数字
| 項目 | 6/14 | 6/15 | 6/16 | 6/17 | 6/18 |
|---|
| Critical | 0 | 0 | 1 | 0 | 0 |
| High | 0 | 0 | 17 | 3 | 3 |
| Medium | 0 | 0 | 19 | 2 | 3 |
| Low | 0 | 0 | 0 | 0 | 1 |
| Pre-CVE | 0 | 0 | 6 | 13 | 11 |
| Malware (24h, unique) | 40 | 30 | 128 | 87 | 251 |
CVE/GHSA の severity 行は CVE/GHSA 付与分のみ計上、Pre-CVE は別行。Malware は 6/17 検出分 251 unique（生453）。6/16 検出分は夜間の自動補正で 87 unique（生234）に確定（前日暫定 88 とほぼ一致）。
新規観測（事実のみ）
脆弱性（6/17 公開、計18件）
CVE/GHSA（7件）
- High：@angular/core（JS、CVE-2026-54267）、ultimate-sitemap-parser（Python、GHSA-p5wc-9w9r-m232 と GHSA-8823-qg2x-pv9f の2本）
- Medium：gettext-converter（JS、CVE-2026-55451）、jodit（JS、GHSA-vpmm-x3fm-qr5c）、@hono/node-server（JS、GHSA-frvp-7c67-39w9）
- Low：dompurify（JS、GHSA-cmwh-pvxp-8882）
Pre-CVE（11件）
- High：rack-proxy（Ruby）
- Low：http-proxy-middleware（JS）— multipart 境界／CRLF インジェクションで multipart パートを smuggle
- Medium：grpc・mini_racer（Ruby）、html-to-markdown-rs・bcder・evtx（Rust）、h5wasm・@joint/core（JS）、filelock・html-to-markdown（Python）
Malware（6/17 検出、251 unique／生453）
- エコシステム内訳（生）：npm 306 ／ jetbrains 111 ／ pypi 25 ／ ruby 5 ／ packagist 4 ／ maven 1 ／ homebrew 1
- npm が急増。scoped パッケージ偏重（約74%）で依存混乱型が主体。chai-as-tokenized・chai-check-error、qrcode-generator-node・qrcode-express、express-validates 等のタイポスクワット
- AI 偽装：@crewhaus/prompt-injection-detector、@elnora-ai/cli、tesseract-agent、bingo-ai、ai-artifact-risk-validator
- jetbrains：unique 14・生111。com.my.code.tools・com.review.tool.code・org.translate.ai.simple 等 reverse-domain 名で IDE プラグインを装う（今週継続）
注意点（3つ）
- npm の malware が急増 — 24h で unique が大幅増。scoped 偏重で依存混乱型が主体、加えて chai-／qrcode-／express- 系タイポスクワットと AI 偽装パッケージ。社内スコープを使う組織は install 時スキャンを常時有効化し、proxy／registry 設定で内部スコープの外部解決を遮断しておくのが要。
- proxy 層のスマグリングが今日の脆弱性テーマ — rack-proxy（High）・http-proxy-middleware（multipart インジェクション）。加えて @angular/core の High CVE（CVE-2026-54267）。proxy／エッジ部品と Angular フロントを優先で確認・更新を。
- jetbrains／IDE プラグイン汚染が今週継続 — reverse-domain 名で正規プラグインを装う手口（unique 14・生111）。ブラウザ拡張に加え、開発者端末の IDE プラグインも監視対象に。
連続性メモ
- 2026/06/14：脆弱性 0件（6/13 土曜公開なし）、malware 40件
- 2026/06/15：脆弱性 0件（6/14 日曜公開なし、週末ゼロ）、malware 30件
- 2026/06/16：脆弱性 43件（jmespath.php Critical、Spring 協調リリース3日目 High13、MessagePack .NET 大量／Pre-CVE 6）、malware 128件
- 2026/06/17：脆弱性 18件（esbuild・multer High、braintree High path traversal／Pre-CVE 13）、malware 87件（確定、jetbrains 26版に急増）
- 2026/06/18：脆弱性 18件（@angular/core High CVE・ultimate-sitemap-parser×2、rack-proxy／http-proxy-middleware で proxy スマグリング／Pre-CVE 11）、malware 251件（npm 急増・依存混乱型、jetbrains 継続）