【2026/06/19】Aikido Intel 日次 — 6/18 公開18件（CVE/GHSA 16：Critical 0・High 12・Medium 3・Low 1／Pre-CVE 2）、datamodel-code-generator に CVE 8本・electron に 6本の協調リリース、nodemailer も High、malware は 6/18 検出 55 unique（生96）で 6/17 スパイクから通常域へ復帰（npm 51・jetbrains は今回なし）

数字

CVE/GHSA の severity 行は CVE/GHSA 付与分のみ計上、Pre-CVE は別行。Malware は 6/18 検出分 55 unique（生96）で、6/17 の 251 から通常域に復帰。

CVE/GHSA（16件）

High：datamodel-code-generator（Python）7本（CVE-2026-54653・54654・54655・54656・54690・54691・55391）、electron（JS）4本（CVE-2026-9118・9119・9120・9126）、nodemailer（JS、GHSA-p6gq-j5cr-w38f）
Medium：electron（JS）2本（CVE-2026-9122・9124）、gradio（Python、GHSA-3xvj-7669-6whx）
Low：datamodel-code-generator（Python、CVE-2026-55403）

Pre-CVE（2件）

エコシステム内訳（生）：npm 81 ／ pypi 12 ／ firefox 1 ／ packagist 1 ／ wordpress 1
npm が 51 unique。eslint-helper・new-eslint・mjs-eslint-helper（eslint 偽装）、parket-slot・parket-helper、panrouter・panrouter-admin、new-ecro／new-solt（-1 付き亜種）等の小規模クラスタ
pypi は bingo-ai（6/17 から継続の AI 偽装）
jetbrains プラグイン汚染（6/16-17 の reverse-domain 偽装）は 6/18 では観測されず

Python の datamodel-code-generator に High 7本を含む CVE 8本が一括公開 — OpenAPI／JSON Schema からモデルを自動生成するツールで、ビルド／CI に組み込まれていることが多い。パイプラインで使用していれば優先で該当バージョンを確認・更新。
electron に High 4本を含む 6 CVE — 多数の業務デスクトップアプリが依存する基盤。Electron ベースのアプリや自社製 Electron アプリは対象バージョンの確認を。メール送信の nodemailer（High）も併せて点検。
malware は通常域（55 unique）に戻ったが、npm の typosquat／依存混乱は継続（eslint-／parket-／panrouter- 系の小規模クラスタ）。6/16-17 の jetbrains プラグイン汚染は 6/18 は観測されず。ただし週次で再燃しうるため、IDE プラグインの監視は継続を。

2026/06/15：脆弱性 0件（週末ゼロ）、malware 30件
2026/06/16：脆弱性 43件（jmespath.php Critical、Spring 協調リリース3日目 High13、MessagePack .NET 大量／Pre-CVE 6）、malware 128件
2026/06/17：脆弱性 18件（esbuild・multer High、braintree High path traversal／Pre-CVE 13）、malware 87件
2026/06/18：脆弱性 18件（@angular/core High CVE・ultimate-sitemap-parser×2、rack-proxy／http-proxy-middleware で proxy スマグリング／Pre-CVE 11）、malware 251件（npm 急増・依存混乱型）
2026/06/19：脆弱性 18件（datamodel-code-generator CVE 8本・electron 6本の協調リリース、nodemailer High／Pre-CVE 2）、malware 55件（通常域復帰、jetbrains なし）