数字
| 項目 | 6/12 | 6/13 | 6/14 | 6/15 | 6/16 |
|---|
| Critical | 0 | 0 | 0 | 0 | 1 |
| High | 8 | 9 | 0 | 0 | 17 |
| Medium | 8 | 17 | 0 | 0 | 19 |
| Low | 2 | 1 | 0 | 0 | 0 |
| Pre-CVE | 13 | 0 | 0 | 0 | 6 |
| Malware (24h, unique) | 97 | 85 | 40 | 30 | 128 |
週末（6/14・6/15 公開）ゼロから一転、6/15 公開は43件（CVE/GHSA 37 ＋ Pre-CVE 6）。Malware は 6/15 検出分 128 unique（生182）と週明けで増加。
新規観測（事実のみ）
脆弱性（6/15 公開、計43件）
Critical（1件）
- mtdowling/jmespath.php（PHP、CVE-2026-54133）— 入力検証の不備を悪用される
High（17件）
- Spring 系（13件、協調リリース3日目）：spring-cloud-gateway-server-webmvc（CVE-2026-47825）、spring-graphql（CVE-2026-41699 / 41700 / 41856）、spring-security-core（CVE-2026-40993）、spring-ws-security（CVE-2026-40994）、spring-ws-core（CVE-2026-40999）、spring-xml（CVE-2026-40998）、spring-integration-file（CVE-2026-40987）、spring-ai-elasticsearch-store（CVE-2026-47835）、spring-statemachine-kryo（CVE-2026-41862）、spring-cloud-sleuth-instrumentation（CVE-2026-41708）
- MessagePack（.NET、CVE-2026-48109 / 48506 / 48502）、cxf-rt-transports-jms（Apache CXF、Java、CVE-2026-50632）、savon（Ruby、CVE-2026-53510）
Medium（19件）
- Spring 系継続：spring-boot／spring-boot-autoconfigure、spring-data-r2dbc／-jdbc／-relational、spring-security-oauth2-authorization-server／-core、spring-amqp、spring-ws-security、spring-js-resources×2 ほか
- hono（JS）×3、MessagePack（.NET）×5
Pre-CVE（6件）
- Medium：cryptography（Python、整数オーバーフロー）、@amcharts/amcharts5（JS、XSS）、postgres-protocol・tokio-postgres（Rust、DoS）
- Low：harfrust（Rust、整数オーバーフロー）、vibeio-http（Rust、DoS）
Malware（6/15 検出、128 unique / 生182）
- エコシステム内訳（生）：npm 141 / pypi 15 / edge 12 / packagist 4 / firefox 3 / vscode 3 / jetbrains 2 / open_vsx 1 / maven 1
- 週明けで増（週末 30 → 128）。mailconfirmer が25版で突出（6/13 から継続、版数が増加）
- FastGPTMini（6版、GPT 系を装う）、chai-plugin（4版）、cipherflow（4版）、vite-config-field（3版）、boardflow（3版）
- 拡張／IDE プラグイン系の汚染が拡大：edge 12・firefox 3・vscode 3・jetbrains 2・open_vsx 1。6/14 の chrome に続き、edge が一気に12件、jetbrains も新規出現
注意点（3つ）
- PHP の jmespath.php に Critical（CVE-2026-54133） — 入力検証の不備を悪用される。JMESPath は JSON クエリで広く使われるライブラリ。該当バージョンの確認とパッチを最優先で。
- Spring 協調リリースが3日連続で最大規模＋.NET MessagePack も大量 — 6/15 は spring-cloud-gateway／graphql／security-core／ws-／data-／boot に High・Medium が一括（Spring の High だけで13件）。MessagePack（.NET）は High 3＋Medium 5。Java/Spring・.NET スタックは依存をまとめて確認・更新を。Apache CXF（cxf-rt-transports-jms）と savon（Ruby SOAP）も High。
- 拡張／IDE プラグインの malware 汚染が拡大 — edge が12件、ほか firefox・vscode・jetbrains・open_vsx に分散。6/14 の chrome に続き、ブラウザ／IDE 拡張ストアを横断して広がっている。mailconfirmer（25版）の継続フラッディングも。開発者端末では拡張スキャンと install 時保護を有効に。
連続性メモ
- 2026/06/12：脆弱性 31件（Spring 協調リリース1日目 spring-core/micrometer High／Pre-CVE 13：rust unmaintained pqcrypto-）、malware 97件（フラッディング internallib_v/ecto-*）
- 2026/06/13：脆弱性 27件（Spring 協調リリース2日目 Spring Data 系 High 8件・hono High・MessagePack .NET）、malware 85件（フラッディング coral-wraith 37版/sea-bound-siren 20版）
- 2026/06/14：脆弱性 0件（6/13 土曜公開なし）、malware 40件（houzidawang806 23版、chrome/firefox 拡張に新規出現）
- 2026/06/15：脆弱性 0件（6/14 日曜公開なし、週末まるごとゼロ）、malware 30件（codyx-ai* マルチプラットフォーム binary・easyaillm2 AI偽装）
- 2026/06/16：脆弱性 43件（CVE/GHSA 37：jmespath.php Critical、Spring 協調リリース3日目 High 13・MessagePack .NET High3+Med5／Pre-CVE 6：cryptography・Rust DoS クラスタ）、malware 128件（生182、週明け増、mailconfirmer 25版、拡張系汚染拡大 edge12/jetbrains/firefox/vscode）