数字
| 項目 | 07-09 | 07-10 | 07-11 | 07-12 | 07-13 |
|---|
| Critical | 3 | 4 | 0 | 0 | 0 |
| High | 4 | 12 | 0 | 0 | 1 |
| Medium | 4 | 14 | 0 | 0 | 2 |
| Low | 0 | 2 | 0 | 0 | 0 |
| Pre-CVE | 2 | 3 | 0 | 0 | 12 |
| Malware (24h, unique) | 133 | 252 | 42 | 47 | 285 |
列見出しはデータ日（脆弱性は公開日、malware は検出日）。CVE/GHSA の severity 行は CVE/GHSA 付与分のみ計上、Pre-CVE は別行。本レポート（7/14 発行）のスコープは 7/13 分。
新規観測（事実のみ）
脆弱性（7/13 公開、計15件）
CVE/GHSA（3件）
- High：adm-zip（JS、CVE-2026-39244、DoS）
- Medium：mediasoup（JS、CVE-2026-55663、Authentication Bypass）、log4j-api（Java、CVE-2026-49844、Improper Output Encoding）
Pre-CVE（12件）
- High 相当：expo-file-system（JS、Path Traversal、79）、open（Rust、Command Injection、78）、coverage（Python、XSS、76）
- Medium 相当：der（Rust、53）、spatie/laravel-honeypot（PHP、53）、markdown-it-py（Python、53）、dns2（JS、46）、usearch（Python、45）
- Low 相当：@ui5/webcomponents-base（JS、35）、miden-crypto（Rust、35）、bytes（Rust、30）、crossbeam-epoch（Rust、15）
Malware（7/13 検出、285 unique／生541）
- エコシステム内訳（生）：npm 515 ／ pypi 16 ／ firefox 6 ／ vscode 4
- シリーズ最大の生541。node-fsagent の単一名に 183 バージョンを詰めた洪水が突出。markable-table・node-procmetrics 各10本、node-fsmetrics-data・node-sysmon-native などシステム監視風の名前群
- 組織スコープ詐称：@gt-test-exp に13件。type-context（5本）など type-* typosquat、stella-coder・akm-cli
- 継続：bingo-ai（7本）・@bobfrankston（rmfmail 6本・msger 3本）・xtc-app-knowledge-mcp（pypi）
注意点（3つ）
- adm-zip（JS）の High（CVE-2026-39244、DoS）。zip 処理は CI／サーバサイドで広く使われるため、依存ツリーに入っていないか確認を。mediasoup（WebRTC SFU）の認証バイパスは外部公開サーバで優先対応。
- Pre-CVE 12件のうち High 相当が3件（expo-file-system・open・coverage）。CVE 番号待ちの段階でもフィード上で修正版が示されているものは先行更新を検討。Rust クレート（der・bytes・crossbeam-epoch 等）が多い日で、cargo audit の実行を。
- malware 生541はシリーズ最大だが、node-fsagent 1名で183本を占める（バージョン洪水）。unique でも285と最大。「node-*」でシステムツール風を装う一群が新出しており、名前の雰囲気だけで信用しないこと。週末検出分の反映も含まれるため、7/11-7/13 に install した依存の再スキャン推奨。
連続性メモ
- 2026/07/09：脆弱性 13件（Kiota Builder Critical 3・mcp GHSA 5／Pre-CVE 2）、malware 133件（@wagni_bot／@tailwind-core スコープ大量散布）
- 2026/07/10：脆弱性 35件（@microsoft/kiota Critical 3・keycloak 多数・ruflo Critical／Pre-CVE 3）、malware 252件（npm ほぼ全ユニークの名前散布、Chrome 拡張偽装）
- 2026/07/11：脆弱性 0件（週末）、malware 42件（bingo-ai・jscrambler／google-caja-bower ブランド詐称、VS Code 拡張3種）
- 2026/07/12：脆弱性 0件（週末）、malware 47件（@bobfrankston mail 群 16件・pypi crypto 系 typosquat 30件）
- 2026/07/13：脆弱性 15件（adm-zip High／Pre-CVE 12）、malware 285件（node-fsagent 183 バージョン洪水、node-* システムツール偽装群）