対象日：2026-11-10／公式Advisory確認：2026-11-10 JST／初回公開：2026-11-10（当日公開）
GitHub Advisory Databaseの悪性パッケージ警告2件を、名称・版・発動条件で確認します。一般読者向けP1は優先点検、P2は限定的な情報漏えいリスクの点検です。該当する実行や全ホスト侵害警告がある場合は見出しの優先度より即時対応を優先してください。
npm npm-scanner：悪性版の配布名を完全一致で確認（P1）
GitHub Advisory Databaseは正確なnpm配布名npm-scannerをMalwareとして掲載しています。Advisoryの影響範囲は>= 0（0以上の版を含む全掲載範囲）であり、特定の別の脆弱性スキャナー製品やコマンドがすべて悪性という意味ではありません。原文は該当版を導入・実行したコンピュータを侵害とみなし、別の清浄な端末から秘密と鍵を交換するよう勧告します。一次情報：GHSA-pc5x-m587-83hh（公開：2026-11-10 04:28:25 UTC＝13:28:25 JST）。
条件： npmの正確な配布名npm-scannerが直接または間接依存でlockfileに現れ、実際の環境に解決・導入された場合を対象とします。名称が似ているだけの異なるツールは該当しません。
安全な確認： package-lock.json、yarn.lock、pnpm-lock.yaml、SBOMと過去のCIログを読み取り専用で検索し、導入版を照合してください。疑わしいホストで追加のnpm installを行ったり、悪性コードを動かしたりしません。
復旧： 導入済み環境は隔離・証拠保全し、清浄な別端末から鍵・トークン等を交換。正規依存のみのクリーンな環境で再構築し、疑わしいパッケージとnpm・CIキャッシュは再利用しないでください。
未確定： このAdvisoryは実行条件の詳しいメカニズム・端末ごとの被害・修正版を示しておらず、個別感染の成立は別の証拠で判断します。
PyPI shanks 0.0.4：importによるIP・所在地データ送信（P2）
GitHub Advisory DatabaseのOpenSSF由来の解析では、shanks/shanks.pyをimportすると外部サービスに公衆IPと位置情報（市・州・郵便番号・緯度経度など）を問い合わせ、ハードコードされたDiscord Webhookへ投稿する処理が報告されています。一次情報：GHSA-547v-q874-636x（公開：2026-11-10 00:32:04 UTC＝09:32:04 JST）。影響版：= 0.0.4。
条件： 正確なPyPI配布名shanksの0.0.4を導入した環境が確認対象です。報告済みの送信条件はimportであり、インストールだけで同じ通信が起こるかは原文で確認できていません。導入済みで呼び出し状況が不明な場合も、保守的に確認対象としてください。IP由来の推定地理情報でありGPSの精密な現在地とは別です。
安全な確認： requirements*.txt・lockfile・仮想環境のdist-info、保存済みビルド・ネットワーク監査・Webhookへの通信証跡を読み取ってください。「import履歴」が必ず残るとは仮定しません。検証のために悪性モジュールをimportしません。
復旧： 該当依存を除去し、信頼できる依存に固定して清浄な環境で再構築。IPと推定所在地の共有可能性を評価し、実際の通信と受信範囲は環境ごとの証拠に基づいて判定します。
未確定： この原本だけで秘密鍵・ファイルの流出、任意コード実行、正確な位置情報へのアクセスが成立したとは断定できず、修正版も確認できていません。
対象と検証範囲
2026-11-10に上記2つのGitHub Advisoryの個別本文・影響版・公開時刻を確認しました。それ以外の全npm/PyPI、CISA KEV、全開発ツールの更新を網羅していません。本稿は特定の個人・端末・CI環境を調査した結果ではありません。
初回公開と更新履歴
2026-11-10 JST：11月10日号を当日初回公開。2026-11-10 JST：公開後の独立Claude OpusレビューとGitHub Advisoryの照合に基づき、正確な配布名・対象版の範囲、優先度、導入のみのケースと確認手順、出典と公開履歴を訂正しました。初回公開の分単位時刻は確認できる記録がないため記載していません。