← 情報センターへ戻る
2026-07 CleanSource コミュニティ セキュリティ情報 月次総括
本報告は Sectrend の CSSA 脆弱性情報体系とオープンソースレジストリの汚染監視データに基づき、2026 年 7 月に発信した 200 件のセキュリティ情報を集約したものです。AI エージェント基盤、MCP 生態系、企業向けアプリケーション、開発ツールチェーン、データベースとクラウドサービスを対象に、当月のソフトウェアサプライチェーンのリスク全体像と対処方針を示します。
200情報件数
28CSSA 独自
39CVE 精選
133汚染情報
01今月の概況
Monthly Overview
7 月のセキュリティ情報は 200 件で、6 月（138 件）から 45% 増 となりました。主要な発見は三点です。AI エージェント生態系が脆弱性の主戦場となったこと、MCP プロトコルが独立した攻撃面を形成したこと、企業内部パッケージ名を狙う依存混同が大規模化したこと。
28CSSA 独自 · 14.0%
デシリアライズ / 認可欠落 / コマンド注入 / Agent の権限逸脱
39CVE 精選 · 19.5%
リモートコード実行 / 認証回避 / MCP 未認証 / 権限昇格
133サプライチェーン汚染 · 66.5%
依存混同 / 悪性ドメイン通信 / 資格情報窃取 / 内部パッケージ偽装
汚染情報の比率は 6 月の 51.4% から 66.5% へ上昇し、絶対数では 87% 増（71→133）と、今月最も顕著な変化となりました。
02四つの傾向
Key Trends
T1AI エージェント基盤が脆弱性の主戦場に
CSSA 独自情報 28 件のうち 17 件（61%）が AI / Agent 生態系によるもので、6 月の 40% からさらに集中しました。攻撃面はデシリアライズ、プラグインの自動読み込み、サンドボックス脱出、プロンプトインジェクション、資格情報の漏洩に及び、21 件が CVSS 10.0 満点、いずれも Star 数万規模の主要プロジェクトに集中しています。
hermes-agentclaude-codebrowser-usecrewAILocalAInanobotsglangDeepSeek-ReasonixKotaemonQwenPawadk-pythonelizaOSDB-GPTCamelopen-swe+2
T2MCP プロトコルが初めて独立した攻撃面を形成
7 月には MCP 専門の CVE が 3 件、いずれも 10.0 満点で登場し、Model Context Protocol が概念から現実の攻撃対象へ移ったことを示しました。同時期の汚染監視でも sidecar-mcp、mcp-notes-server-poc といった偽装部品が確認されています。三件の CVE はいずれも同じ構造的欠陥、すなわち既定で認証がなく、かつ高い権限の資格情報を持つという点を指しています。
CVE-2026-59726RufloMCP 端点默认无认证 · 10.0
CVE-2026-66012SiYuanMCP 接口未授权访问 · 10.0
CVE-2026-16498terraform-mcp-server跨租户凭证重用 · 10.0
T3企業内部パッケージ名を狙う依存混同の大規模化
今月の汚染で最も特徴的なのは、特定企業の内部パッケージ名を狙った一括登録です。攻撃者は異常に高いバージョン番号（99999.0.0、999.0.0、99.9.1）を用いて依存解決の優先順位を奪います。この攻撃は綴り間違いに依存せず、企業の私有レジストリの名前空間を正確に狙うため、内部ミラーの設定不備や解決順序の誤りがあれば、悪性パッケージはそのままビルド環境へ入り込みます。
ゲームエンジンのツールチェーン偽装
robomergeue-automation-scriptsue-jenkins-buildkiteunreal-horde-dashboardepic-internal-tools
EC・クラウド基盤の内部部品偽装
aone-kitaone-kit-cliaone-sandboxaone-cloud-clilib-mtoplzd-unified-station-sdk
金融業務サービスの偽装
commonweb-cardcommonweb-walletcommonweb-moneymovementconsumerweb-calurlsidentityauthorizationservriskunifiedgatewayservstargateproxyserv
Web3 / 暗号資産生態系への偽装
polymarket-toolkiteth-wallet-helpersethereum-lib-utilschain-sdk-jsabi-encodedefi-kittronwe
