数字
| 項目 | 6/29 | 6/30 | 7/1 | 7/2 | 7/3 |
|---|
| Critical | 0 | 1 | 0 | 0 | 0 |
| High | 2 | 3 | 7 | 4 | 1 |
| Medium | 2 | 1 | 2 | 12 | 3 |
| Low | 0 | 0 | 0 | 3 | 0 |
| Pre-CVE | 6 | 7 | 17 | 22 | 10 |
| Malware (24h, unique) | 212 | 74 | 80 | 80 | 77 |
列見出しはデータ日（脆弱性は公開日、malware は検出日）。CVE/GHSA の severity 行は CVE/GHSA 付与分のみ計上、Pre-CVE は別行。本レポート（7/4 発行）のスコープは 7/3 分。
新規観測（事実のみ）
脆弱性（7/3 公開、計14件）
CVE/GHSA（4件）
- High：composer/composer（PHP、GHSA-499r-g7pc-vmp9、Arbitrary File Write、score 70）
- Medium：composer/composer（GHSA-gjfg-22fp-rrxx＝Path Traversal、GHSA-g6xq-892h-64w3＝Information Disclosure）、psd-tools（Python、CVE-2026-49836、Path Traversal）
- composer は High 1＋Medium 2 の3連 GHSA。PHP のパッケージマネージャ本体への公開
Pre-CVE（10件）
- High：quick-xml（Rust、75、DoS。7/2 の Low 登録から別件で High が追加）
- Medium：@clerk/express（JS、59、Authentication Bypass）、electron（JS、59、Improper Authorization）、fast-xml-builder（JS、61、XML Injection）、h3-js（JS、55、Memory Corruption。Uber の H3 バインディング）、social-auth-app-django（Python、59、CSRF）、ox（Ruby、53、DoS）、confluent-kafka（Python、45、証明書検証不備）
- Low：sentry-sdk（Python、25、機微情報の送信ログ混入）、napi（Rust、35、Use-After-Free）
Malware（7/3 検出、77 unique／生156）
- エコシステム内訳（生）：npm 127 ／ pypi 24 ／ vscode 2 ／ chrome 1 ／ firefox 1 ／ cargo 1
- SQL 系スコープ群：@sqlite-list（schema-generator・createsql）・@sql-trigger/nodesql・@sql-access/nodesql・@sqlite-node/createsql・@node-cloud/create と、同一パターンのスコープを跨いだ展開
- バージョン名 typosquat：react-v17・react-dom-v17。類似の汎用名群：web-api-node・ts-node-utils・api-node-utils・api-ts-utils・typescript-util-core
- @bobfrankston 系が msger・msgapidefs・msgview・msgcommon・npmglobalize 等へ拡大（7/2 の mailx 系から継続）
- トレーディング系継続：polymarket-apis・polymarket-trader-apis・polygon-gamma-apis・polygon-gama-apis。pypi typosquat：urlllib321
- 継続：chrome binance wallet、@bittensormcp/sign、cargo split-brain-harness、KsWpsClaude.wps-claude-vscode、@luminarycloudinternal、@guangnao/agent-cli。firefox：vouch-verifier
注意点（3つ）
- composer/composer（PHP パッケージマネージャ本体）に GHSA 3連。High は Arbitrary File Write で、依存解決を実行する開発マシン・CI が対象になる。Laravel/Symfony 等の PHP プロジェクトを持つ組織は composer 自体のバージョン確認を（パッケージではなくツール本体の更新）。
- Pre-CVE に認証・認可系が集中。@clerk/express（Authentication Bypass）と electron（Improper Authorization）はいずれも利用層が厚く、正式 CVE 化と修正リリースを注視。quick-xml は 7/2 の Low に続き High（DoS）が追加され、Rust の XML 処理系で連日の登録。
- SQL 系の複数スコープ横断クラスタと react-v17 のようなバージョン名 typosquat。「バージョン付きパッケージ名」は正規に存在しない命名で、AI コード生成が提案しがちな名前でもある。install 前の名前検証と Safe Chain 等の隔離を。
連続性メモ
- 2026/06/29：脆弱性 10件（@anthropic-ai/claude-code High CVE・tar GHSA・shopify_app High／Pre-CVE 6）、malware 212件（再急増、npm 短名フラッディング＋Chrome で Binance Wallet 偽装、@rakuten-rewards スコープ詐称）
- 2026/06/30：脆弱性 12件（better-auth 協調 Critical＋High 3・brace-expansion Medium／Pre-CVE 7）、malware 74件（通常域、crypto/base58 群・Chrome Netflix Party 偽装・maven/Java）
- 2026/07/01：脆弱性 26件（rmcp／Rust 公式 MCP SDK に GHSA 3連・immutable High 2・fast-uri・urllib High／Pre-CVE 17）、malware 80件（@marketfront 25件の大規模スコープクラスタ・base58 継続・vscode 拡張4件）
- 2026/07/02：脆弱性 41件（週内ピーク、aws-cdk-lib OS Command Injection 3エコシステム・Elixir mdex 10 CVE・Drupal 5件／Pre-CVE 22 に @openai/codex・node-postgres）、malware 80件（Epic Games／Unreal Engine 標的の依存混乱クラスタ・@bobfrankston/mailx 8件・Chrome Binance Wallet 再来）
- 2026/07/03：脆弱性 14件（composer 本体に GHSA 3連 High 含む・psd-tools／Pre-CVE 10 に @clerk/express 認証バイパス・electron・quick-xml High）、malware 77件（SQL 系スコープ群・react-v17 バージョン名 typosquat・polymarket 継続）