数字
| 項目 | 07-08 | 07-09 | 07-10 | 07-11 | 07-12 |
|---|
| Critical | 0 | 3 | 4 | 0 | 0 |
| High | 1 | 4 | 12 | 0 | 0 |
| Medium | 1 | 4 | 14 | 0 | 0 |
| Low | 0 | 0 | 2 | 0 | 0 |
| Pre-CVE | 26 | 2 | 3 | 0 | 0 |
| Malware (24h, unique) | — | 133 | 252 | 42 | 47 |
列見出しはデータ日（脆弱性は公開日、malware は検出日）。CVE/GHSA の severity 行は CVE/GHSA 付与分のみ計上、Pre-CVE は別行。本レポート（7/13 発行）のスコープは 7/12 分。7/11・7/12 と週末2日連続で脆弱性公開ゼロ。
新規観測（事実のみ）
脆弱性（7/12 公開、計0件）
- CVE/GHSA・Pre-CVE とも公開なし（週末2日目）
Malware（7/12 検出、47 unique／生81）
- エコシステム内訳（生）：npm 47 ／ pypi 30 ／ vscode 3 ／ wordpress 1
- npm：bingo-ai（13本）が最多で継続。@bobfrankston スコープに 16件（rmfmail 8本・mailx-imap 2本・msger ほか）— 前週からの mail 群の継続
- pypi が 30件と多め。crypto 系 typosquat が集中：metemask-sdk（MetaMask の typo）・jupiter-sdk・py-base58・solidity-dev・defi-tools・eth-agent
- AI/MCP 便乗の継続：gptcore・google-analytics-mcp・xtc-app-knowledge-mcp。ほかに vuln-package（4本）・twilio-voice-notification-serverstarter-node など
注意点（3つ）
- 週末2日連続で脆弱性公開ゼロ。休み明け 7/13（月）以降にベンダーの協調リリースが集中しやすい。月曜の SA／フィード確認を優先的に。
- pypi の crypto 系 typosquat が1日で 30件（生）と急増。metemask-sdk など Web3 開発者を狙った名前が中心。ウォレット・チェーン関連の依存追加時はパッケージ名のスペルと発行元を必ず確認。
- @bobfrankston の mail 群が週をまたいで継続（累計で rmfmail・rmf-tiny・msger・mailx-imap 等）。同一アクターによる持続的な散布とみられ、該当スコープのパッケージは install 前にブロック推奨。
連続性メモ
- 2026/07/08：脆弱性 28件（Pre-CVE 偏重26）
- 2026/07/09：脆弱性 13件（Kiota Builder Critical 3・mcp GHSA 5／Pre-CVE 2）、malware 133件（@wagni_bot／@tailwind-core スコープ大量散布）
- 2026/07/10：脆弱性 35件（@microsoft/kiota Critical 3・keycloak 多数・ruflo Critical／Pre-CVE 3）、malware 252件（npm ほぼ全ユニークの名前散布、Chrome 拡張偽装）
- 2026/07/11：脆弱性 0件（週末）、malware 42件（bingo-ai・jscrambler／google-caja-bower ブランド詐称、VS Code 拡張3種）
- 2026/07/12：脆弱性 0件（週末）、malware 47件（@bobfrankston mail 群 16件・pypi crypto 系 typosquat 30件）