数字
| 項目 | 07-10 | 07-11 | 07-12 | 07-13 | 07-14 |
|---|
| Critical | 4 | 0 | 0 | 0 | 1 |
| High | 12 | 0 | 0 | 1 | 2 |
| Medium | 14 | 0 | 0 | 2 | 1 |
| Low | 2 | 0 | 0 | 0 | 1 |
| Pre-CVE | 3 | 0 | 0 | 12 | 2 |
| Malware (24h, unique) | 252 | 42 | 47 | 285 | 176 |
列見出しはデータ日（脆弱性は公開日、malware は検出日）。CVE/GHSA の severity 行は CVE/GHSA 付与分のみ計上、Pre-CVE は別行。本レポート（7/15 発行）のスコープは 7/14 分。
新規観測（事実のみ）
脆弱性（7/14 公開、計7件）
CVE/GHSA（5件）
- Critical：anyio（Python、GHSA-82r6-8w77-94w6、Improper Certificate Validation、93）
- High：dulwich（Python、GHSA-8mcx-5rqc-vhmf、Path Traversal、88）、toml（JS、GHSA-82x6-q7mm-w9cf、Uncontrolled Recursion、75）
- Medium：dulwich（Python、GHSA-35mr-4567-66vg、DoS、65）
- Low：postgrex（Elixir、CVE-2026-58225、SQL Injection、21）
Pre-CVE（2件）
- Medium：rustybuzz（Rust、50）
- Low：zlib-rs（Rust、15）
Malware（7/14 検出、176 unique／生248）
- エコシステム内訳（生）：npm 210 ／ pypi 22 ／ vscode 8 ／ firefox 4 ／ nuget 3 ／ chrome 1
- web3/eth 系 crypto typosquat の波：@web3-helpers/core（7本）・abi-encode（5本）・base58-utils（5本）・eth-dev（5本）・eth-wallet-helpers・chain-sdk-js・crypto-validate-lib
- axios-test-one（8本）・bingo-ai（9本）継続。@elnora-ai・ai-pro-sdk など AI 便乗、@asyncapi スコープ詐称5件
- nuget：AElf.AElfNode.EventHandler 系（ブロックチェーン AElf 関連）3件。vscode 拡張 8件（生）
注意点（3つ）
- anyio（Python）の Critical。FastAPI・httpx・Starlette 等の依存として間接的に入っている環境が非常に多い。pip の依存ツリーを確認し、修正版へ優先更新を。
- dulwich（純 Python の Git 実装）に High（Path Traversal）＋ Medium（DoS）。dulwich でリポジトリを開く／クローンするツールは悪意あるリポジトリで書き込みが発生し得るため要更新。JS 側は toml の High（再帰による DoS）。
- malware は web3/eth 系 typosquat が集中（@web3-helpers・abi-encode・base58-utils・eth-* 群、nuget の AElf 系まで言語横断）。Web3 開発環境では依存追加時の名前確認と install 時スキャンを徹底。
連続性メモ
- 2026/07/10：脆弱性 35件（@microsoft/kiota Critical 3・keycloak 多数・ruflo Critical／Pre-CVE 3）、malware 252件（npm ほぼ全ユニークの名前散布、Chrome 拡張偽装）
- 2026/07/11：脆弱性 0件（週末）、malware 42件（bingo-ai・jscrambler／google-caja-bower ブランド詐称、VS Code 拡張3種）
- 2026/07/12：脆弱性 0件（週末）、malware 47件（@bobfrankston mail 群 16件・pypi crypto 系 typosquat 30件）
- 2026/07/13：脆弱性 15件（adm-zip High／Pre-CVE 12）、malware 285件（node-fsagent 183 バージョン洪水、node-* システムツール偽装群）
- 2026/07/14：脆弱性 7件（anyio Critical・dulwich High／Pre-CVE 2）、malware 176件（web3/eth 系 crypto typosquat の波）