数字
| 項目 | 07-16 | 07-17 | 07-18 | 07-19 | 07-20 |
|---|
| Critical | 0 | 1 | 0 | 0 | 3 |
| High | 1 | 5 | 4 | 1 | 6 |
| Medium | 6 | 3 | 0 | 0 | 12 |
| Low | 1 | 1 | 0 | 0 | 0 |
| Pre-CVE | 3 | 11 | 0 | 0 | 25 |
| Malware (24h, unique) | 92※ | 59※ | 48※ | 42 | 219※ |
列見出しはデータ日（脆弱性は公開日、malware は検出日）。CVE/GHSA の severity 行は CVE/GHSA 付与分のみ計上、Pre-CVE は別行。本レポート（7/21 号・7/22 遅延発行）のスコープは 7/20 分。
※ 07-16〜07-18 の malware は遡及集計（7/17・7/18 は投入再開後のバックフィルにより 7/20 号で遡及確定した値）。07-20 の 219 unique には、セキュリティベンダのテスト/研究由来とみられる @gocortexio/npmgremlinbox-* 約90件を含む（除外すると約130 unique）。
新規観測（事実のみ）
脆弱性（7/20 公開、計46件）
CVE/GHSA 紐付き（21件: Critical 3・High 6・Medium 12）
- suneditor（JS）Critical 100 — XSS（CVE-2026-59167）→ 修正 2.47.11
- roots/wordpress（PHP）Critical 97 — RCE（CVE-2026-63030）＋ High 78 SQLi（CVE-2026-60137）→ 修正 6.8.6 / 6.9.5 / 7.0.2。7/17 の johnpbloch/wordpress-core と同一 CVE の別配布チャネル（Composer 系 WP はどちらの経路でも要更新）
- ueberauth_apple（Elixir）Critical 91 — Authentication Bypass by Spoofing（CVE-2026-55954）→ 修正 0.6.2
- @fastify/reply-from（JS）High 87 — Confused Deputy（CVE-2026-16158、URL キャッシュキーの区切り欠落）→ 修正 12.6.4
- f5-tts（Python）High 82 — Path Traversal（CVE-2026-43624）→ 修正 1.1.21
- stanza（Python）High 78 — Path Traversal（CVE-2026-59974）＋ Medium 59 デシリアライズ（GHSA-487q-m798-cp85）→ 修正 1.14.0
- exifreader（JS）High 75 — DoS（GHSA-pj96-35fp-cfcc）→ 修正 4.41.1
- @better-auth/sso（JS）High 71 — Improper Authorization（CVE-2026-53515）→ 修正 1.6.11
- guzzlehttp/guzzle（PHP）Medium ×3 — 情報漏えい×2＋DoS（GHSA-h95v-h523-3mw8 / GHSA-wm3w-8rrp-j577 / GHSA-f283-ghqc-fg79）→ 修正 7.15.1（7/16 の1件に続く追加）
- @tinyhttp（JS）Medium ×3 — app/send DoS（GHSA-w65r-fqv6-q6w9）・app/res Open Redirect（GHSA-8q4p-mhxr-fq83）→ 修正 3.0.9 / 2.2.7 / 2.2.13
- mysql2（JS）Medium 59 — DoS（GHSA-rgwj-5xj2-c3m3）→ 修正 3.23.1
- tar（JS）Medium 53 — DoS（CVE-2026-59871）→ 修正 7.5.18（7/18 の2件に続く3件目）
- suneditor 以外: timm（Python）Medium 50 デシリアライズ、langflow Medium 54 SSRF（CVE-2026-3341→1.9.3）
Pre-CVE（25件: High 2・Medium 19・Low 4）
- pnpm（JS）High 84 — Path Traversal → 修正 10.34.5 / 11.11.0（パッケージマネージャ本体、CI 影響大）
- fumadocs-openapi（JS）High 75 — SSRF → 修正 11.2.2
- Google Genkit 4件: @genkit-ai/core（Access Control 56）・tools-common／telemetry-server（Path Traversal 65）・genkit-cli（30）→ 修正 1.40.0
- MCP 関連: @modelcontextprotocol/inspector-server SSRF 61 → 修正 1.0.0
- anthropic（Python SDK）Medium 53 — 機密情報露出 → 修正 0.117.0
