数字
| 項目 | 07-21 | 07-22 | 07-23 | 07-24 | 07-25 |
|---|
| Critical | 0 | 0 | 0 | 0 | 0 |
| High | 1 | 0 | 10 | 9 | 1 |
| Medium | 3 | 0 | 2 | 6 | 3 |
| Low | 0 | 0 | 0 | 0 | 0 |
| Pre-CVE | 17 | 0 | 9 | 5 | 5 |
| Malware (24h, unique) | 91 | 87※ | 91 | 68 | 41 |
列見出しはデータ日(脆弱性は公開日、malware は検出日)。CVE/GHSA の severity 行は CVE/GHSA 付与分のみ計上、Pre-CVE は別行。本レポート(7/26 発行)のスコープは 7/25 分。過去日(07-21〜07-24)は発行済み各号の確定値を再掲(フィードは事後に増減するため再集計しない)。
※ 07-22 の 87 は 7/23号確定値。07-23 の 91・07-24 の 68 は 7/24号・7/25号の訂正版(7/26)確定値。
※ 脆弱性の集計スナップショットは 2026-07-26 02:03 UTC、Malware は 2026-07-26 02:30 UTC 頃。初版では 07-23〜07-25 の Malware を取得経路の障害により欠測(—)と記載していたが、本訂正版で実測値に置換した。
新規観測(事実のみ)
脆弱性(7/25 公開、計9件)
CVE/GHSA 付与分 4件(High 1 / Medium 3)— すべて isomorphic-git:
- GHSA-6fxm-h49m-4fg3 — isomorphic-git (JS) High 88 / Path Traversal / patch 1.38.7
- CVE-2026-63478 — isomorphic-git (JS) Medium 53 / Path Traversal / patch 1.38.6
- CVE-2026-63475 — isomorphic-git (JS) Medium 43 / DoS / patch 1.38.6
- CVE-2026-63476 — isomorphic-git (JS) Medium 43 / DoS / patch 1.38.6
Pre-CVE(AIKIDO 独自・CVE 未付与)5件:
- isomorphic-git (JS) High 75 / Path Traversal / 1.38.8
- aiortc (PYTHON) Medium 65 / DoS / 1.15.0
- slug (JS) Medium 59 / XSS / 12.0.1
- docling-core (PYTHON) Medium 59 / DoS / 2.87.1
- launchdarkly-server-sdk (RUST) Medium 53 / Information Disclosure / 3.1.2
Malware(7/25 検出、41 unique/生81)
エコシステム内訳(生): npm 43 / pypi 34 / vscode 3 / open_vsx 1。
- bingo-ai(pypi)が23版連投 — 6.2.280〜6.2.311 を1日で投入、pypi 生34件の大半。7/23 の3版から一気に加速
- PayPal 標的の dependency confusion 17パッケージ一斉 — xo-twofa・xo-member-components・pp-react-ui5・stargateproxyserv・riskunifiedgatewayserv・preferenceslifecycle-paypal・payoutsvettingserv-paypal・merchantprefsservice-paypal・identityscimapiserv・identityauthorizationserv・gpaas-paypal・fundraiserserv・nemo-jaws・f0-* 3種・crm-reportinsightserv-paypal(全て version 28.0.0、09:22 UTC 台に一斉検出)。fundraiserservpp/fundraiserservicepp 4件も同系
- ConsoleFramework(pypi)7版継続(0.2.0〜2.8.6)— 前日出現クラスタの継続
- @blurrydespair/libsignal-node — Baileys/libsignal 偽装系の継続(megan-baileys・@dreamguyxeon 系と同型)
- o0o9(npm)2.0.0〜2.0.2 の3版 — 前々日15版連投の継続
- dsanms.dsanms(vscode)3版継続、open_vsx は chiehyu/vscode-astyle 偽装
- ほか swiper_angular(2版・reason 16-18 の高スコア)、page-navigation・basic-vite(同・高 reason)、@lyrie/core 2版、pentool・blessclient・scarno 系 pypi 散発、@mgor/fw-canary 系(リサーチャー由来とみられる canary 命名)、xerohub-discord-voice-v2、trongridy(TRON 系継続)
注意点(3つ)
- isomorphic-git 連鎖は計6件に拡大 — 7/24 の Arbitrary File Write(88点)に続き、7/25 は Path Traversal(GHSA-6fxm-h49m-4fg3, 88点)筆頭に5件。patch が 1.38.6/1.38.7/1.38.8 と刻まれているため、最新 1.38.8 以上へ一括更新が安全。
- PayPal 内部名 17種の dependency confusion 一斉投入 — 全て version 28.0.0・数分以内の連続公開で、単一アクターによる組織的試行。PayPal 固有名だが、同型の攻撃は任意の企業スコープに横展開され得る(前日の Shift Markets/Deutsche Bank 系から金融標的が連日継続)。社内パッケージ名の公開レジストリ監視を推奨。
- bingo-ai の連投が 3版/日 → 23版/日に急加速 — 自動投入の高速化とみられ、pypi の unique/生比を歪める水準。unique 41 は土曜としては通常レンジ(参考: 7/19 土 42)で、実勢は落ち着いているが、月曜の投入再開ラッシュに注意。
連続性メモ
- 07-21(火): H1/M3/Pre-CVE 17、malware 91 unique。20:54 UTC を最後に CVE 公開が停止。
- 07-22(水): 脆弱性公開ゼロ(CVE フィード約37時間停止によるもの)、malware 87 unique※。
- 07-23(木): 09:36 UTC に公開再開、計21件(H10/M2/Pre9)。malware 91 unique/生151(o0o9 15連投・暗号資産系 typosquat)。
- 07-24(金): 計20件(H9/M6/Pre5)、datamodel-code-generator 4件・isomorphic-git 初報。malware 68 unique/生114(cors 系12件・金融系 dependency confusion)。7/24号・7/25号は障害により 7/25 朝に遡及発行。
- 07-25(土): 計9件(H1/M3/Pre5)、うち5件が isomorphic-git 連鎖(計6件に)。malware 41 unique/生81(bingo-ai 23版・PayPal 標的 dependency confusion 17種・ConsoleFramework 7版)。08:57 UTC 以降の新規脆弱性公開なし(7/26 02:03 UTC 時点)。Malware 3日分の実測値は 7/26 訂正版で反映。