数字
| 項目 | 6/6 | 6/7 | 6/8 | 6/9 | 6/10 |
|---|
| Critical | 0 | 0 | 0 | 1 | 0 |
| High | 1 | 0 | 0 | 1 | 6 |
| Medium | 7 | 0 | 0 | 1 | 3 |
| Low | 3 | 0 | 0 | 1 | 1 |
| Pre-CVE | 15 | 0 | 0 | 3 | 5 |
| Malware (24h, unique) | 84 | 42 | 56 | 86 | 127 |
6/9 公開＝15件（CVE/GHSA 10 ＋ Pre-CVE 5）。Malware は 6/9 検出分 127 unique（生160）と高分散。
新規観測（事実のみ）
脆弱性（6/9 公開、計15件）
CVE/GHSA（10件）
- High：swagger-typescript-api（5件：GHSA-h754-fxp7-88wx ほか）— API クライアント自動生成ツール。1件はユーザーアカウントへのアクセスに至りうる。craftcms/cms（GHSA-24x4-j6x9-rfw5）
- Medium：swagger-typescript-api（GHSA-x36r-4347-pm5x、SSRF）、craftcms/cms（GHSA-xrqc-p465-2xvg）、mathlive（GHSA-fm7p-gw32-828p）
- Low：msgpack（Ruby、GHSA-4mrv-5p47-p938）
Pre-CVE（5件）
- High：@lightdash/common（SQL インジェクション）、@better-auth/oauth-provider（認可バイパス）、@better-auth/passkey（不適切な認証の悪用）
- Medium：degit（パストラバーサル）、System.IdentityModel.Tokens.Jwt（署名偽造）
Malware（6/9 検出、127 unique / 生160）
- エコシステム内訳（生）：npm 146 / pypi 7 / vscode 3 / firefox 2 / cargo 1 / homebrew 1
- 高分散（127 unique ÷ 160 raw でほぼ1パッケージ1版）。突出は hey-base32（5版）程度
- local-mcp（3版、MCP 系を装う）、morningstar-design-system（3版、Morningstar 偽装）、@alannxd/baileys（2版、WhatsApp ライブラリ baileys 偽装）、cubifyanything（3版）、replayer-client（3版）、akm-cli（3版）、@dddx/cli（4版）
- firefox 拡張が2件と新規エコシステムに出現。単一スコープの大量版数フラッディングは本日なし
注意点（3つ）
- swagger-typescript-api に6件まとめて公開（High 5） — API クライアント自動生成ツール。うち1件はユーザーアカウントへのアクセスに至りうる。CI／コード生成パイプラインで使っていれば優先で確認・更新を。
- better-auth の認証系が再燃＋データ層の SQLi — Pre-CVE High で @better-auth/oauth-provider（認可バイパス）・@better-auth/passkey（不適切認証）、加えて @lightdash/common の SQL インジェクション（High）。better-auth は 6/5 にも指摘あり継続注視。認証・データ層の High が並ぶので利用中なら優先確認。
- malware は高分散（127 unique／生160、npm 偏重 146） — 単一ファミリーのフラッディングはなく広く薄く撒く形。local-mcp（MCP 偽装）、morningstar-design-system／baileys（ブランド・人気ライブラリ偽装）が散発、firefox 拡張も2件。CI と開発者端末で install 時スキャンを常時有効化しておくと水際で止めやすい。
連続性メモ
- 2026/06/06：脆弱性 26件（CVE/GHSA 11：mcp High ほか、Pre-CVE 15 で crewai/ultralytics High）、malware 84件
- 2026/06/07：脆弱性 0件（6/6 公開なし）、malware 42件
- 2026/06/08：脆弱性 0件（6/7 公開なし、週末フィード停止）、malware 56件（@solana-labs/* 大量版数フラッディング）
- 2026/06/09：脆弱性 7件（CVE/GHSA 4：nginx Critical、oauth2 High、parse-server×2／Pre-CVE 3：e2b High 再掲）、malware 86件
- 2026/06/10：脆弱性 15件（CVE/GHSA 10：swagger-typescript-api 6件 High×5、craftcms High、mathlive／Pre-CVE 5：@lightdash SQLi、better-auth oauth-provider・passkey High）、malware 127件（生160、高分散、npm 偏重 146、local-mcp/morningstar/baileys 偽装、firefox 拡張2件）