数字
| 項目 | 07-05 | 07-06 | 07-07 | 07-08 | 07-09 |
|---|
| Critical | 0 | 2 | 0 | 0 | 3 |
| High | 0 | 7 | 9 | 1 | 4 |
| Medium | 0 | 5 | 1 | 1 | 4 |
| Low | 0 | 0 | 1 | 0 | 0 |
| Pre-CVE | 0 | 42 | 7 | 26 | 2 |
| Malware (24h, unique) | 25 | 203 | 86 | 56 | 133 |
列見出しはデータ日（脆弱性は公開日、malware は検出日）。CVE/GHSA の severity 行は CVE/GHSA 付与分のみ計上、Pre-CVE は別行。7/5 は週末で脆弱性ゼロ。本レポート（7/10 発行）のスコープは 7/9 分。
新規観測（事実のみ）
脆弱性（7/9 公開、計13件）
CVE/GHSA（11件）
- Critical：Microsoft.OpenApi.Kiota.Builder（.NET）3件（CVE-2026-59864・59865・59866）
- High：Microsoft.OpenApi.Kiota.Builder（.NET、CVE-2026-59867）、mcp（Ruby、GHSA-5p9g-j988-pcwv・GHSA-h669-8m4g-r2hc）
- Medium：Microsoft.OpenApi.Kiota（.NET、GHSA-p5rm-jg5c-8c77）、mcp（Ruby、GHSA-52jp-gj8w-j6xh・GHSA-7683-3w9x-ch42・GHSA-rjr6-rcgv-9m7m）
Pre-CVE（2件）
- Medium：banks（Python、59）
- Low：simd-json（Rust、20）
Malware（7/9 検出、133 unique／生264）
- エコシステム内訳（生）：npm 247 ／ pypi 5 ／ open_vsx 5 ／ firefox 4 ／ vscode 1 ／ nuget 1 ／ wordpress 1
- npm が 123 unique。組織スコープ詐称（依存混乱）の大量散布が突出：@wagni_bot に25個・@tailwind-core に21個
- crypto：polymarket-（5）。継続：@bobfrankston の mail 群（rmfmail・rmf-tiny・msger）、chai-・cookie-* typosquat
注意点（3つ）
- Microsoft の Kiota（OpenAPI からのコード生成基盤）に Critical 3本を含む CVE 群。Kiota Builder を CI／ビルドに組み込んでいる環境は優先で更新を。翌 7/10 には JS 版 @microsoft/kiota でも Critical が公開されており、.NET／JS 双方で対応が要る。
- Ruby の mcp（Model Context Protocol 実装）に GHSA 5件（High 2・Medium 3）。MCP サーバ／クライアントを Ruby で実装している場合は該当バージョンを確認。
- malware は 133 unique と多め。@wagni_bot・@tailwind-core など単一スコープに数十個を散布する依存混乱型が目立つ。社内で類似スコープ名を使う組織は名前衝突に注意し、install 時スキャンとレジストリ取得元の厳格化を。
連続性メモ
- 2026/07/06：脆弱性 56件（週明け急増、n8n-mcp Critical 99・@fastify/middie Critical／Pre-CVE 42）、malware 203件（npm 短名フラッディング再来）
- 2026/07/07：脆弱性 18件（High 9／Pre-CVE 7）、malware 86件
- 2026/07/08：脆弱性 28件（Pre-CVE 偏重26）、malware 56件
- 2026/07/09：脆弱性 13件（Kiota Builder Critical 3・mcp GHSA 5／Pre-CVE 2）、malware 133件（@wagni_bot／@tailwind-core スコープ大量散布）
- 2026/07/10：脆弱性 35件（@microsoft/kiota Critical 3・keycloak 多数・ruflo Critical／Pre-CVE 3）、malware 252件（npm ほぼ全ユニークの名前散布、Chrome 拡張偽装）