【2026/07/16】Aikido Intel 日次 — 7/15 公開50件で Pre-CVE 偏重（40件）、activity_notification（Ruby）Critical・nx（JS）High・Roboflow inference（Python）High。malware は 7/15 検出 99 unique（生137）、ランダム文字列名散布と @bobfrankston 継続

数字

列見出しはデータ日（脆弱性は公開日、malware は検出日）。CVE/GHSA の severity 行は CVE/GHSA 付与分のみ計上、Pre-CVE は別行。本レポート（7/16 発行）のスコープは 7/15 分。

新規観測（事実のみ）

脆弱性（7/15 公開、計50件）

CVE/GHSA（10件）

• Critical：activity_notification（Ruby、GHSA-h5xx-m7vj-5vg2、SQL Injection、98）
• High：nx（JS、GHSA-vp3h-ghgh-jr7g、Path Traversal、87）、inference／inference-sdk（Python、Roboflow、GHSA-hjmm-hr52-vrp2、SSRF、86）、http（Ruby、GHSA-r98x-p6m8-xcrv、SSRF、81）
• Medium：parse-server（JS、GHSA-r2g6-4f6j-f6rf、情報漏えい）、@orpc/server（JS、GHSA-j9v4-rhgr-4m5f）、geopy（Python、GHSA-mhvh-fq92-pfmr、ReDoS）、django-cms（Python、CVE-2026-61663・GHSA-hvq6-2r72-p2x7）

Pre-CVE（40件、シリーズ最多）

• High 相当（8件）：skills（JS、Command Injection、88）、karafka-rdkafka（Ruby、84）、squirrelly（JS、Code Injection、81）、copier（Python、Path Traversal、81）、@zip.js/zip.js（JS、署名検証不備、80）、sagemaker（Python、Code Injection、80）、pycurl（Python、Use-After-Free、70）ほか
• Medium 相当が中心（26件）：@salesforce/core・semantic-release・node-appwrite・@milkdown 3件・thrift・langsmith（XSS）・officeparser・mppx 3件・familia・pbf・httpxy 等
• Low 相当（6件）：@fastify/reply-from・tinyvec・sherpa-onnx 3件（Python/Dart/JS 横断）・react-native-audio-api

Malware（7/15 検出、99 unique／生137）

• エコシステム内訳（生）：npm 115 ／ pypi 12 ／ firefox 7 ／ wordpress 2 ／ vscode 1
• xxdxa（7本）・xdaxx・xxdxax などランダム文字列名の散布。syncgrove／sync-grove の対（ハイフン有無の両取り）
• 継続：@bobfrankston（rmfmail・gcal・msger）、bingo-ai、axios-test-one、xtc-app-knowledge-mcp
• typosquat：@debile/require-dir（require-dir 詐称）、internallib_v907、xyq-drama-skill

注意点（3つ）

1. activity_notification（Rails 向け通知 gem）の Critical SQL Injection（98）。Rails アプリで利用中なら最優先で更新。Ruby は http gem の SSRF（High）もあり、Ruby 界隈が重い日。
2. nx（JS モノレポビルド基盤）の High Path Traversal。CI に深く組み込まれるツールのため影響範囲が広い。Roboflow inference（Python、CV 推論基盤）の SSRF も AI 系スタックでは要確認。
3. Pre-CVE が40件とシリーズ最多（7/8 の26件超え）。CVE 番号付与前でも skills・squirrelly・copier・@zip.js/zip.js など High 相当8件は修正版があれば先行更新を。malware はランダム文字列名（xxdxa 等）の機械的散布が新パターンで、名前に意味がない npm パッケージは原則ブロックの運用を。

連続性メモ

• 2026/07/11：脆弱性 0件（週末）、malware 42件（bingo-ai・jscrambler／google-caja-bower ブランド詐称、VS Code 拡張3種）
• 2026/07/12：脆弱性 0件（週末）、malware 47件（@bobfrankston mail 群 16件・pypi crypto 系 typosquat 30件）
• 2026/07/13：脆弱性 15件（adm-zip High／Pre-CVE 12）、malware 285件（node-fsagent 183 バージョン洪水、node-* システムツール偽装群）
• 2026/07/14：脆弱性 7件（anyio Critical・dulwich High／Pre-CVE 2）、malware 176件（web3/eth 系 crypto typosquat の波）
• 2026/07/15：脆弱性 50件（Pre-CVE 偏重40・activity_notification Critical・nx High）、malware 99件（ランダム文字列名散布・@bobfrankston 継続）