【2026/07/30】Aikido Intel 日次 — 7/29 公開21件、Mbed-TLS に10件集中・Erlang/Elixir HTTP スタックに DoS 系3件、Malware は 7/28 17:11 UTC 以降検出ゼロ（フィード停滞の可能性）

数字

区分	7/25(土)	7/26(日)	7/27(月)	7/28(火)	7/29(水)
Critical	0	0	2	2	0
High	2	0	3	17	10
Medium	5	0	8	9	8
Low	0	0	0	3	1
Pre-CVE	10	0	9	9	2
Malware unique	51	30	155	87	0

注記: 7/25〜7/28 は前号（7/29号）までの確定値の再掲（フィードからの再集計はしていない）。7/29 は本号の集計値（7/30 10:00 JST＝7/30 01:00 UTC 時点）。脆弱性の Critical〜Low は CVE/GHSA 分のみで、Pre-CVE は別カウント。なお 7/29 公開分は 7/30 07:00 JST 時点の取得では0件で、その後の再取得で21件が公開時刻（7/29 06:59〜08:27 UTC）付きで反映された（後述）。

新規観測（事実のみ）

脆弱性（7/29 公開、計21件）

CVE/GHSA 19件（High 10・Medium 8・Low 1、Critical 0）。公開は 7/29 06:59〜08:27 UTC に集中。

Severity(score)	パッケージ (言語)	ID	内容	影響 → 修正版
High 89	Mbed-TLS.mbedtls (C++)	CVE-2025-47917	Use After Free	< 3.6.4 → 3.6.4
High 87	cowlib (Elixir)	CVE-2026-59248	Allocation of Resources Without Limits or Throttling	< 2.19.0 → 2.19.0
High 87	bandit (Elixir)	CVE-2026-65623	Inefficient Algorithmic Complexity	< 1.12.1 → 1.12.1
High 83	agno (Python)	CVE-2026-10105	SQL Injection	< 2.8.5 → 2.8.5
High 80	Mbed-TLS.mbedtls (C++)	CVE-2026-34875	Buffer Overflow	< 3.6.6 → 3.6.6
High 78	uproot (Python)	CVE-2026-9147	Code Injection	< 5.7.5 → 5.7.5
High 77	Mbed-TLS.mbedtls (C++)	CVE-2026-25835	Use of Insufficiently Random Values	< 3.6.6 / < 4.1.0 → 3.6.6 / 4.1.0
High 75	lwip-tcpip.lwip (C++)	CVE-2020-22284	Buffer Overflow	< 2.1.3 → 2.1.3
High 75	Mbed-TLS.mbedtls (C++)	CVE-2026-34874	NULL Pointer Dereference	< 3.6.6 / < 4.1.0 → 3.6.6 / 4.1.0
High 75	nostr (Rust)	GHSA-xg7c-246g-6qpv	Denial of Service (DoS)	< 0.44.6 → 0.44.6
Medium 69	cowboy (Elixir)	CVE-2026-65624	Denial of Service (DoS)	< 2.18.0 → 2.18.0
Medium 65	Mbed-TLS.mbedtls (C++)	CVE-2026-25834	Improper Certificate Validation	< 3.6.6 / < 4.1.0 → 3.6.6 / 4.1.0
Medium 62	Mbed-TLS.mbedtls (C++)	CVE-2025-54764	Observable Timing Discrepancy	< 3.6.5 → 3.6.5
Medium 53	Mbed-TLS.mbedtls (C++)	CVE-2025-59438	Observable Timing Discrepancy	< 3.6.5 → 3.6.5
Medium 53	supranational.blst (C++)	CVE-2026-2681	Out-of-bounds Write	< 0.3.17 → 0.3.17
Medium 49	Mbed-TLS.mbedtls (C++)	CVE-2025-49600	Improper Verification of Cryptographic Signature	< 3.6.4 → 3.6.4
Medium 48	Mbed-TLS.mbedtls (C++)	CVE-2025-49601	Out-of-bounds Read	< 3.6.4 → 3.6.4
Medium 40	Mbed-TLS.mbedtls (C++)	CVE-2025-49087	Observable Timing Discrepancy	< 3.6.4 → 3.6.4
Low 37	@novu/js (JS)	GHSA-8gr3-5j6f-25gp	Cross-Site Scripting (XSS)	< 3.18.0 → 3.18.0

Pre-CVE 2件（公式 CVE/GHSA 未採番、別カウント）:

Severity(score)	パッケージ (言語)	内容	影響 → 修正版
High 83	msgpack (Ruby)	Use After Free	< 1.8.4 → 1.8.4
Medium 59	n8n (JS)	Authorization Bypass	< 2.31.1 → 2.31.1

