数字
| 項目 | 7/2 | 7/3 | 7/4 | 7/5 | 7/6 |
|---|
| Critical | 0 | 0 | 0 | 0 | 2 |
| High | 4 | 1 | 2 | 0 | 7 |
| Medium | 12 | 3 | 0 | 0 | 5 |
| Low | 3 | 0 | 0 | 0 | 0 |
| Pre-CVE | 22 | 10 | 0 | 0 | 42 |
| Malware (24h, unique) | 80 | 77 | 35 | 25 | 203 |
列見出しはデータ日（脆弱性は公開日、malware は検出日）。CVE/GHSA の severity 行は CVE/GHSA 付与分のみ計上、Pre-CVE は別行。本レポート（7/7 発行）のスコープは 7/6（月）分。脆弱性56件は直近数週間で最多、malware 203 unique は 6/29（212）以来の急増。
新規観測（事実のみ）
脆弱性（7/6 公開、計56件＝直近最多）
CVE/GHSA（14件）
- Critical：n8n-mcp（JS、CVE-2026-54052、score 99、IDOR＝Insecure Direct Object Reference）、@fastify/middie（JS、CVE-2026-14198、score 91、Authorization Bypass）
- High：@fastify/middie（CVE-2026-14181、DoS。Critical と同時公開の2連）、datadog/dd-trace（PHP、CVE-2026-50275、DoS）、qiskit（Python、CVE-2026-4870、DoS）、zbateson/mail-mime-parser（PHP、GHSA-36h5-qg4p-q2qf＝CRLF Injection・GHSA-f6v3-2qmr-vfjx＝リソース消費の2連）、icalendar（Python、CVE-2026-55099、DoS）、@maplibre/geojson-vt（JS、CVE-2026-58505、Uncontrolled Recursion）
- Medium：wagtail（Python CMS、CVE-2026-54259〜54262 の4連＝Improper Access Control ×3・DoS）、scim-patch（JS、GHSA-2mhw-wcx5-v3xj、Prototype Pollution）
Pre-CVE（42件）
- High：mariadb（JS＝Node.js コネクタ、81、SQL Injection）
- Medium 29件（主なもの）：@openai/codex（59、Protection Mechanism Failure。7/2 に続き再登録）、react-hook-form（54、Prototype Pollution）、unhead（61、XSS）、@adonisjs/http-server（61、XSS）、@react-email/editor（59、XSS）、nikic/php-parser（PHP、59、Code Injection）、smarty/smarty（PHP、65、Path Traversal）、shopify_app（Ruby、59、Open Redirect）と @shopify/shopify-api（JS、59、暗号署名検証不備）、Microsoft.Identity.Web（.NET、CSRF＋Open Redirect の2件）、ag2（Python、59、SSRF）と agno（Python、59、機微情報露出）の AI エージェントフレームワーク2種、openpgp（50、リソース消費）、exifreader（53、DoS）、rmagick（Ruby、65、Heap Buffer Overflow）、inline-style-parser（60、ReDoS）、json（Ruby、53、OOB Read）、dbus-fast（Python、41。連日の登録）、qh3・zeroconf・daft・instagrapi（Python）、geobuf・exact-mirror（JS）、mupdf・symbolic-cfi・tree-sitter-perl-next（Rust）
- Low 12件（主なもの）：recharts（DoS）、@better-auth/utils（Timing Discrepancy）と @convex-dev/better-auth（DoS）の better-auth 周辺、pusher、@milkdown/crepe、@inquirer/external-editor、cxx・rand（Rust）、trilogy・auth-sanitizer（Ruby）、django-rest-passwordreset
Malware（7/6 検出、203 unique／生230）
- エコシステム内訳（生）：npm 224 ／ pypi 2 ／ chrome 1 ／ firefox 1 ／ vscode 1 ／ github 1
- npm 197 unique は 6/29（212）と同型の短名フラッディング再来。組織スコープではなく、開発ツール風の合成名を大量投下する形
- 偽装対象の系統：ロガー系（pretty-pino-logger・pino-sdk-v2・chalk-logger-prettier・chalks-logger・winston-prism 等）、lint 系（lint-builders・ts-eslinter・npm-eslint-helper・bn-eslint.js 等の変種多数）、tailwindcss 偽プラグイン（tailwindcss-framer-motion・tailwind-fonttype-inter 等）、express 系（express-guardian・express-session-js・dotenv-express）、BigInt/bn.js 系（ether-bn.js・next-bn.js・hjs-biginteger・st-biginteger 等）、chai 系（chai-as-init・chai-guard 等）、nodemailer（fastnodemailer）・morgan（older_morgan）
- win32-x64 バイナリ風命名：taskforge-md-win32-x64・dirlens-bin-win32-x64
- github エコシステムの検出が1件（tsenst/RLOFLib）。リポジトリ単位の検出がフィードに載るのは珍しい
- Baileys（WhatsApp）系の新スコープ：@alannxd/baileys・@alannxd/libsignal-node（6月の @ibrahim1337/baksen と同系統）
- 継続：polymarket-onchain-sdk・polymarket-onchain-plugin、@bittensormcp/sign、@bobfrankston（rmfmail・rmf-tiny）、chrome mybib（7/2 に続く）、firefox vouch-verifier（7/3 に続く）、vscode jolars.badness（7/1 に続く）、darkglitch（pypi）。pypi kisama と npm kisama-js のペア投稿
注意点（3つ）
- n8n-mcp に Critical（score 99、IDOR）。ワークフロー自動化 n8n を MCP 経由で AI エージェントに繋ぐパッケージで、7/1 の rmcp（Rust MCP SDK）GHSA 3連に続き、MCP レイヤの深刻度の高い公開が1週間で2度目。MCP サーバを常設している構成は、SDK・コネクタ両方の棚卸しを。
- @fastify/middie の Critical（Authorization Bypass、score 91）＋High（DoS）。fastify で Express ミドルウェアを使うための公式パッケージで、認可をミドルウェア層で行っている API はバイパスの影響が直撃する。fastify 本体ではなくプラグインの更新確認を。
- malware 203 unique の中身は「攻撃の高度化」ではなく 6/29 型のフラッディング再来。ロガー・lint・tailwind・BigInt 系という「AI コード生成が提案しがちな、ありそうで存在しない名前」の面展開で、install 前の名前実在確認と Safe Chain 等のデフォルト 48時間隔離が引き続き最も効く対策。
連続性メモ
- 2026/07/02：脆弱性 41件（aws-cdk-lib OS Command Injection 3エコシステム・Elixir mdex 10 CVE・Drupal 5件／Pre-CVE 22）、malware 80件（Epic Games／Unreal Engine 標的の依存混乱クラスタ・@bobfrankston/mailx 8件）
- 2026/07/03：脆弱性 14件（composer 本体に GHSA 3連 High 含む／Pre-CVE 10 に @clerk/express・electron・quick-xml High）、malware 77件（SQL 系スコープ群・react-v17 バージョン名 typosquat）
- 2026/07/04：脆弱性 2件（土曜に erlang/OTP High 2連＝週末ゼロパターン破り）、malware 35件（ruby OTel exporter 偽装・golang mallcop）
- 2026/07/05：脆弱性 0件（日曜ゼロ）、malware 25件（直近最少域、base58/Solana クラスタ再来・@adobesign スコープ詐称）
- 2026/07/06：脆弱性 56件（週明け急増で直近最多、n8n-mcp Critical・@fastify/middie Critical＋High／Pre-CVE 42 に mariadb High SQLi・@openai/codex 再登録）、malware 203件（6/29 型の npm 短名フラッディング再来）