数字
| 項目 | 6/13 | 6/14 | 6/15 | 6/16 | 6/17 |
|---|
| Critical | 0 | 0 | 0 | 1 | 0 |
| High | 9 | 0 | 0 | 17 | 3 |
| Medium | 17 | 0 | 0 | 19 | 2 |
| Low | 1 | 0 | 0 | 0 | 0 |
| Pre-CVE | 0 | 0 | 0 | 6 | 13 |
| Malware (24h, unique) | 85 | 40 | 30 | 128 | 88* |
6/15 の大量（Spring 3日目）から落ち着き、6/16 公開は18件（CVE/GHSA 5 ＋ Pre-CVE 13）。Malware は 6/16 検出分 88 unique（生219）※印は 6/16 UTC 進行中の暫定値（夜間の自動補正で増える見込み）。
新規観測（事実のみ）
脆弱性（6/16 公開、計18件）
CVE/GHSA（5件）
- High：esbuild（JS、GHSA-gv7w-rqvm-qjhr）— 整合性検証なしに外部コードが実行される、multer（JS、CVE-2026-5079）— DoS、req（Elixir、CVE-2026-49755）
- Medium：n8n-mcp（JS、GHSA-2cf7-hpwf-47h9）— 認可バイパス、drupal/tagify（PHP、CVE-2026-11908）— XSS
Pre-CVE（13件）
- High：braintree（JS、PayPal Braintree 決済 SDK）— パストラバーサル
- Medium：@nestjs/cli、@jsonjoy.com/fs-snapshot、@openai/codex、jodit、dd-trace（JS）、pypdf／msgpack／filelock（Python）、rubyzip（Ruby）、smallvec（Rust）
- Low：napi、wasmtime-wasi（Rust）
Malware（6/16 検出、88 unique / 生219 ※暫定）
- エコシステム内訳（生）：npm 166 / jetbrains 26 / pypi 21 / firefox 4 / maven 1 / packagist 1
- jetbrains プラグインが26件と急増（6/15 の2件から）。com.my.code.tools（15版）、com.review.tool.code（9版）など reverse-domain 名で IDE プラグインを装う
- npm 側：metrics-pipeline-d8k2（16版）、@fhkry/x-baileys（16版、WhatsApp baileys 偽装）、bingo-ai（15版、AI 偽装）、@caspianph/storyteller（15版）、axiosqqq（9版）／@qwedqwed/axios（8版、axios タイポスクワット）
- redgun-security（7版、セキュリティツール偽装）、mailconfirmer（6版、継続）
注意点（3つ）
- JS の主要ツールに High が集中 — esbuild（整合性検証なしに外部コードが実行される）、multer（DoS）。どちらも採用範囲が非常に広い。Pre-CVE では braintree（PayPal 決済 SDK）の path traversal が High、@openai/codex（AI CLI）や dd-trace（APM）も。利用中なら優先で確認・更新を。
- 拡張／IDE プラグインの malware 汚染が IDE 側で急拡大 — jetbrains が26件（6/14 chrome → 6/15 edge12/jetbrains2 → 6/16 jetbrains26 と拡大中）。reverse-domain 名（com.my.code.tools 等）で IDE プラグインを装う。ブラウザ拡張に加え、開発者端末の IDE プラグインも監視対象に含める必要。
- パストラバーサルが今日の Pre-CVE テーマ — braintree、@nestjs/cli、@jsonjoy.com/fs-snapshot、rubyzip と path traversal が並ぶ。malware 側は axios タイポスクワット（axiosqqq／@qwedqwed/axios）も。CI と開発者端末で install 時スキャンを常時有効化しておくと水際で止めやすい。
連続性メモ
- 2026/06/13：脆弱性 27件（Spring 協調リリース2日目 Spring Data 系 High 8件・hono High・MessagePack .NET）、malware 85件（フラッディング coral-wraith 37版）
- 2026/06/14：脆弱性 0件（6/13 土曜公開なし）、malware 40件（houzidawang806 23版、chrome/firefox 拡張に新規出現）
- 2026/06/15：脆弱性 0件（6/14 日曜公開なし、週末まるごとゼロ）、malware 30件（codyx-ai* マルチプラットフォーム binary・easyaillm2 AI偽装）
- 2026/06/16：脆弱性 43件（jmespath.php Critical、Spring 協調リリース3日目 High13・MessagePack .NET 大量／Pre-CVE 6）、malware 128件（週明け増、拡張系汚染拡大 edge12/jetbrains/firefox/vscode）
- 2026/06/17：脆弱性 18件（CVE/GHSA 5：esbuild・multer High、req(Elixir) High／Pre-CVE 13：braintree High path traversal、@openai/codex・dd-trace 等）、malware 88件（生219・暫定、jetbrains プラグイン26件に急増、@fhkry/x-baileys・bingo-ai・axios タイポスクワット）