数字
| 項目 | 6/2 | 6/3 | 6/4 | 6/5 | 6/6 |
|---|
| Critical | 1 | 8 | 0 | 2 | 0 |
| High | 0 | 2 | 4 | 2 | 1 |
| Medium | 0 | 10 | 3 | 4 | 7 |
| Low | 0 | 1 | 0 | 4 | 3 |
| Pre-CVE | 8 | 13 | 10 | 5 | 15 |
| Malware (24h, unique) | 93 | 38 | 88 | 140 | 84 |
Malware は 6/5 検出分 84 unique（生108）。脆弱性は 6/5 公開 26件（CVE/GHSA 11 ＋ Pre-CVE 15）。
新規観測（事実のみ）
脆弱性（6/5 公開、計26件）
CVE/GHSA（11件）
- High：mcp（Python、GHSA-jpw9-pfvf-9f58）— MCP 公式 Python SDK
- Medium：@fedify/fedify・@fedify/vocab-runtime（CVE-2026-50131）、better-auth（GHSA-86j7-9j95-vpqj）、jupyter-server（CVE-2026-6657）、aiosmtplib（GHSA-v3q9-hj7j-63hq）、daphne（CVE-2026-44545）、serde_with（GHSA-7gcf-g7xr-8hxj、Rust）
- Low：@feathersjs/commons プロトタイプ汚染（GHSA-28xv-ph75-77wh）、keycloak-services（CVE-2026-9088、Java）、symfony/ux-live-component（CVE-2026-49212）
Pre-CVE（15件、AI/ML 系が目立つ）
- High：crewai（エージェント FW）、ultralytics（YOLO/ML）、dulwich（Git 実装、path traversal）、better-auth（認証バイパス）
- Medium：mcp-grafana（ログへの情報漏れ）、crewai-tools、System.IdentityModel.Tokens.Jwt（.NET）、guzzlehttp/psr7（DoS）、hot-shots、enhanced-resolve（webpack 依存、symlink path traversal）、node-red（引数インジェクション）
- Low：uiprotect（path traversal）、globalpayments/php-sdk（XSS）
Malware（6/5 検出、84 unique / 生108）
- エコシステム内訳（生）：npm 93 / vscode 8 / pypi 5 / packagist 1 / homebrew 1
- VSCode 拡張 ManageBlox.manageblox 7版
- Ubiquiti/UniFi 偽装：uisp-connector、unifi-portal、unifi-credential-server（各2版）— ネットワーク機器管理ツールを装う
- sys* クラスタ：sysbu（3版）、sysnu / sysau（各2版）
- その他 npm 多数（encrypted-archive、2fa-exe、micro-ui-loader、rbac-auth、binproto 等、各1〜2版）
- 6/4 のような単一ファミリー大量版数フラッディング（autotel-* / awaitly-*）は本日なし。分散型
注意点（3つ）
- AI/ML エコシステムの脆弱性が連日続く — CVE/GHSA で MCP 公式 Python SDK（mcp）が High、Pre-CVE で crewai（エージェント FW）と ultralytics（ML）が High。6/5 の crawl4ai/e2b に続き、AI 開発スタック（SDK・エージェント・ML ライブラリ）の報告が継続している。該当ライブラリを使う基盤は版数固定と更新追従を。
- 認証・ビルド依存の path traversal に注意 — better-auth は認証系の指摘が複数（GHSA Medium ＋ Pre-CVE で認証バイパス High）。認証ライブラリは影響範囲が広い。加えて webpack 依存の enhanced-resolve、Git 実装 dulwich の path traversal は CI/ビルドで広く効く。利用中なら優先確認。
- malware は分散型 — 84 unique（生108）と前日 140 から減少、npm 偏重（93/108）は継続。本日は単一ファミリーの大量版数フラッディングはなく分散型。目立つのは VSCode 拡張 ManageBlox（7版）と UniFi/Ubiquiti 偽装の npm クラスタ。install 時スキャンの常時有効化で水際を。
連続性メモ
- 2026/06/02：脆弱性 9件（@google/gemini-cli Critical ＋ Pre-CVE 8）、malware 93件
- 2026/06/03：脆弱性 34件（golang x/crypto・x/net 一括、Critical 8）、malware 38件
- 2026/06/04：脆弱性 17件（Apache/Envoy/Pingora の Resource Exhaustion、strands-agents-tools Code Injection）、malware 88件
- 2026/06/05：脆弱性 17件（crawl4ai Critical 2 ＋ e2b の AI ツール系、Symfony UX/Laravel/Angular/Drupal の Web XSS 群）、malware 140件
- 2026/06/06：脆弱性 26件（CVE/GHSA 11：mcp High ほか @fedify/better-auth/jupyter-server/daphne、Pre-CVE 15 で crewai/ultralytics High）、malware 84件（分散型、ManageBlox vscode 7版・UniFi 偽装、大量版数フラッディングなし）