数字
| 項目 | 07-06 | 07-07 | 07-08 | 07-09 | 07-10 |
|---|
| Critical | 2 | 0 | 0 | 3 | 4 |
| High | 7 | 9 | 1 | 4 | 12 |
| Medium | 5 | 1 | 1 | 4 | 14 |
| Low | 0 | 1 | 0 | 0 | 2 |
| Pre-CVE | 42 | 7 | 26 | 2 | 3 |
| Malware (24h, unique) | 203 | 86 | 56 | 133 | 252 |
列見出しはデータ日（脆弱性は公開日、malware は検出日）。CVE/GHSA の severity 行は CVE/GHSA 付与分のみ計上、Pre-CVE は別行。本レポート（7/11 発行）のスコープは 7/10 分。7/9・7/10 の malware 内訳は本文参照。
新規観測（事実のみ）
脆弱性（7/10 公開、計35件）
CVE/GHSA（32件）
- Critical：@microsoft/kiota（JS）3件（CVE-2026-59864・59865・59866）、ruflo（JS、CVE-2026-59726）
- High：@microsoft/kiota（JS、CVE-2026-59863・59867）、pyasn1（Python、CVE-2026-59884・59885・59886）、@zereight/mcp-gitlab（JS、GHSA-5648-rgj9-v224）、keycloak-services／keycloak-policy-enforcer（Java、CVE-2026-9800 ほか CVE-2026-9099・9086・11800 等）
- Medium：plug（Elixir、CVE-2026-56814）、keycloak-services（Java、CVE-2026-9083・9705・9799）、cakephp/twig-view（PHP、CVE-2026-59191・59192）、drupal/commerce 系 ほか
- Low：plug（Elixir、CVE-2026-56813）、ほか1件
Pre-CVE（3件）
- 依存関係の Pre-CVE 3件（詳細はフィード参照）
（注：Keycloak は複数 CVE の協調リリースで、services／policy-enforcer にまたがる。CVE 番号は本文記載分が主要なもの）
Malware（7/10 検出、252 unique／生271）
- エコシステム内訳（生）：npm 264 ／ nuget 3 ／ chrome 2 ／ open_vsx 1 ／ pypi 1
- npm が 247 unique と急増（生264 に対しほぼ全ユニーク＝広範な名前散布）。dowload-（7、download の typo）、type-（5）、chai-・polymarket-・nodemon-* typosquat 群
- 組織スコープ詐称（依存混乱）：@luminarycloudinternal・@att-ebiz・@amtrav・@higherlogic・@genie-auth 等の企業スコープに散布
- Chrome 拡張：Prime Party／Netflix Picture-in-Picture 偽装（前週の Netflix 系偽装の継続）。nuget：dependencyinjector.core
注意点（3つ）
- 7/10 は Critical 4・High 12・Medium 14 の重い日。@microsoft/kiota（JS）で前日の .NET 版に続き Critical 3本、ruflo（JS）も Critical。Kiota を使うプロジェクトは .NET／JS 双方で更新を。
- 認証基盤 Keycloak（Java）に CVE が多数（services／policy-enforcer、High 複数・CVE-2026-9800 等）。Keycloak を IdP に使う環境は SA を確認し優先更新。pyasn1（Python、High 3）・plug（Elixir）・cakephp/twig-view（PHP）と、言語横断で広範。
- malware は 252 unique（生271）とシリーズ最大級で、npm ほぼ全ユニークの名前散布型。dowload-* など download の typo や企業スコープ詐称（@luminarycloudinternal・@att-ebiz 等）が目立つ。Chrome 拡張の偽装（Prime Party／Netflix PiP）も継続。install 時スキャンと取得元の厳格化を。
連続性メモ
- 2026/07/06：脆弱性 56件（週明け急増、n8n-mcp Critical 99・@fastify/middie Critical／Pre-CVE 42）、malware 203件（npm 短名フラッディング再来）
- 2026/07/07：脆弱性 18件（High 9／Pre-CVE 7）、malware 86件
- 2026/07/08：脆弱性 28件（Pre-CVE 偏重26）、malware 56件
- 2026/07/09：脆弱性 13件（Kiota Builder Critical 3・mcp GHSA 5／Pre-CVE 2）、malware 133件（@wagni_bot／@tailwind-core スコープ大量散布）
- 2026/07/10：脆弱性 35件（@microsoft/kiota Critical 3・keycloak 多数・ruflo Critical／Pre-CVE 3）、malware 252件（npm ほぼ全ユニークの名前散布、Chrome 拡張偽装）