数字
| 項目 | 07-19 | 07-20 | 07-21 | 07-22 | 07-23 |
|---|
| Critical | 0 | 3 | 0 | 0 | 0 |
| High | 1 | 6 | 1 | 0 | 10 |
| Medium | 0 | 12 | 3 | 0 | 2 |
| Low | 0 | 0 | 0 | 0 | 0 |
| Pre-CVE | 0 | 25 | 17 | 0 | 9 |
| Malware (24h, unique) | 42 | 219※ | 91 | 87※ | —※ |
列見出しはデータ日(脆弱性は公開日、malware は検出日)。CVE/GHSA の severity 行は CVE/GHSA 付与分のみ計上、Pre-CVE は別行。本レポート(7/24号)のスコープは 7/23 分。過去日(07-19〜07-22)は発行済み各号の確定値を再掲(フィードは事後に増減するため再集計しない)。
※ 07-20 の 219 unique にはセキュリティリサーチャー系の大量投稿を含む(7/21号注記)。07-22 の 87 は 7/23号確定値。
※ 07-23 の Malware は Aikido 公開フィードが空応答(intel.aikido.dev のサイト表示も「No malware found」)のため欠測(—)。フィード復旧・遡及確定後に後日号で注記付き再掲する。トップレベルの malwareCount は暫定 0 を格納。
※ 本号はネットワーク障害により定刻(7/24 7:00 JST)に発行できず、7/25 朝に遡及発行。集計スナップショットは 2026-07-24 23:15 UTC 頃。
新規観測(事実のみ)
脆弱性(7/23 公開、計21件)
CVE/GHSA 付与分 12件(High 10 / Medium 2):
- CVE-2026-15074 — @fastify/static (JS) High 75 / Path Traversal / patch 10.1.1
- CVE-2026-7120 — @fastify/static (JS) Medium 53 / Authorization Bypass / patch 10.1.2
- CVE-2026-47219 — find-my-way (JS) High 75 / DoS / patch 9.7.0
- GHSA-3f6p-5ww8-9rcr — mysql2 (JS) High 75 / Insufficiently Protected Credentials / patch 3.22.0
- CVE-2026-44907 — react-server-dom-turbopack (JS) High 75 / DoS / patch 19.0.8
- CVE-2026-44907 — react-server-dom-parcel (JS) High 75 / DoS / patch 19.0.8
- GHSA-j7xr-4g94-r9h3 — graphql (RUBY) High 75 / Authorization Bypass / patch 2.6.6
- CVE-2026-59931 — phpoffice/phpspreadsheet (PHP) High 77 / SSRF / patch 5.8.1
- CVE-2026-59932 — phpoffice/phpspreadsheet (PHP) High 75 / DoS / patch 5.8.1
- CVE-2026-59933 — phpoffice/phpspreadsheet (PHP) High 75 / DoS / patch 5.8.1
- GHSA-cm62-gvxx-vmxx — dulwich (PYTHON) High 86 / Path Traversal / patch 1.2.8
- CVE-2023-48230 — workerd (JS) Medium 59 / Buffer Underflow / patch 1.20231121.0
Pre-CVE(AIKIDO 独自・CVE 未付与)9件:
- srvx (JS) Medium 65 / Improper Access Control / 0.12.0、同 Medium 59 / Information Disclosure / 0.12.0
- modern-tar (JS) High 75 / Path Traversal / 0.7.7
- monocart-reporter (JS) Medium 59 / XSS / 2.12.3
- react-email (JS) Medium 59 / XSS / 6.6.7
- aws/aws-sdk-php (PHP) Medium 55 / Path Traversal / 3.388.12
- pubnub (RUBY) Medium 59 / DoS / 6.1.1
- rapidhash (RUST) Medium 40 / Insufficiently Random Values / 4.5.0
- launchdarkly/server-sdk (PHP) Low 25 / Information Exposure / 6.8.2
Malware(7/23 検出、欠測 — フィード停止)
Aikido の公開フィード listLatestMalwarePredictions が空応答(全エコシステム合計で残存2行のみ、いずれも過去検出分)。intel.aikido.dev の Malware ページも「No malware found」を表示しており、フィード側の停止/リセットと判断。7/23 分の unique/生件数は集計不能のため欠測とし、復旧後に遡及確定する(07-18 の 48※ バックフィルと同じ扱い)。エコシステム内訳も同様に欠測。
注意点(3つ)
- Malware フィード停止による欠測 — 7/23 の malware 数値は「ゼロ」ではなく「計測不能」。復旧後にバックフィルされる可能性が高く、本表の —※ は後日号で遡及確定値に置き換えて注記する。前号までの命名クラスタ(@copilot-mcp/apex、megan-baileys、@bobfrankston、暗号資産系 evm-validation/wallet-analytics/rabet-kit-win32-x64/keyhog-verifier/encryptstring 等)の継続判定もフィード復旧まで保留。
- 7/22 ゼロの原因が確定 — CVE フィードは 7/21 20:54 UTC〜7/23 09:36 UTC の約37時間、公開が完全停止していた。7/22 の全ゼロは公開ラグではなくフィード側の停止。7/22 分は現時点でも遡及追加ゼロだが、今後の backfill に引き続き注意。
- Web/JS インフラ系 High の集中 — fastify 系(@fastify/static・find-my-way)、mysql2、React Server Components 系、phpspreadsheet 3連、dulwich(86点)と、認可バイパス/Path Traversal/DoS がサーバサイド定番ライブラリに集中。該当バージョンは patch_versions へ即時更新を推奨。
連続性メモ
- 07-19(日): 週末につき脆弱性公開ゼロ、malware 42 unique。
- 07-20(月): 月曜ラッシュ(C3/H6/M12/Pre-CVE 25)、malware 219 unique※(リサーチャー系大量投稿含む)。
- 07-21(火): H1/M3/Pre-CVE 17、malware 91 unique。20:54 UTC を最後に CVE 公開が停止。
- 07-22(水): 脆弱性公開ゼロ(フィード停止によるものと本号で確定)、malware 87 unique※。
- 07-23(木): 09:36 UTC に CVE 公開再開、計21件(H10/M2/Pre9)。malware はフィード空応答につき欠測(遡及確定待ち)。本号は障害により 7/25 朝に遡及発行。