【2026/07/12】Aikido Intel 日次 — 7/11 は週末で脆弱性公開ゼロ。malware は 7/11 検出 42 unique（生78）、bingo-ai 9本・jscrambler／google-caja-bower 偽装、VS Code 拡張3種も

数字

列見出しはデータ日（脆弱性は公開日、malware は検出日）。CVE/GHSA の severity 行は CVE/GHSA 付与分のみ計上、Pre-CVE は別行。本レポート（7/12 発行）のスコープは 7/11 分。7/11 は土曜で脆弱性公開ゼロ（7/5 と同じ週末パターン）。

新規観測（事実のみ）

脆弱性（7/11 公開、計0件）

• CVE/GHSA・Pre-CVE とも公開なし（週末）

Malware（7/11 検出、42 unique／生78）

• エコシステム内訳（生）：npm 52 ／ pypi 13 ／ vscode 6 ／ open_vsx 3 ／ firefox 3 ／ chrome 1
• npm：bingo-ai（9本）・google-caja-bower（7本、Google の旧サニタイザ caja 詐称）・jscrambler（5本、正規難読化ツールのブランド詐称）・terminal-mascot（5本）・babel-preset-lib-client（4本）
• MCP 名を騙る系：local-mcp・sad-mcp（npm）、xtc-app-knowledge-mcp・google-analytics-mcp（pypi、前週から継続）
• IDE 拡張：VS Code 拡張3種（MAI-EngineeringSystems.mai-ai-telemetry・IONDev.iondev・jolars.badness）＋ Open VSX 3件

注意点（3つ）

1. 週末（土曜）で脆弱性公開はゼロ。週明けに公開が集中する傾向（7/7・7/8 参照）があるため、月曜以降の更新確認を。
2. malware は週末も止まらず 42 unique。jscrambler・google-caja-bower など実在ツール／ライブラリ名のブランド詐称が目立つ。名前だけで信頼せず、公式レジストリの発行元を確認のこと。
3. VS Code／Open VSX の拡張に計9件（生）。IDE 拡張はレジストリ審査が緩く、社内配布リストの固定と拡張の自動更新設定の見直しを。

連続性メモ

• 2026/07/07：脆弱性 18件（High 9／Pre-CVE 7）
• 2026/07/08：脆弱性 28件（Pre-CVE 偏重26）
• 2026/07/09：脆弱性 13件（Kiota Builder Critical 3・mcp GHSA 5／Pre-CVE 2）、malware 133件（@wagni_bot／@tailwind-core スコープ大量散布）
• 2026/07/10：脆弱性 35件（@microsoft/kiota Critical 3・keycloak 多数・ruflo Critical／Pre-CVE 3）、malware 252件（npm ほぼ全ユニークの名前散布、Chrome 拡張偽装）
• 2026/07/11：脆弱性 0件（週末）、malware 42件（bingo-ai・jscrambler／google-caja-bower ブランド詐称、VS Code 拡張3種）