数字
| 項目 | 07-20 | 07-21 | 07-22 | 07-23 | 07-24 |
|---|
| Critical | 3 | 0 | 0 | 0 | 0 |
| High | 6 | 1 | 0 | 10 | 9 |
| Medium | 12 | 3 | 0 | 2 | 6 |
| Low | 0 | 0 | 0 | 0 | 0 |
| Pre-CVE | 25 | 17 | 0 | 9 | 5 |
| Malware (24h, unique) | 219※ | 91 | 87※ | —※ | —※ |
列見出しはデータ日(脆弱性は公開日、malware は検出日)。CVE/GHSA の severity 行は CVE/GHSA 付与分のみ計上、Pre-CVE は別行。本レポート(7/25 発行)のスコープは 7/24 分。過去日(07-20〜07-23)は発行済み各号の確定値を再掲(フィードは事後に増減するため再集計しない)。
※ 07-20 の 219 unique にはセキュリティリサーチャー系の大量投稿を含む。
※ 07-23・07-24 の Malware は Aikido 公開フィードが空応答(サイト表示も「No malware found」)のため欠測(—)。フィード復旧・遡及確定後に後日号で注記付き再掲する。トップレベルの malwareCount は暫定 0 を格納。
※ 集計スナップショットは 2026-07-24 23:15 UTC 頃。UTC 日の残り約45分に公開された分は未反映のため、翌号で遡及確認する。
新規観測(事実のみ)
脆弱性(7/24 公開、計20件)
CVE/GHSA 付与分 15件(High 9 / Medium 6):
- CVE-2026-63395 — isomorphic-git (JS) High 88 / Arbitrary File Write / patch 1.38.6
- CVE-2026-55415 — datamodel-code-generator (PYTHON) High 75 / Code Injection / patch 0.64.0
- CVE-2026-54621 — datamodel-code-generator (PYTHON) High 78 / Code Injection / patch 0.60.1
- CVE-2026-55389 — datamodel-code-generator (PYTHON) High 75 / Path Traversal / patch 0.62.0
- CVE-2026-55390 — datamodel-code-generator (PYTHON) High 75 / Path Traversal / patch 0.62.0
- CVE-2026-54673 — builder-util-runtime (JS) High 82 / Exposure of Sensitive Information / patch 9.7.0
- CVE-2026-9323 — urwid (PYTHON) High 81 / Cryptographically Weak PRNG / patch 4.0.1
- CVE-2026-65918 — torchvision (PYTHON) High 71 / Out-of-bounds Read / patch 0.28.0
- GHSA-xwg7-7579-vg67 — braintrust (PYTHON) High 77 / Insertion of Sensitive Information into Log File / patch 0.28.0
- GHSA-qjcq-q7h7-r74v — icalendar (PYTHON) Medium 65 / Uncontrolled Resource Consumption / patch 7.2.1
- GHSA-2vh6-hw4j-32ww — gix-packetline (RUST) Medium 65 / DoS / patch 0.21.5
- GHSA-x27w-589x-frm2 — @astrojs/vercel (JS) Medium 58 / Authorization Bypass / patch 11.0.3
- GHSA-wqjv-9729-c5q2 — @sveltejs/kit (JS) Medium 53 / DoS / patch 2.69.1
- GHSA-866w-xmhq-wj7x — @sveltejs/kit (JS) Medium 43 / Prototype Pollution / patch 2.69.1
- GHSA-j4r3-hg7j-8chg — re2 (JS) Medium 51 / Out-of-bounds Read / patch 1.26.1
Pre-CVE(AIKIDO 独自・CVE 未付与)5件:
- moxcms (RUST) Medium 65 / Out-of-bounds Read / 0.9.0
- astro (JS) Medium 59 / Authorization Bypass / 7.1.1
- rubygems-update (RUBY) Medium 53 / Path Traversal / 4.0.17
- better-auth (JS) Medium 53 / CSRF / 1.6.24
- greenlet (PYTHON) Low 20 / Use After Free / 3.5.4
Malware(7/24 検出、欠測 — フィード停止2日目)
Aikido の公開フィード listLatestMalwarePredictions は引き続き空応答(全エコシステム合計で残存2行のみ、いずれも過去検出分)。intel.aikido.dev の Malware ページも「No malware found」表示のまま。7/24 分の unique/生件数・エコシステム内訳は集計不能のため欠測とし、復旧後に遡及確定する。前号までの命名クラスタ(@copilot-mcp/apex、megan-baileys、@bobfrankston、暗号資産系 evm-validation/wallet-analytics/rabet-kit-win32-x64/keyhog-verifier/encryptstring 等)の継続/再来判定も保留継続。
注意点(3つ)
- datamodel-code-generator に4件集中 — Code Injection 2件(75/78点)+ Path Traversal 2件(75点)。スキーマ→コード生成を CI に組み込んでいる環境は入力スキーマが攻撃面になるため、0.64.0 以上への即時更新を推奨。
- isomorphic-git 連鎖の初動 — 7/24 の Arbitrary File Write(CVE-2026-63395, 88点)に続き、7/25 分として既に Path Traversal(GHSA-6fxm-h49m-4fg3, 88点)・DoS 系(CVE-2026-63475/63476/63478)など5件が公開済み。ブラウザ/Node で git を扱う製品は 1.38.8 まで一気に上げるのが安全(詳細は次号でデータ日分として集計)。
- Malware 欠測2日目 — 7/23・7/24 の malware 数値は「ゼロ」ではなく「計測不能」。Aikido フィード復旧後のバックフィルで両日分を遡及確定し、注記付きで再掲する。復旧確認まで malware 系クラスタの追跡は中断される点に留意。
連続性メモ
- 07-20(月): 月曜ラッシュ(C3/H6/M12/Pre-CVE 25)、malware 219 unique※。
- 07-21(火): H1/M3/Pre-CVE 17、malware 91 unique。20:54 UTC を最後に CVE 公開が停止。
- 07-22(水): 脆弱性公開ゼロ(CVE フィード約37時間停止によるもの)、malware 87 unique※。
- 07-23(木): 09:36 UTC に公開再開、計21件(H10/M2/Pre9)。malware フィード空応答で欠測。7/24号は障害により 7/25 朝に遡及発行。
- 07-24(金): 計20件(H9/M6/Pre5)、datamodel-code-generator 4件・isomorphic-git 初報。malware 欠測2日目。7/25 分として isomorphic-git 続報5件を含む9件を既に観測(次号スコープ)。