対象日：2026-11-06 ／ 調査確認：2026-11-07 12:15 JST。 掲載の脆弱性・悪性パッケージは、名称・版・実行条件に該当する場合の警告です。今回の号は遅延復旧であり初回公開日が対象日とは異なります。
偽MCP連携PyPI 2種：正規TeamViewerの侵害ではない（P1）
GitHub Advisory Databaseはteamviewer-mcp-server 0.0.1を11月5日21:32 JST、mcp-teamviewer 0.0.1を11月6日00:31 JSTにMalwareとして掲載しました。前者と後者のOpenSSF解析は、悪意ある活動に関連するドメインへの通信を理由としています。
条件・限界： 上記と同名・同版のPyPIパッケージを実際に導入した場合のリスクです。公式TeamViewer製品や、別の正規MCP実装まで侵害されたと示す根拠ではありません。通信の事実だけから、実際に秘密情報が盗まれた件数は断定できません。
対応： 使用環境のlockfile・パッケージ一覧・CI取得履歴を、疑わしいパッケージを再実行せず確認。該当時は隔離、実行権限や資格情報の到達範囲を調査し、必要に応じ別端末から失効・再発行。正規配布元と依存名を検証したクリーンな環境に戻して通信を再確認します。Advisoryに修正版の記載はありません。
npm itc-actors-apiのMalware告知（条件付きP1）
11月6日08:59 JST公表のGHSA-w2fv-53fr-6qwgはnpm itc-actors-apiを全版Malwareとして扱い、インストール済み端末は全面侵害を想定して別端末で資格情報を変更し、クリーン再構築するよう強く警告しています。一方、このAdvisory本文には悪性処理の具体的なコード経路や、現実の侵害件数はありません。
実務： 該当パッケージの導入事実が確認できる場合に警告の重さに応じた隔離・鍵のローテーション・再構築を行います。名前が似た別パッケージを利用しているだけ、または導入自体がない場合に端末侵害と決めつけません。
WhatsApp向け非公式fork oktz-baileys（P2）
11月6日09:31 JST公開のGHSA-wmf5-rghr-gxcfは、oktz-baileysの配布版9.1.6を静的に調べ、接続後に認証済みWhatsAppアカウントが指定Channelを自動Followする挙動を記録しています。2026年10月16日の静的解析に基づく所見であり、今回の記録から資格情報の流出や全利用者の実害は推認できません。
確認・対処： 利用していないなら操作不要。該当forkを導入している場合は使用停止・正規依存への移行を検討し、WhatsAppのChannel購読状態とアカウント接続権限を確認します。ロールバックは既知の安全な依存のみ使用し、不審な版へ戻さないでください。
確認範囲と限界
掲載した一次資料を確認しました。すべてのベンダー、CISA KEV全件、実被害件数、個別の導入環境を網羅調査したものではありません。重大事象の不存在や、特定端末の感染を断定しません。
この日報の更新履歴
対象日：2026-11-06。初回実公開：2026-11-07（欠号の事後復旧）。一次資料の公表日と公開日を区別しています。