数字
| 項目 | 6/8 | 6/9 | 6/10 | 6/11 | 6/12 |
|---|
| Critical | 0 | 1 | 0 | 0 | 0 |
| High | 0 | 1 | 6 | 2 | 8 |
| Medium | 0 | 1 | 3 | 4 | 8 |
| Low | 0 | 1 | 1 | 2 | 2 |
| Pre-CVE | 0 | 3 | 5 | 4 | 13 |
| Malware (24h, unique) | 56 | 86 | 127 | 99 | 97 |
6/11 公開＝31件（CVE/GHSA 18 ＋ Pre-CVE 13）。Malware は 6/11 検出分 97 unique（生215）。
新規観測（事実のみ）
脆弱性（6/11 公開、計31件）
CVE/GHSA（18件）
- High（8件）：Spring 系 — spring-core（CVE-2026-41845）、spring-ldap-core（CVE-2026-41720）、micrometer-core（CVE-2026-40983 / 40984）、micrometer-jetty11・micrometer-jetty12（CVE-2026-40984）。ほか view_component（Ruby、GHSA-97jw-64cj-jc58）、cvat-sdk（Python、GHSA-w6mx-95ff-72cv）
- Medium（8件）：spring-security-web（CVE-2026-47838）、spring-websocket（CVE-2026-41838）、spring-webflux（CVE-2026-41839 / 41844 / 41847）、spring-webmvc（CVE-2026-41844 / 41846）、view_component（Ruby）
- Low（2件）：dompurify（JS、GHSA-gvmj-g25r-r7wr）、oj（Ruby、GHSA-3v45-f3vh-wg7m）
Pre-CVE（13件、全 Medium）
- rust の「メンテナンス停止」警告 12件 — pqcrypto-*（pqcrypto / -hqc / -classicmceliece / -mldsa / -falcon / -mlkem / -sphincsplus / -traits / -internals）、tide、http-types、proc-macro-error2
- oj（Ruby）— 境界外読み取りによる機微情報の露出
Malware（6/11 検出、97 unique / 生215）
- エコシステム内訳（生）：npm 209 / pypi 3 / open_vsx 2 / golang 1
- フラッディング復活（215 raw に対し 97 unique）。internallib_v557（24版）、ecto-corsair-whisper-6f3b9（18版）、jailbreak-code（17版）、coral-wraith（11版）が大量版数
- internallib_v* は内部ライブラリ名を装う依存混乱（dependency confusion）型、ecto-* はランダム接尾辞のクラスタ
- postcss-minify-selector／-parser（各5版前後）、pocteszep（6版）ほか。open_vsx（VSCode 代替レジストリ）に2件
注意点（3つ）
- Spring Framework の協調セキュリティリリースに注意 — spring-core・spring-ldap-core・micrometer に High、spring-webflux/webmvc/websocket/security-web に Medium が一括公開。micrometer の CVE-2026-40984 は micrometer-jetty11／jetty12／core に横断。Spring/Java スタックを使う現場は依存をまとめて確認・更新を。Python では cvat-sdk（CV アノテーション）も High。
- rust の「unmaintained」警告が12件 — pqcrypto-*（ポスト量子暗号）を中心に、メンテナンス停止パッケージの利用警告。即時の脆弱性ではないが、暗号系の放置依存は中長期リスク。代替・更新の検討を。
- malware はフラッディング復活（97 unique／生215、npm 偏重 209） — internallib_v*（依存混乱型、24版）、ecto-*（18版）、jailbreak-code（17版）が大量版数。「内部ライブラリ名っぽい汎用名」と依存混乱に注意。open_vsx にも2件。CI と開発者端末で install 時スキャンを常時有効化しておくと、こうしたフラッディング型を水際で止めやすい。
連続性メモ
- 2026/06/08：脆弱性 0件（6/7 公開なし、週末フィード停止）、malware 56件（@solana-labs/* 大量版数フラッディング）
- 2026/06/09：脆弱性 7件（CVE/GHSA 4：nginx Critical、oauth2 High、parse-server×2／Pre-CVE 3：e2b High 再掲）、malware 86件
- 2026/06/10：脆弱性 15件（swagger-typescript-api 6件 High×5、better-auth oauth-provider/passkey High、@lightdash SQLi）、malware 127件（高分散）
- 2026/06/11：脆弱性 12件（jasperreports High デシリアライズRCE、Ruby 集中：websocket-driver DoS×3／sqlite3×2／css_parser SSRF）、malware 99件（分散型、@orion-design-system/* 偽装）
- 2026/06/12：脆弱性 31件（CVE/GHSA 18：Spring 協調リリース High 多数・micrometer CVE-2026-40984 横断・cvat-sdk High／Pre-CVE 13：rust unmaintained 12件 pqcrypto-* 中心）、malware 97件（生215、フラッディング復活、internallib_v*/ecto-*/jailbreak-code 大量版数、npm 偏重 209）