数字
| 項目 | 7/3 | 7/4 | 7/5 | 7/6 | 7/7 |
|---|
| Critical | 0 | 0 | 0 | 2 | 0 |
| High | 1 | 2 | 0 | 7 | 9 |
| Medium | 3 | 0 | 0 | 5 | 1 |
| Low | 0 | 0 | 0 | 0 | 1 |
| Pre-CVE | 10 | 0 | 0 | 42 | 7 |
| Malware (24h, unique) | 77 | 35 | 25 | 203 | 86 |
列見出しはデータ日（脆弱性は公開日、malware は検出日）。CVE/GHSA の severity 行は CVE/GHSA 付与分のみ計上、Pre-CVE は別行。本レポート（7/8 発行）のスコープは 7/7（火）分。件数は18件と落ち着いたが CVE/GHSA の High 9件は直近数週間で最多。malware は前日の 203 から 86 unique に収束。
新規観測（事実のみ）
脆弱性（7/7 公開、計18件。High 9 は直近最多）
CVE/GHSA（11件）
- High：ansible-core（Python、CVE-2026-11332、score 78、引数区切り文字の不適切な無害化）、pillow（Python、CVE-2026-54059、score 75、過大サイズのメモリ確保）、mlflow（Python、CVE-2026-8147、score 81、Improper Access Control）、wasmtime（Python バインディング、CVE-2026-47261、score 75、Improper Access Control）、dulwich（Python、GHSA-8w8g-wq8h-fq33＝リンク解決不備・GHSA-5fqc-mrg8-w798＝Path Traversal の2連、いずれも score 86）、hpax（Elixir、CVE-2026-58226、score 87、非効率なアルゴリズム複雑性）、mint（Elixir、CVE-2026-56810、score 87、DoS）、@nuxtjs/mdc（JS、GHSA-mxm6-v9r6-r94c、score 81、XSS）
- Medium：js-yaml（JS、GHSA-724g-mxrg-4qvm、DoS）
- Low：swoosh（Elixir、CVE-2026-54893、SSRF）
Pre-CVE（7件）
- Medium：datadog/dd-trace（PHP、59、ReDoS。前日の CVE 化に続き別件）、apprise（Python、45、証明書検証不備）、webauthn（Python、43、入力検証不備）、awswrangler（Python、50、入力検証不備）
- Low：undici（JS、37、DoS）、openhands-sdk（Python、38、機微情報露出。連日の登録）、crossbeam-epoch（Rust、15、Null Pointer Dereference）
Malware（7/7 検出、86 unique／生91）
- エコシステム内訳（生）：npm 89 ／ pypi 1 ／ firefox 1。前日の 203 unique（短名フラッディング）から収束したが、通常域（直近中央値 70〜80）のやや上
- base58／Solana クラスタが再々来：base58-cli・solana-address-codec・crypto-base58・base58-core（7/5 と同名の再検出）＋新顔 typescript-base58
- SQL 系スコープ群が再来（7/3 に続く）：@sqlite-list（sql-creator・createsql・schema-generator）・@sqlite-access/nodesql
- vite 偽スコープの新群：@vite-js/ui・@vite-ln/build-ts・@vite-tab/tab
- whs4／wsh4 の文字入れ替え連番 6件（whs4_npm・wsh4_npm・wsh4-nmp・whs4_nmp 等）
- vps-maintenance／paperclip 系再来（7/4 に続く）：vps-maintenance・vps-adapter-core・vps-maintenance-paperclip-adapter・paperclip-host-utils・paperclip2
- AI 系の新顔：@langgraphjs/toolkit（LangGraph を騙る偽スコープ）。gen-ai-opt-in は継続
- win32-x64 バイナリ風命名継続：ruleman-win32-x64-msvc・sail-sdk-win32-x64-msvc
- 継続：@bobfrankston 4件（rmfmail・mailx-store-web・mailx-imap・mailx-settings）、zod-pino434／444、firefox vouch-verifier、shopify-internel、tx-guard-snap・evm-typechain（web3）、debugcli・hello244a／b・mongoose-lean-hooks・chai 系
注意点（3つ）
- Python の運用・ML 基盤に High が集中。ansible-core（構成管理）、pillow（画像処理の最普及層）、mlflow（MLOps）、wasmtime、dulwich（pure-Python Git）と、CI/CD・MLOps 環境の中で動くものばかり。アプリ依存だけでなく、パイプライン側の requirements の棚卸しを。
- dulwich は 7/1 に Pre-CVE（Path Traversal、score 53）として検出済みで、7/7 に GHSA 2連・score 86 として正式化・昇格した。Pre-CVE 段階で対処していれば6日先行できた実例で、Pre-CVE を「まだ CVE ではない」と後回しにしない運用の根拠になる。
- malware は 86 unique に収束したが、中身は base58／Solana・SQL スコープ・vps／paperclip・vite 偽スコープと「一度消えた名前の再来」が同日に揃った。削除→同名再公開の持続型が定着しており、名前単位のブロックではなく検出フィード連動の隔離（Safe Chain のデフォルト 48時間等)を。LangGraph を騙る @langgraphjs/toolkit のような AI 開発者狙いの新顔にも注意。
連続性メモ
- 2026/07/03：脆弱性 14件（composer 本体に GHSA 3連 High 含む／Pre-CVE 10 に @clerk/express・electron・quick-xml High）、malware 77件（SQL 系スコープ群・react-v17 バージョン名 typosquat）
- 2026/07/04：脆弱性 2件（土曜に erlang/OTP High 2連＝週末ゼロパターン破り）、malware 35件（ruby OTel exporter 偽装・golang mallcop）
- 2026/07/05：脆弱性 0件（日曜ゼロ）、malware 25件（直近最少域、base58/Solana クラスタ再来・@adobesign スコープ詐称）
- 2026/07/06：脆弱性 56件（週明け急増で直近最多、n8n-mcp Critical score 99・@fastify/middie Critical＋High／Pre-CVE 42 に mariadb High SQLi・@openai/codex 再登録）、malware 203件（6/29 型の npm 短名フラッディング再来）
- 2026/07/07：脆弱性 18件（High 9 は直近最多、ansible-core・pillow・mlflow・dulwich GHSA 2連・Elixir hpax／mint score 87・js-yaml GHSA）、malware 86件（収束、base58/Solana 再々来・@langgraphjs/toolkit の LangGraph 偽装）