix 型の警告を再周知する。AmnesiaStealer は「Terminal にコマンドを貼り付けてください」という指示から始まり、偽インストーラのパスワード入力プロンプトで管理者パスワードを詐取する。正規のダウンロードページがターミナルへのコマンド貼り付けを要求することはない、という原則を周知すること。
差分ウィンドウ（8/13〜8/14）内の新着は JPCERT/CC・JVN の 4 件のみ。他のソースは新着なし。
JPCERT/CC（2026-08-13・3 件）：①CyberNewsFlash「JetBrains TeamCity（オンプレミス版）におけるリモートコード実行につながる脆弱性（CVE-2026-63077）について」——影響を受けるバージョンが国内で稼働していることを確認したと明記し、すでに悪用が発生していることを踏まえた対策と侵害調査を要請。②Weekly Report 2026-08-13 号（全 14 件）。③制御システムセキュリティカンファレンス2027 講演募集（CFP）開始。CyberNewsFlash ／ Weekly Report ／ CFP
JVN（2026-08-13 12:00・1 件）：JVN#00941257「VoiceTra における接続先の制限が不適切な脆弱性」。VoiceTra は NICT が提供する音声翻訳アプリ。JVN#00941257（※本日は個別ページを取得できず、JVN トップの一覧情報に基づく）
新着なしのソース：NCO 国家サイバー統括室（最新 8/5・Chrome ブラウザで直接確認済み）／IPA（セキュリティ分野の最新は 8/3）／経済産業省サイバーセキュリティ政策（最新 5/20）／経済産業省プレスリリース（最新 8/12・非セキュリティ）／警察庁サイバー警察局（最新 8/10「サイバー警察局便り R8 Vol.9 家庭にある機器が悪用されています」）／デジタル庁セキュリティ（最終更新 4/7）／デジタル庁トップ新着（最新 8/12・非セキュリティ）。
障害・取得不能の記録：①CISA 公式の KEV JSON フィードおよびカタログページがいずれも空応答（8/13 から継続）——cvefeed.io の KEV ミラーで代替。②cybersecuritynews.com の RSS がバイナリで返されパース不可、サイト本体も取得ツールの参照元制限により取得不可——WebSearch で補完。③JVN 個別ページ（JVN#00941257）が同制限により取得不可——JVN トップの一覧情報のみ取得。④NCO トップページは Chrome 経由で正常取得。
差分ウィンドウ（8/13〜8/14）内の新着はなし。経産省 産業サイバーセキュリティ研究会（最新の公表は 2026-04-03 の第 10 回開催）、AI事業者ガイドライン検討会、NCO サイバーセキュリティ人材フレームワーク検討会、デジタル・サイバーセキュリティWG、AI・半導体WG、サイバーセキュリティ戦略本部のいずれも、経産省サイバーセキュリティ政策ページ・NCO 新着情報・デジタル庁新着に新規の開催情報・資料掲載は確認されなかった。
7/27 JetBrains 公表 → 8/5 CISA KEV 収載（是正期限 8/8）→ 8/7 JetBrains が悪用報告を確認 → 8/8 Rapid7 が PoC 公開 → 8/13 JPCERT/CC が国内稼働を確認、という 18 日間の時系列。CI/CD 基盤が侵害されたとき何が失われるか（保存された認証情報、ビルド成果物と後続パイプラインの完全性）と併せて論じる価値がある。
NICT が提供する音声翻訳アプリ VoiceTra に、接続先の制限が不適切な脆弱性が公表された。音声という機微な入力を扱い、かつ公的研究機関が提供するという二重の信頼を持つアプリで通信先の検証に不備が出た点は、CRA 附属書 I が求める通信の完全性・機密性保護の実装水準として整理できる。
Trezor は自社システムもデバイスも侵害されていないと明言しており、それは事実である。だが「暗号資産ハードウェアウォレットの配送先リスト」は、それ自体が高精度フィッシングの標的リストになる。製品セキュリティの規制が届かない場所で顧客リスクが発生する構図として書ける。
CVE は付かず KEV にも載らず CRA の報告義務も発生しないが、最多の標的では 560,000 件超のイベントが記録された。ServiceNow のログが POST ボディを記録しないため「何を検索されたか」が分からないという調査上の制約も含め、SaaS の既定設定と可観測性の問題として整理できる。
EU AI Act 第 50 条（8/2 施行）への対応として Anthropic が Claude の出力にウォーターマークを導入した直後、GitHub で 4,500 スター超のツールを含む除去ツール群が出現した。検出器が非公開である以上、除去の成否は誰にも検証できない。これらがエージェントスキルとして配布され第三者リポジトリから約 220MB のアーティファクトを取得する点は、規制対応が生んだ回避市場がそのままサプライチェーンの攻撃面になるという構図を示す。
本日は対象外（週次・月次チェック日のみ更新）