数字
| 項目 | 7/1 | 7/2 | 7/3 | 7/4 | 7/5 |
|---|
| Critical | 0 | 0 | 0 | 0 | 0 |
| High | 7 | 4 | 1 | 2 | 0 |
| Medium | 2 | 12 | 3 | 0 | 0 |
| Low | 0 | 3 | 0 | 0 | 0 |
| Pre-CVE | 17 | 22 | 10 | 0 | 0 |
| Malware (24h, unique) | 80 | 80 | 77 | 35 | 25 |
列見出しはデータ日（脆弱性は公開日、malware は検出日）。CVE/GHSA の severity 行は CVE/GHSA 付与分のみ計上、Pre-CVE は別行。本レポート（7/6 発行）のスコープは 7/5（日）分。7/5 は脆弱性公開ゼロ（前日 7/4 の erlang/OTP は例外で、日曜は通例どおりゼロ）。
新規観測（事実のみ）
脆弱性（7/5 公開、0件）
- CVE/GHSA・Pre-CVE ともに新規公開なし。土曜（7/4）に erlang/OTP の High 2件が出た一方、日曜は通例の週末ゼロに戻った。ないことも記録として残す
Malware（7/5 検出、25 unique／生52）
- エコシステム内訳（生）：npm 50 ／ pypi 2
- base58／Solana クラスタが再来：solana-address-codec・base58-cli・crypto-base58・base58-core（6/30 検出群と同名のパッケージが再検出）
- 連番 typosquat：zod-pino434・zod-pino444（＋7/4 の zod-pino434 から継続）。ペア投稿：gen-ai-opt-in・ai-gen-ai-opt-in、agn-logger・agn-terminal
- 組織スコープ詐称：@adobesign/as-dev-tools（Adobe Sign を騙る）
- 継続：@bobfrankston（gcal・npmglobalize）・@guangnao/agent-cli・@talmolab/sleap-io.js・darkglitch（pypi）・debugcli・hello244a・common-tg-service・runtimedev-link・chai 系（chai-as-disarmed・chai-sdk）
注意点（3つ）
- 週の頭に振り返ると、7/1〜7/5 の脆弱性は 26→41→14→2→0 件。平日前半に集中し、週末は erlang/OTP（土曜 High 2件）を除きゼロ。週明けの依存更新はまず 7/1〜7/3 分（rmcp・aws-cdk-lib・composer・mdex・Drupal）の消化から。
- malware は 80→80→77→35→25 と週末にかけて減速したが、base58／Solana クラスタの「同名再検出」は、削除されたパッケージが名前を変えず再公開される持続型の手口。一度ブロックした名前でも再流入する前提で、名前単位ではなく検出フィード連動のブロックを。
- @adobesign のような大手ブランドの組織スコープ詐称と、gen-ai-opt-in のような AI 文脈の名前が引き続き混在。週明けの新規依存追加・AI 生成コードの提案パッケージは、公式 namespace の確認と install 時スキャンをルーチンに。
連続性メモ
- 2026/07/01：脆弱性 26件（rmcp／Rust 公式 MCP SDK に GHSA 3連・immutable High 2・fast-uri・urllib High／Pre-CVE 17）、malware 80件（@marketfront 25件の大規模スコープクラスタ・base58 継続・vscode 拡張4件）
- 2026/07/02：脆弱性 41件（週内ピーク、aws-cdk-lib OS Command Injection 3エコシステム・Elixir mdex 10 CVE・Drupal 5件／Pre-CVE 22 に @openai/codex・node-postgres）、malware 80件（Epic Games／Unreal Engine 標的の依存混乱クラスタ・@bobfrankston/mailx 8件・Chrome Binance Wallet 再来）
- 2026/07/03：脆弱性 14件（composer 本体に GHSA 3連 High 含む・psd-tools／Pre-CVE 10 に @clerk/express 認証バイパス・electron・quick-xml High）、malware 77件（SQL 系スコープ群・react-v17 バージョン名 typosquat・polymarket 継続）
- 2026/07/04：脆弱性 2件（土曜に erlang/OTP High 2連＝週末ゼロパターン破り）、malware 35件（減速、ruby で OTel exporter 偽装・golang mallcop・vscode DevFlowHub）
- 2026/07/05：脆弱性 0件（日曜ゼロ）、malware 25件（直近最少域、base58/Solana クラスタ再来・@adobesign スコープ詐称・zod-pino 連番）