数字
| 7/22 | 7/23 | 7/24 | 7/25 | 7/26 |
|---|
| Critical | 3 | 0 | 0 | 0 | 0 |
| High | 6 | 14 | 9 | 2 | 0 |
| Medium | 9 | 11 | 6 | 5 | 0 |
| Low | 1 | 0 | 0 | 0 | 0 |
| Pre-CVE | 25 | 13 | 5 | 10 | 0 |
| Malware unique | 108 | 95 | 69 | 51 | 30 |
注記: Critical〜Low は CVE/GHSA 採番済み分のみ。Pre-CVE(AIKIDO-* 等の未採番)は別掲。Malware unique は「エコシステム:パッケージ名」のユニーク数。7/26(日)は週末のため脆弱性の新規公開ゼロ(通常パターン)。月曜(7/27)は公開が集中する傾向がある。
新規観測(事実のみ)
脆弱性(7/26 公開、計0件)
7/26(日)に published となった CVE/GHSA・Pre-CVE はゼロ(週末ゼロ)。直近の新規公開は 7/25 16:11 UTC の sentry-cli が最後。
Malware(7/26 検出、30 unique/生54)
エコシステム内訳(生): npm 19、pypi 17、open_vsx 10、vscode 3、firefox 3、chrome 1、homebrew 1
- pypi: bingo-ai が16版連投(6.2.312〜6.2.329)。7/25 の大量連投(23行)に続く継続。ほかに pentool 0.1.2。
- Open VSX: 実在の人気 VS Code 拡張を publisher 名ごと模した 0.0.1 が一斉出現(10行/9 unique)— technosophos/vscode-helm、geddski/macros、heaths/vscode-guid、dbankier/vscode-instant-markdown、bastienboutonnet/vscode-dbt、lego-education/ev3-micropython、spikespaz/vscode-smoothtype、OfHumanBondage/react-proptypes-intellisense、zerof075bit/beacon-test-beta。7/22 の9件に続く再来。
- chrome: 「Binance Wallet」偽装拡張(ID: cadiboklkpojfamcoggejbbdjcoiljjk)1.19.1。7/23 の検出に続く再出現。
- npm: trimprompt が4版連投(1.0.37〜1.0.40、TELEMETRY 判定)。@yhong91/vibetime 2版、dateuuidv2 2版、electrode-ota-ui-app は 99.0.0/99.0.1 という極端な版番号。ほかに @elnora-ai/cli、@groupdocs/groupdocs.editor、xerohub-discord-voice-v2、vscode-designer-14、hexo-shoka-swiper、glia-functions-tools、dynstrg-howto、messenger-style、syspo。
- vscode: RealismHub.trello-management が3版連投(1.0.1〜1.0.3)。
- firefox: netflix-bilingual-subtitles / youtube-bilingual-subtitles の字幕系ペアと fast-down 2.1.5。
- homebrew: intercept 1.0.12。検出例の少ないエコシステム。
注意点(3つ)
- Open VSX 利用者(VSCodium・Cursor 等)は拡張の publisher を確認 — 今回の10件は実在拡張の名前を publisher 名ごと模しており、拡張名だけでは見分けがつかない。7/22 の9件に続く再来で、同型のキャンペーンが継続している。
- 暗号資産利用者は Chrome 拡張の ID を確認 — 「Binance Wallet」偽装(ID: cadiboklkpojfamcoggejbbdjcoiljjk)が 7/23 に続いて再出現。導入済み拡張の ID と提供元を突合を。
- pypi の bingo-ai 連投が2日連続で継続中 — AI 系の名前に釣られた pip install に注意。また月曜(7/27)は公開ラッシュが通常のため、依存更新やトリアージは 7/27 分のレポート確認後に行うのが安全。
連続性メモ
- 7/22(水): CVE/GHSA 19件(C3/H6/M9/L1)+Pre-CVE 25。Malware 108 unique — @bobfrankston 連投、Baileys 系、open_vsx 偽装9件。
- 7/23(木): CVE/GHSA 25件(H14/M11)+Pre-CVE 13。Malware 95 unique — @bobfrankston 最大規模(23行)、eth 系 npm 連投、Chrome「Binance Wallet」偽装を初観測。
- 7/24(金): CVE/GHSA 15件(H9/M6)+Pre-CVE 5。Malware 69 unique — @bobfrankston 継続、@cryptosrvc スコープ群。
- 7/25(土): CVE/GHSA 7件(H2/M5)+Pre-CVE 10(土曜ながら公開あり)。Malware 51 unique — pypi bingo-ai が23行の大量連投で再開。
- 7/26(日): 脆弱性ゼロ(週末ゼロ)。Malware 30 unique(生54)— bingo-ai 16版継続、Open VSX 著名拡張偽装10件が再来、Binance Wallet 偽装が再出現。