数字
| 項目 | 6/7 | 6/8 | 6/9 | 6/10 | 6/11 |
|---|
| Critical | 0 | 0 | 1 | 0 | 0 |
| High | 0 | 0 | 1 | 6 | 2 |
| Medium | 0 | 0 | 1 | 3 | 4 |
| Low | 0 | 0 | 1 | 1 | 2 |
| Pre-CVE | 0 | 0 | 3 | 5 | 4 |
| Malware (24h, unique) | 42 | 56 | 86 | 127 | 99 |
6/10 公開＝12件（CVE/GHSA 8 ＋ Pre-CVE 4）。Malware は 6/10 検出分 99 unique（生125）。
新規観測（事実のみ）
脆弱性（6/10 公開、計12件）
CVE/GHSA（8件）
- High：jasperreports（Java、CVE-2026-6009）— 安全でないデシリアライズによるリモートコード実行。css_parser（Ruby、GHSA-9pmc-p236-855h）— SSRF
- Medium：jodit（JS、GHSA-5957-5c94-3v7w、プロトタイプ汚染）、websocket-driver（Ruby、GHSA-33ph/8j3g/ghhp の3件、DoS）
- Low：sqlite3（Ruby、GHSA-28hh/j7fr の2件、use-after-free による DoS/RCE）
Pre-CVE（4件）
- High：Microsoft.IdentityModel.Protocols.SignedHttpRequest（.NET）— SSRF
- Medium：distlib（Python、パストラバーサル）、spree_storefront（Ruby、XSS）
- Low：spree_storefront（Ruby、XSS）
Malware（6/10 検出、99 unique / 生125）
- エコシステム内訳（生）：npm 105 / pypi 8 / cargo 5 / vscode 4 / firefox 2 / nuget 1
- @orion-design-system/* クラスタ：foundation（5版）、components（4版）、store（3版）— デザインシステムのブランド偽装、3スコープ計12版
- vqlxjmpr（5版、ランダム名）、postcss-processor-utils（4版）、@langr/cli（4版）、check-error-util（3版）、telegramlite（2版、Telegram 系偽装）
- 分散型（99 unique / 125 raw）。突出は @orion-design-system クラスタと vqlxjmpr（各5版）程度。cargo が5件、firefox 拡張2件
- 単一スコープの大量版数フラッディングは本日なし
注意点（3つ）
- jasperreports の High（CVE-2026-6009）に注意 — 安全でないデシリアライズでリモートコード実行。帳票生成で広く使われるライブラリ。該当バージョンの確認とパッチを。Pre-CVE では Microsoft.IdentityModel（SSRF）も High。
- Ruby エコシステムに脆弱性が集中 — websocket-driver の DoS 3件、sqlite3 の use-after-free 2件、css_parser の SSRF（High）、spree_storefront の XSS。Ruby/Rails スタックを使う現場は今日のぶんをまとめて確認すると効率的。
- malware は分散型（99 unique／生125、npm 偏重 105） — @orion-design-system/* のデザインシステム偽装（3スコープ計12版）が最多クラスタ。「それっぽいブランド／デザインシステム名スコープ」に注意。cargo・firefox 拡張にも少数。CI と開発者端末で install 時スキャンを常時有効化しておくと水際で止めやすい。
連続性メモ
- 2026/06/07：脆弱性 0件（6/6 公開なし）、malware 42件
- 2026/06/08：脆弱性 0件（6/7 公開なし、週末フィード停止）、malware 56件（@solana-labs/* 大量版数フラッディング）
- 2026/06/09：脆弱性 7件（CVE/GHSA 4：nginx Critical、oauth2 High、parse-server×2／Pre-CVE 3：e2b High 再掲）、malware 86件
- 2026/06/10：脆弱性 15件（CVE/GHSA 10：swagger-typescript-api 6件 High×5、craftcms High／Pre-CVE 5：better-auth oauth-provider・passkey High、@lightdash SQLi）、malware 127件（高分散）
- 2026/06/11：脆弱性 12件（CVE/GHSA 8：jasperreports High デシリアライズRCE、css_parser High SSRF、websocket-driver DoS×3、sqlite3×2／Pre-CVE 4：Microsoft.IdentityModel SSRF High ほか）、malware 99件（生125、分散型、npm 偏重 105、@orion-design-system/* クラスタ）