対象日：2026-11-09／Advisoryの追加確認：2026-11-10 JST／初回公開：2026-11-10（欠号の遅延復旧）
本号はGitHub Advisory Databaseの2件に絞った確認です。優先度は一般読者の点検順でP1とし、該当悪性版を導入した端末・CIには個別Advisoryの指示に応じ、即時対応（P0相当）を優先します。悪性コードの存在と各端末の感染が確認された事実を混同しません。
npm @ethersphere/bee-js 13.3.0：悪性パッケージ警告（P1）
GitHub Advisory Databaseは正確な配布名@ethersphere/bee-jsの= 13.3.0をMalwareとして掲載しています。原文は該当パッケージを導入・実行したコンピュータを侵害されたものとみなし、別の清浄な端末から秘密と鍵を即座に交換するよう勧告しています。一次情報：GHSA-hh7j-5m3j-23pf（公開：2026-11-09 01:25:27 UTC＝10:25:27 JST）。他の版まで影響した証拠はこのAdvisoryにはありません。
該当条件： package.json等に13.3.0を含むバージョン範囲（^13.xなど）を指定している場合も、実際に13.3.0が依存解決された可能性があります。直接依存だけでなく間接依存・CIでの実際の解決版をlockfileや過去ビルド記録から照合してください。悪性版の公開・取り下げ期間は今回確定していません。
安全な確認： package-lock.json、yarn.lock、pnpm-lock.yaml、SBOM、CIの保存済み導入ログを、疑わしい環境で新たなinstallを実行せず読み取ります。疑わしいホストで動くnpm lsを確認のため起動する必要はありません。
対処と復旧： 該当導入環境は隔離・証拠保全し、秘密鍵・トークンを清浄な別端末からローテーションして、信頼できる依存のみで新しいイメージから再構築します。悪性版のnpm・CIキャッシュを再利用せず、単に依存を削除しただけでは駆除済みとしません。
留保： この警告だけで個々の端末で攻撃が成功した履歴や侵害件数は判明しません。Advisoryに修正版は記載されていません。
PyPI parseyaml 1.2.0：YAML loaderを装う遠隔コード処理（P1）
GitHub Advisory Database（OpenSSFの悪性パッケージ情報）では、parseyamlの= 1.2.0に、YAML loaderを装った依存から外部コードを取得・実行する仕組みが報告されています。解析時にコードはstubだったとの留保もありますが、将来の別の配布物や実行内容の安全性は保証されません。一次情報：GHSA-c4fv-65c3-6g99（公開：2026-11-09 00:30:50 UTC＝09:30:50 JST）。
該当条件： 配布名parseyamlの1.2.0を導入した環境を確認対象にします。実際に特別なloaderが実行されたか分からない場合も「影響なし」とせず、依存の解決記録と実行可能経路を隔離環境から点検してください。一般的なPyYAMLとは別の配布名です。
安全な確認： requirements*.txt、poetry.lockやpip解決結果・CI保存ログ、仮想環境のdist-infoを読み取り専用で照合します。実行履歴が残ると決めつけず、疑わしいパッケージはimportしません。
対処と復旧： 該当版を隔離して信頼できる依存へ置換し、清浄な環境で再構築します。実行された疑いがある場合は証拠を保全し、到達した秘密を別端末から交換して安全性を評価します。個別Advisoryがbee-jsのように無条件で完全侵害と断定しているわけではないため、同じ被害事実を創作しません。
留保： 解析時stubの記載は挙動の限界です。実際の被害、配布物の最終挙動や修正版は未確認です。
調査範囲と非該当
2026-11-10に上記GitHub Advisoryの個別原文で影響版と公開時刻を再確認しました。これ以外の全GHSA、CISA KEV、ベンダー告知を網羅したものではなく、調査対象外を「該当なし」と記載しません。特定環境に悪性版が存在するかも未確認です。
初回公開と更新履歴
2026-11-10 JST：対象日11月9日号を遅延初回公開。2026-11-10 JST：公開後の独立Claude Opusレビューと公式Advisoryの照合により、依存範囲解決・緊急度・安全な確認・出典の範囲・stubの意味・公開履歴を訂正しました。初回公開の分単位時刻は確認できる記録がないため記載していません。