T4CVE 精選の 95% が緊急、AI/ML 基盤が四割近くを占める
精選した CVE 39 件のうち 37 件が CVSS 9.0 以上（94.9%）、うち 7 件が 10.0 満点です。AI/ML 関連は 15 件（38%）で、LLaMA-Factory、Crawl4AI、mem0、Langroid、Flowise、LightRAG、ktransformers、NVIDIA AIStore などの推論・編成部品が対象となりました。従来型の企業ソフトウェアも同様に圧力を受けています。Oracle Platform Security for Java（10.0）、Microsoft Entra Provisioning Service（9.9）、WebPros Plesk（9.9）、Apache 系（Kylin / Thrift / Fory / Gravitino）、SQLite、Firefox、Zoom。
03詳細分析
Deep Dive
CSSA 独自情報 · 種別の分布
認可・認証の欠落（CWE-862/306/285）17.9%
信頼できないデータのデシリアライズ（CWE-502）14.3%
コマンド・コード注入（CWE-78/94）14.3%
パストラバーサル（CWE-22）7.1%
資格情報・セッションの欠陥（CWE-522/613）7.1%
その他（TOCTOU / XXE / 完全性検証の欠落など）39.3%
部品の分布では AI Agent 基盤が 61%（インフラとゲートウェイ 18%、企業向けアプリケーション 11%、その他 10%）を占めます。デシリアライズが首位に戻ったことは一つの傾向を示しています。AI 基盤は動的なモデルとプラグインの読み込みに対応するため、安全でないオブジェクト再構築の経路を広く有効にしているという点です。対象には hermes-agent（215K★）、claude-code（139K★）、browser-use（103K★）、crewAI（56K★）といった主要リポジトリが含まれます。
CVE 精選 · 領域の分布
AI / ML 基盤と MCP38%
企業向けアプリケーションとオフィス製品23%
データベースとミドルウェア18%
開発ツールと CI/CD13%
その他（ブラウザ / IoT / ネットワーク機器）8%
中核の危険はリモートコード実行が中心（およそ 55%）で、認証回避と未認可アクセスが続きます（およそ 30%）。注目すべきは CVE-2026-44359（Meshtastic の CI ワークフローにおける Fork コード実行、10.0）です。攻撃面が実行時から CI/CD のパイプライン自体へ広がったことを示しています。
汚染の状況 · レジストリ別
npm 121 件 · 91.0%PyPI 9.0%
悪性の振る舞いは三点に集約されます。悪性ドメインとの C2 通信、開発者端末での未認可コマンド実行、環境変数・トークン・SSH 鍵の窃取です。今月の手法の進化：異常なバージョン番号で解決の優先順位を奪う手口が標準化し、一部のパッケージは「完全に侵害された」水準の警告を伴い、別の端末からすべての鍵を直ちに入れ替えるよう求めています。また段階的なペイロードも現れ、最初の版は無害で、後続の細かな版で遠隔取得の処理が加わります。
04対処方針
Recommendations
R1緊急の点検と修正
開発側
- 依存関係の一覧を整理し、hermes-agent / browser-use / crewAI / LocalAI / sglang / Kotaemon / DB-GPT / adk-python / elizaOS / QwenPaw の影響を受ける版を重点的に確認してください
- 優先して更新すべきもの：Orkes Conductor 3.30.2 以降、Crawl4AI 0.9.0 以降、terraform-mcp-server 1.1.0 以降、SiYuan v3.7.2 以降、Apache Fory C++ 1.4.0 以降、Apache Thrift 0.24.0 以降、node-tar 7.5.19 以降、Xlight FTP 3.9.5 以降、apache-airflow-providers-fab 3.7.3 以降
- 依存ツリーにある 133 件の汚染パッケージを点検し、とりわけ自社の内部パッケージと同名の公開パッケージに注意してください。発見次第削除し、node_modules / venv のキャッシュを消去します
- fastjson2 の利用者は SafeMode を有効化（-Dfastjson2.parser.safeMode=true）するか、noneautotype 版へ切り替えてください
