対象日：2026-11-07 ／ 調査確認：2026-11-07 12:17 JST。 掲載の脆弱性・悪性パッケージは、名称・版・実行条件に該当する場合の警告です。今回の号は遅延復旧であり初回公開日が対象日とは異なります。
PyPI hello-bat-fwi9：RAT関連ファイルへの注意（P1）
11月7日06:30 JSTのGHSA-v3cx-96jw-mv99は、PyPI hello-bat-fwi9 0.1.0 / 0.1.1をMalwareとして掲載しました。OpenSSFが示した解析では、難読化された.bat、RAT、PythonのPTHファイルを使う構成が説明されています。ただし悪性動作には手動トリガーが必要とも明記されています。
条件： 当該パッケージを導入し、関連する悪性操作が実行されたかどうかが重要です。単なるパッケージ名の存在と実行・感染成立は別の事実です。lockfile、インストール記録、実行記録を安全な環境から調べ、未知のスクリプトを検証目的で起動しないでください。
該当時の復旧： 疑わしいホストの接続を隔離して証拠を保全。アクセス可能だった秘密を別の安全な環境から失効・再発行し、既知の良好なイメージから再構築。再開時に依存関係と端末保護・CIを確認し、悪性版へのロールバックは避けます。修正版の記載はありません。
npm @cherrydotfun/miniapp-sdkの悪性版（条件付きP1）
11月7日07:15 JST公開のGHSA-q8jp-gq6p-hwpxは、npm @cherrydotfun/miniapp-sdkの0.1.22 / 0.1.23をMalwareとしています。Advisoryは、インストール済み環境について秘密のローテーションとクリーン再構築を求めていますが、本文に具体的な発動条件・流出件数は示されていません。
確認： 該当版の導入が依存manifest・lockfile・CI履歴で確認された場合のみ、警告に従い隔離・鍵失効・再構築を検討します。古い、または別版というだけで安全とも危険とも断定せず、公式情報の追補を再確認してください。
類似名・名前だけで判断しない（P2）
同じ11月7日06:30 JSTには、npm tailwind-animationfoundについてGHSA-mqqf-4p32-jgphが全版Malwareとして掲載されました。通常のTailwind CSSや別のanimationライブラリを利用しているだけで該当するわけではありません。
点検手順： CIのインストール履歴、package-lock等の依存名と版、発行元を照合してから対応します。上記の各Advisoryは侵害被害人数の統計ではなく、個別パッケージの警告です。
確認範囲と限界
掲載した一次資料を確認しました。すべてのベンダー、CISA KEV全件、実被害件数、個別の導入環境を網羅調査したものではありません。重大事象の不存在や、特定端末の感染を断定しません。
この日報の更新履歴
対象日：2026-11-07。初回実公開：2026-11-07（欠号の事後復旧）。一次資料の公表日と公開日を区別しています。