数字
| 項目 | 6/9 | 6/10 | 6/11 | 6/12 | 6/13 |
|---|
| Critical | 1 | 0 | 0 | 0 | 0 |
| High | 1 | 6 | 2 | 8 | 9 |
| Medium | 1 | 3 | 4 | 8 | 17 |
| Low | 1 | 1 | 2 | 2 | 1 |
| Pre-CVE | 3 | 5 | 4 | 13 | 0 |
| Malware (24h, unique) | 86 | 127 | 99 | 97 | 85* |
6/12 公開＝27件（全 CVE/GHSA、Pre-CVE 0）。Malware は 6/12 検出分 85 unique（生198）※印は UTC 日中の暫定値（夜間の自動補正で増える見込み）。
新規観測（事実のみ）
脆弱性（6/12 公開、計27件・全 CVE/GHSA）
High（9件）
- Spring 系（8件）：spring-security-saml2-service-provider（CVE-2026-41003）、spring-data-commons（CVE-2026-41695 / 41716）、spring-data-mongodb（CVE-2026-41717）、spring-data-rest-core（CVE-2026-41728 / 41729）、spring-kafka（CVE-2026-41731）、spring-pulsar（CVE-2026-41732）
- hono（JS、GHSA-88fw-hqm2-52qc）
Medium（17件）
- Spring Data 系継続：spring-data-commons（CVE-2026-41711 / 41721）、spring-data-keyvalue（CVE-2026-41719）、spring-data-redis（CVE-2026-41719）、spring-data-mongodb（CVE-2026-41696）、spring-security-web（CVE-2026-41706）、spring-amqp（CVE-2026-41701）、spring-restdocs-restassured（CVE-2026-40991）ほか
- MessagePack（.NET、CVE-2026-48513 / 48516）＋ MessagePack.AspNetCoreMvcFormatter、hono（GHSA-wwfh-h76j-fc44）
Low（1件）
Malware（6/12 検出、85 unique / 生198 ※暫定）
- エコシステム内訳（生）：npm 182 / pypi 10 / vscode 4 / packagist 1 / homebrew 1
- フラッディング：coral-wraith（37版）、sea-bound-siren（20版）、ect-839201（11版）／ect-654321（7版）のクラスタ
- @sqlite-node/createsql（10版）、@sql-access/nodesql（8版）— SQL 系スコープ偽装。auto-skills-scanner、claudechor、postcss-minify-selector／-parser（各5版）
- npm 偏重（182/198）。単一パッケージ大量版数（coral-wraith 37版）が突出
注意点（3つ）
- Spring の協調セキュリティリリースが2日連続 — 昨日の spring-core/micrometer に続き、本日は Spring Data ファミリー（data-commons / mongodb / rest-core / redis / keyvalue）＋ spring-kafka / pulsar / security-saml2 / amqp に High・Medium が一括。Spring Data を使う現場は依存をまとめて確認・更新を。JS では hono が High。
- .NET の MessagePack に複数（CVE-2026-48513 / 48516） — シリアライズ系で AspNetCoreMvcFormatter も含む。利用中なら確認を。
- malware はフラッディング（coral-wraith 37版・sea-bound-siren 20版、npm 偏重 182） — ランダム名の大量版数と SQL 系スコープ偽装（@sqlite-node / @sql-access）。なお検出 85／生198 は UTC 日中の暫定値で、夜間の自動補正（fix-counts）で確定値に増える見込み。CI と開発者端末で install 時スキャンを常時有効化しておくと水際で止めやすい。
連続性メモ
- 2026/06/09：脆弱性 7件（CVE/GHSA 4：nginx Critical、oauth2 High、parse-server×2／Pre-CVE 3：e2b High 再掲）、malware 86件
- 2026/06/10：脆弱性 15件（swagger-typescript-api 6件 High×5、better-auth oauth-provider/passkey High、@lightdash SQLi）、malware 127件（高分散）
- 2026/06/11：脆弱性 12件（jasperreports High デシリアライズRCE、Ruby 集中：websocket-driver/sqlite3/css_parser）、malware 99件（分散型、@orion-design-system/* 偽装）
- 2026/06/12：脆弱性 31件（CVE/GHSA 18：Spring 協調リリース1日目 spring-core/micrometer High／Pre-CVE 13：rust unmaintained 12件 pqcrypto-）、malware 97件（フラッディング、internallib_v/ecto-*）
- 2026/06/13：脆弱性 27件（CVE/GHSA 27：Spring 協調リリース2日目、Spring Data 系 High 8件・hono High・MessagePack .NET／Pre-CVE 0）、malware 85件（生198・暫定、フラッディング coral-wraith 37版/sea-bound-siren 20版、npm 偏重 182）