Mbed-TLS に21件中10件が集中（CVE-2025 系と CVE-2026 系の混在する一括反映。修正版は 3.6.4／3.6.5／3.6.6／4.1.0 に分散）。Erlang/Elixir の HTTP スタック3件（cowlib・bandit・cowboy）はいずれもリソース枯渇・DoS 系。

Malware（7/29 検出、0 unique／生0）

7/29 検出分はゼロ。最終検出は 7/28 17:11 UTC の npm @joyfill/components（依存混乱型、前号掲載済み）。一方で既存エントリの last_updated は 7/29 09:23 UTC まで動いており、検証パイプライン自体は稼働している。止まっているのは新規検出の追加のみ。

エコシステム内訳（生）: なし（新規検出ゼロのため）。

注意点（3つ）

Malware フィードは停滞の可能性が高い。検出の空白は、攻撃の空白ではない。 7/28 17:11 UTC を最後に新規検出が止まる一方、既存エントリの更新は 7/29 も稼働しており、新規検出だけが停止している。脆弱性側は動く中で Malware だけ止まる同様のパターンは7月中旬にも観測されている。この期間に公開された不正パッケージは検出・掲載までのラグが通常より長くなるため、最終検出から48時間にあたる 7/30 17:11 UTC（JST 7/31 02:11）を過ぎても新着が無い場合、新規依存の導入判断はいつも以上に慎重に。停滞分は後日まとめて追加されることがあり、本号の 7/29 値（Malware 0）は後続号で遡及補正され得る。
脆弱性フィードに反映ラグと過去分の再編を観測。当日値は取得時刻に依存する。 7/29 公開分は 7/30 07:00 JST 時点の取得では0件だったが、10:00 JST の再取得で21件が公開時刻（7/29 06:59〜08:27 UTC）付きで反映された。同じタイミングで、7/25〜7/27付だった Pre-CVE エントリ群の削除・再採番・日付変更と見られる変動も観測している（例: rack-proxy の Pre-CVE が7月27日付の採番から6月17日付の別採番に差し替わり）。本表の過去日を前号確定値の再掲で運用しているのはこのためで、本号の 7/29 値も後続号で補正され得る。
中身では Mbed-TLS の10件集中と、利用面の広い agno・n8n を優先確認。 Mbed-TLS は組込み・IoT を含め広く使われ、修正版が 3.6.4〜3.6.6／4.1.0 に分散するため自プロジェクトの系列確認が必要。AI エージェントフレームワーク agno の SQL Injection（High 83、2.8.5 で修正）、ワークフロー自動化 n8n の認可バイパス（Pre-CVE、2.31.1 で修正）、Phoenix 等の土台になる Erlang/Elixir HTTP スタック3件（DoS 系）は、該当ユーザーが多い分だけ露出が大きい。

連続性メモ

7/25: 公開17件（CVE/GHSA 7=High 2・Medium 5、Pre-CVE 10 ※公開当時9件から遡及増加、7/27号で訂正済み）、Malware 51 unique。bingo-ai 23版連投・PayPal 標的 dependency confusion 17種一斉
7/26: 公開ゼロ（日曜）、Malware 30 unique（生54）。bingo-ai 16版継続、Open VSX 著名拡張偽装10件再来、Binance Wallet 偽装再出現
7/27: 公開22件（Critical 2=Magento・Erlang/OTP、High 3、Medium 8、Pre-CVE 9）、Malware 155 unique（生205）。PayPal 内部名 dependency confusion 約18件、thirdweb 6連投、Baileys 再来、@bobfrankston 8パッケージ25版、cargo に near-build-attestation 4版
7/28: 公開40件（CVE/GHSA 31=Critical 2〈mcp-atlassian score 100・homeassistant 93〉・High 17・Medium 9・Low 3、Pre-CVE 9）、Malware 87 unique（生109）。mage2kishan 19モジュール一斉（packagist）、Open VSX 偽装第3波10件、Alibaba 内部名（aone-*・lib-mtop）依存混乱、汎用 helper/util 名 npm 群、xerohub v3・@bobfrankston 継続、pypi ゼロ（bingo-ai 停止）
7/29(水): 公開21件（CVE/GHSA 19＝High 10・Medium 8・Low 1、Pre-CVE 2）。Mbed-TLS に10件集中、Erlang/Elixir HTTP スタック3件（cowlib/bandit/cowboy）、agno SQLi、n8n 認可バイパス。Malware は 7/28 17:11 UTC 以降検出ゼロで停滞の可能性（既存エントリ更新は稼働）。CVE フィードは反映ラグ＋Pre-CVE 再編を観測（7:00 JST 時点0件→10:00 JST に21件が遡及反映）。