数字
| 項目 | 6/16 | 6/17 | 6/18 | 6/19 | 6/20 |
|---|
| Critical | 1 | 0 | 0 | 0 | 0 |
| High | 17 | 3 | 3 | 12 | 1 |
| Medium | 19 | 2 | 3 | 3 | 2 |
| Low | 0 | 0 | 1 | 1 | 0 |
| Pre-CVE | 6 | 13 | 11 | 2 | 8 |
| Malware (24h, unique) | 128 | 87 | 251 | 55 | 81 |
CVE/GHSA の severity 行は CVE/GHSA 付与分のみ計上、Pre-CVE は別行。Malware は 6/19 検出分 81 unique（生131）。
新規観測（事実のみ）
脆弱性（6/19 公開、計11件）
CVE/GHSA（3件）
- High：vcrpy（Python、GHSA-rpj2-4hq8-938g）
- Medium：guzzlehttp/guzzle（PHP、CVE-2026-55568 と CVE-2026-55767 の2本）
Pre-CVE（8件）
- High：serialize-javascript（JS、score 81）
- Medium：better-auth（JS）3件（score 59・53・46）、@tiptap/extension-link（JS、score 53）
- Low：better-auth（JS、score 39）、@better-auth/scim（JS、score 30）、@tiptap/core（JS、score 22）
Malware（6/19 検出、81 unique／生131）
- エコシステム内訳（生）：npm 115 ／ pypi 12 ／ vscode 2 ／ cargo 2
- npm が 69 unique。6/18 から継続の panrouter-／parket-flow／db-xorma・db-dx-connector 系クラスタ。@atlaskit-internal_.smart-card・@withgoogle/stitch-sdk で内部スコープ／著名ベンダー偽装。based-32・nizzybase32・howdybase32 の base32 クラスタ、vitest-cli・ts-eslinter・dbt-language-server 等の dev ツール偽装
- pypi 9（django-auth-middleware-plus・webanalyzer-security 等）
- vscode 拡張：AppCreatePLC.boardtrackapps。cargo：chrono-banner・print-banner
注意点（3つ）
- 認証ライブラリ better-auth に Pre-CVE が集中（5件、@better-auth/scim 含む）＋ serialize-javascript の High Pre-CVE（score 81）。いずれも CVE 採番前だが、認証・シリアライズと攻撃影響の大きい箇所。これらを使う構成は監視対象に入れ、続報（正式 CVE 化）を待つ。
- PHP の guzzlehttp/guzzle に Medium CVE 2本（CVE-2026-55568・55767）— PHP の HTTP クライアントとして広く依存される。Composer 依存を確認・更新。Python テスト系の vcrpy（High, GHSA）も該当環境は点検を。
- malware は npm 中心に 81 unique。6/18 から続く panrouter-／parket-／db- 系クラスタに加え、@atlaskit-internal_・@withgoogle 偽装で内部スコープ依存混乱を狙う動き。さらに vscode 拡張（AppCreatePLC.boardtrackapps）と cargo crate（chrono-banner 等）にも malware が出ており、jetbrains（6/16-17）に続き IDE・言語ツールチェーン横断で警戒継続。
連続性メモ
- 2026/06/16：脆弱性 43件（jmespath.php Critical、Spring 協調リリース3日目 High13、MessagePack .NET 大量／Pre-CVE 6）、malware 128件
- 2026/06/17：脆弱性 18件（esbuild・multer High、braintree High path traversal／Pre-CVE 13）、malware 87件
- 2026/06/18：脆弱性 18件（@angular/core High CVE・ultimate-sitemap-parser×2、rack-proxy／http-proxy-middleware で proxy スマグリング／Pre-CVE 11）、malware 251件（npm 急増・依存混乱型）
- 2026/06/19：脆弱性 18件（datamodel-code-generator CVE 8本・electron 6本の協調リリース、nodemailer High／Pre-CVE 2）、malware 55件（通常域復帰、jetbrains なし）
- 2026/06/20：脆弱性 11件（better-auth に Pre-CVE 5件・serialize-javascript High Pre-CVE、guzzle CVE×2／vcrpy High／Pre-CVE 8）、malware 81件（vscode 拡張・cargo crate にも、dev ツールチェーン横断）