セキュリティ側
- すべての MCP Server に導入審査を実施してください：出所の検証、ツール記述への注入検出、宣言と実装の整合、資格情報の作用範囲
- 公開されている AI 推論・編成サービス（Flowise / LocalAI / DB-GPT / LLaMA-Factory / mem0）のアクセス元を信頼できる内部網に限定してください
- 内部レジストリの解決順序を確認し、私有パッケージが公開ソースより優先されるようにしてください
- 開発者端末の異常な外部通信、DNS 照会、シェル実行のログを監視してください
R2安全な開発実務の強化
開発側
- AI 基盤ではネイティブのデシリアライズ（pickle 等）を廃止し、構造化データ形式へ切り替えてください。オブジェクト再構築が必要な場合はクラスの許可リストを適用します
- MCP と Agent のツールは安全な既定値で運用します：既定で認証、最小権限、機微な操作には人の確認
- パス・コマンド・SQL の入力に厳格な許可リスト検証を適用し、引数化クエリと配列形式の子プロセス呼び出しに統一してください
- セッションとトークンの管理は OAuth 2.0 の仕様に従い、ログアウト時にサーバーへ失効要求を同時に発してください
セキュリティ側
- SAST / DAST を CI/CD へ組み込み、CWE-22 / 78 / 94 / 306 / 434 / 502 / 862 を重点的に検出してください
- AI / Agent 応用の専用監査チェックリストを整備します：デシリアライズ経路、プラグイン読み込みの完全性、プロンプトインジェクション、サンドボックス脱出、資格情報のライフサイクル
- CI/CD のワークフローを監査し、pull_request_target イベントで外部 Fork のコードを直接チェックアウトして実行することを禁止してください
- CleanSource の日次・週次・月次のセキュリティ情報を取り込み、対応の窓をコミュニティ公開の時点まで前倒ししてください
R3サプライチェーンの統制
開発側
- 依存関係のバージョンを厳密に固定し、^ / ~ / latest の浮動指定を禁止してください
- npm ci、pip install --require-hashes の厳格モードと lockfile の完全性検証を有効にしてください
- 内部の名前空間を保護してください：公開レジストリに自社の接頭辞（@company/ など）を先行登録し、依存混同を遮断します
- 新規に導入する依存関係には観察期間を設け、バージョン番号が異常に高いパッケージを警戒してください
セキュリティ側
- SCA を配備し、ソース・バイナリ・コンテナイメージを横断して依存関係を継続的に走査してください
- 汚染パッケージの緊急対応手順を整備します：取り下げ、通知、切り戻し、資格情報の入れ替え
- 内部ミラーを内部優先の解決に設定し、公開ソースが同名の私有パッケージを上書きできないようにしてください
- 開発者端末とビルドサーバーに EDR と外部通信の監査を適用してください
R4多層防御の構築
開発側
- Agent の実行時を厳格にサンドボックス化します：コンテナは最小権限、ホストの Socket は接続せず、外部通信を制限
- 外部コードの実行には独立したサンドボックス（gVisor / Firecracker / E2B）と読み取り専用ファイルシステムを用いてください
- Agent の資格情報はタスクごとに分離し、作用範囲を最小化し、個別に失効できるようにしてください
- 機微データ・モデル成果物・資格情報は階層的に暗号化し、可視範囲を最小に設計してください
セキュリティ側
- 境界・ホスト・アプリケーション・データの四層で多層防御を構築します：WAF+IDS、EDR+HIDS、RASP+WAAP、DLP+暗号化
- LLM ファイアウォール / AI ゲートウェイを整備します：プロンプトインジェクション検出、権限逸脱したツール呼び出しの遮断、機微データの秘匿
- MCP と Agent のツール呼び出しを全量記録し監査できるようにしてください
- CI/CD の成果物に署名と検証を適用してください（Sigstore / Cosign）
月次総括 · メールでお届け
Sectrend の月次セキュリティ情報総括を購読してください。月に一通、オープンソースサプライチェーンのリスク全体像をメールでお届けします。
メールで購読 →発行：CleanSource コミュニティ ｜ 発行日：2026-08-03
データ出典：Sectrend CSSA 脆弱性情報体系（27 万件超）· オープンソースレジストリ汚染監視 ｜ 転載の際は出典を明記してください
商务合作
微信公众号