数字
| 項目 | 6/30 | 7/1 | 7/2 | 7/3 | 7/4 |
|---|
| Critical | 1 | 0 | 0 | 0 | 0 |
| High | 3 | 7 | 4 | 1 | 2 |
| Medium | 1 | 2 | 12 | 3 | 0 |
| Low | 0 | 0 | 3 | 0 | 0 |
| Pre-CVE | 7 | 17 | 22 | 10 | 0 |
| Malware (24h, unique) | 74 | 80 | 80 | 77 | 35 |
列見出しはデータ日（脆弱性は公開日、malware は検出日）。CVE/GHSA の severity 行は CVE/GHSA 付与分のみ計上、Pre-CVE は別行。本レポート（7/5 発行）のスコープは 7/4（土）分。これまで土日は脆弱性公開ゼロが通例だったが、7/4 は erlang/OTP の High 2件が公開され、パターンを破った。
新規観測（事実のみ）
脆弱性（7/4 公開、計2件）
CVE/GHSA（2件）
- High：erlang（Erlang/OTP、CVE-2026-55950、score 87、Race Condition＝TOCTOU）
- High：erlang（Erlang/OTP、CVE-2026-55952、score 82、TLS 1.3 の不正 ClientHello によるセッションチケットハンドラのクラッシュ＝DoS。TLS 1.2 は影響なし）
- Pre-CVE は 0件。土曜としては異例の OS／ランタイムレベルの High 2連
Malware（7/4 検出、35 unique／生75）
- エコシステム内訳（生）：npm 52 ／ vscode 9 ／ ruby 7 ／ pypi 5 ／ golang 1 ／ firefox 1
- ruby：opentelemetry-exporter-otlp-http（OpenTelemetry 公式 exporter を騙る偽装）・circle-w3s
- golang：github.com/mallcop-app/mallcop。firefox：fast-down。vscode：DevFlowHub.devflowhub（生9件のバージョン連投）
- AI 系：claude-status-ollama。研究系マーカー付き：vybscan-testbed-inert-postinstall
- vps-maintenance・vps-maintenance-paperclip-adapter・paperclip2 の VPS 運用ツール偽装群
- 継続：@bobfrankston/mailx 系・@guangnao/agent-cli・@talmolab/sleap-io.js・darkglitch（pypi）・hello244a・kevel-keyword-builder・mongoose-lean-hooks・chai 系
注意点（3つ）
- Erlang/OTP に High 2連（TOCTOU race・TLS 1.3 ClientHello DoS）。RabbitMQ・Elixir/Phoenix・各種通信基盤のランタイムであり、TLS 1.3 の DoS は未認証攻撃者がセッションチケット発行を止めて新規 TLS 1.3 接続を落とせる。OTP のパッチバージョン（22.2〜29.0.2 系の該当レンジ）を確認し更新を。
- 土日の脆弱性公開ゼロという直近数週間のパターンが破られた。「週末は公開が止まる」前提で月曜にまとめて確認する運用は、OS／ランタイム級の週末公開を拾い損ねる。週末も severity High 以上だけは拾うアラート設計が安全。
- malware は 35 unique と減速したが、エコシステムの広がりは維持（npm・pypi・ruby・golang・firefox・vscode）。特に OpenTelemetry exporter 偽装（ruby）は観測基盤という「全サービスに入る」レイヤを狙っており、依存追加時の取得元確認を。
連続性メモ
- 2026/06/30：脆弱性 12件（better-auth 協調 Critical＋High 3・brace-expansion Medium／Pre-CVE 7）、malware 74件（通常域、crypto/base58 群・Chrome Netflix Party 偽装・maven/Java）
- 2026/07/01：脆弱性 26件（rmcp／Rust 公式 MCP SDK に GHSA 3連・immutable High 2・fast-uri・urllib High／Pre-CVE 17）、malware 80件（@marketfront 25件の大規模スコープクラスタ・base58 継続・vscode 拡張4件）
- 2026/07/02：脆弱性 41件（週内ピーク、aws-cdk-lib OS Command Injection 3エコシステム・Elixir mdex 10 CVE・Drupal 5件／Pre-CVE 22 に @openai/codex・node-postgres）、malware 80件（Epic Games／Unreal Engine 標的の依存混乱クラスタ・@bobfrankston/mailx 8件・Chrome Binance Wallet 再来）
- 2026/07/03：脆弱性 14件（composer 本体に GHSA 3連 High 含む・psd-tools／Pre-CVE 10 に @clerk/express 認証バイパス・electron・quick-xml High）、malware 77件（SQL 系スコープ群・react-v17 バージョン名 typosquat・polymarket 継続）
- 2026/07/04：脆弱性 2件（土曜に erlang/OTP High 2連＝週末ゼロパターン破り）、malware 35件（減速、ruby で OTel exporter 偽装・golang mallcop・vscode DevFlowHub）