数字
| 項目 | 6/10 | 6/11 | 6/12 | 6/13 | 6/14 |
|---|
| Critical | 0 | 0 | 0 | 0 | 0 |
| High | 6 | 2 | 8 | 9 | 0 |
| Medium | 3 | 4 | 8 | 17 | 0 |
| Low | 1 | 2 | 2 | 1 | 0 |
| Pre-CVE | 5 | 4 | 13 | 0 | 0 |
| Malware (24h, unique) | 127 | 99 | 97 | 85 | 40 |
6/13（土）公開の脆弱性はゼロ（前週末 6/6・6/7 同様、週末は公開が止まる）。Malware は 6/13 検出分 40 unique（生80）。
新規観測（事実のみ）
脆弱性（6/13 公開）
- 新規なし。 Aikido Intel フィードの最新公開は 6/12 止まり（2026/06/14 02:12 UTC 時点で確認）。6/13 は土曜で、前週末（6/6・6/7）同様に公開なし。02:12 UTC でロールオーバー済みのため「待ち」ではなく実際の週末ギャップ。
- 直近の高深刻度（6/11・6/12 公開の Spring 協調リリース）は 6/12・6/13 レポートに掲載済み。
Malware（6/13 検出、40 unique / 生80）
- エコシステム内訳（生）：npm 68 / pypi 6 / vscode 3 / homebrew 1 / firefox 1 / chrome 1
- 週末で検出減（前日 85 → 40）。houzidawang806（23版）が単独で突出、ほかは小規模
- mailconfirmer（9版）、mf-system（5版、6/6 にも出現）、dash-grid-normalizer（4版）、@array-util/nodepull（2版）、codyx-ai（AI 系を装う、各1版）
- 注目：chrome 拡張が1件と新規エコシステムに出現（firefox も1件）。これまで vscode／open_vsx 中心だった拡張系の汚染が chrome／firefox にも
注意点（3つ）
- 脆弱性は 6/13（土）公開なし — 前週末（6/6・6/7）同様、土日は公開が止まる構造。「無い」ことも事実として記録する。直近の山は Spring 協調リリース（6/11・6/12）で、Spring／Java 利用者は引き続き依存の確認・更新を。
- malware も週末で減少（40 unique／生80） — houzidawang806（23版）が単独突出のほかは小粒。npm 偏重（68/80）は継続。フラッディングというより単発の大量版数が1つ、という構成。
- ブラウザ拡張の汚染が chrome／firefox に拡大 — これまで vscode／open_vsx 中心だったが、本日は chrome・firefox に各1件。拡張ストアを横断して監視範囲を広げる必要。開発者端末では Endpoint Protection の拡張スキャンと install 時保護を有効に。
連続性メモ
- 2026/06/10：脆弱性 15件（swagger-typescript-api 6件 High×5、better-auth oauth-provider/passkey High、@lightdash SQLi）、malware 127件（高分散）
- 2026/06/11：脆弱性 12件（jasperreports High デシリアライズRCE、Ruby 集中：websocket-driver/sqlite3/css_parser）、malware 99件（分散型、@orion-design-system/* 偽装）
- 2026/06/12：脆弱性 31件（Spring 協調リリース1日目 spring-core/micrometer High／Pre-CVE 13：rust unmaintained pqcrypto-）、malware 97件（フラッディング internallib_v/ecto-*）
- 2026/06/13：脆弱性 27件（Spring 協調リリース2日目 Spring Data 系 High 8件・hono High・MessagePack .NET）、malware 85件（生198、フラッディング coral-wraith 37版/sea-bound-siren 20版）
- 2026/06/14：脆弱性 0件（6/13 土曜公開なし、週末ギャップ）、malware 40件（生80、週末減、houzidawang806 23版が突出、chrome/firefox 拡張に新規出現）