- @sveltejs/kit CSRF 53 → 2.70.0、semantic-release Code Injection 59 → 25.0.8、dulwich ×2（1.2.11）、filelock DoS 55 → 3.30.1、pygeohash バッファオーバーフロー 59 → 3.3.1、ketcher-core XSS 61、otto（Ruby）65、url-metadata 59、headroom-ai 64、sagemaker 35 ほか
Malware（7/20 検出、219 unique／生312）※@gocortexio 群を含む
- エコシステム内訳（生）: npm 227 ／ pypi 55 ／ vscode 14 ／ packagist 11 ／ firefox 5
- @gocortexio/npmgremlinbox-* 約90件の一斉登録: ライセンス名（agpl-3-0・cc-by-sa-4-0 等）・typosquat 名（lodash・react・axios・webpack・express・chalk・moment・commander）・malware-c2-beacon 等の名称で同時刻に大量登録。gocortex.io は Palo Alto Networks Cortex の名義であり、セキュリティベンダのテスト/研究由来の可能性が高い（実害性は低いとみられるが検出としては計上）。除外した実勢は約130 unique
- twilio-* dependency confusion 波: twilio-platform-request・twilio-internal・twilio-serverless・twiliointernal-messaging-toolbox 等、内部パッケージ名を狙う12種超
- markscan／akrai／iphouse 群: npm（@markscan/*・markscan-*）・packagist（markscan/*・akrai/*）を横断する三つ巴のブランド偽装散布
- kimichat／kimitalk（pypi）: Moonshot AI「Kimi」偽装。telebot-bot-run・nemopush も連投
- 継続: bingo-ai 16版・darkglitch 7版・xerohub-discord-voice(-v2)・kordyn／quorvex 等ランダム名群・vscode の markdown.markdown-all-pro 10版・@bobfrankston
- 金融系: commonweb-*／consumerweb-*（決済・ウォレット系内部名）、@car_loans、relativity-*
注意点（3つ）
- suneditor Critical 100 と WordPress コアの別チャネル再公開 — suneditor は WYSIWYG として管理画面组込みが多く、ユーザ入力が通る構成では即時 2.47.11 へ。Composer 系 WordPress は johnpbloch（7/17）に続き roots/wordpress でも同一 RCE/SQLi が公開されており、どちらの配布経路でも 6.8.6 / 6.9.5 / 7.0.2 未満は要更新。
- pnpm の Pre-CVE Path Traversal（84） — パッケージマネージャ本体の脆弱性は CI/開発機全体に効く。10.34.5 / 11.11.0 へ。@fastify/reply-from 87・fast-uri（前日）と併せ fastify/Node 基盤の更新をまとめて。
- 7/20 の malware 急増（219 unique）は内訳の見極めを — 約90件は @gocortexio のテスト由来とみられる一方、twilio-* や金融系内部名の dependency confusion 波は実害志向。社内パッケージと同名の公開パッケージが無いか、スコープ未取得の内部名は特に確認を。
連続性メモ
- 7/16（木）: 計11件、crewai-tools High SSRF。malware 92 unique／生137（遡及集計）。
- 7/17（金）: 計21件、wordpress-core Critical RCE 97。malware 59 unique／生175【遡及確定】— bingo-ai 24版・n8n-nodes-* 大量連投。
- 7/18（土）: 計4件・全件 High 75（engine.io ×2・tar ×2）。malware 48 unique／生107【遡及確定】。
- 7/19（日）: 計1件（fast-uri High SSRF 84）。malware 42 unique／生75 — @bobfrankston 面的拡大・megan-baileys 再来。
- 7/20（月）: 計46件（CVE/GHSA 21・Pre-CVE 25）・Critical 3（suneditor 100・roots/wordpress 97・ueberauth_apple 91）。malware 219 unique／生312 — @gocortexio 研究群約90件を含む。実勢約130、twilio-* dependency confusion 波・kimichat／kimitalk。