数字
| 項目 | 6/18 | 6/19 | 6/20 | 6/21 | 6/22 |
|---|
| Critical | 0 | 0 | 0 | 0 | 0 |
| High | 3 | 12 | 1 | 0 | 0 |
| Medium | 3 | 3 | 2 | 0 | 0 |
| Low | 1 | 1 | 0 | 0 | 0 |
| Pre-CVE | 11 | 2 | 8 | 0 | 0 |
| Malware (24h, unique) | 251 | 55 | 81 | 45 | 36 |
CVE/GHSA の severity 行は CVE/GHSA 付与分のみ計上、Pre-CVE は別行。6/21・6/22 列は週末で脆弱性ゼロ。Malware は 6/21 検出分 36 unique（生93）。
新規観測（事実のみ）
脆弱性（6/21 公開）
- 新規公開なし（週末ゼロ、6/20 から2日連続）。CVE/GHSA・Pre-CVE とも0件。CVE フィードの最新公開日は 6/19 のまま
Malware（6/21 検出、36 unique／生93）
- エコシステム内訳（生）：npm 80 ／ pypi 8 ／ vscode 1 ／ open_vsx 1 ／ homebrew 1 ／ cargo 1 ／ firefox 1
- npm が 28 unique。Zomato グループ偽装クラスタが突出：zomato-logger・zomato-config・zomato-sushi・zomato-server・zomato-core・zomato-espresso・zomato-mcp、および hyperpure・hyperpure-core・blinkit-core（Hyperpure・Blinkit は Zomato 傘下）
- MCP 偽装：local-mcp・zomato-mcp・@morphllm/morphmcp。Anthropic/Claude・AI 誘い：free-anthropic-claude・trimprompt・@yhong91/vibetime・tesseract-agent・@yulailai/openclaw-plugin-self-growth。@withgoogle/stitch-sdk・panrouter は 6/19-20 から継続
- dalfox（XSS スキャナ）を homebrew と cargo の両方で同時に偽装
- pypi 4（agentsec-scanner・crucible-security・revolt-rai・jsonschema-viewer）。open_vsx：runtimeads、vscode：jolars.badness、firefox：bandcamp-enhancement-suite
注意点（3つ）
- 6/20-21 と週末2日連続で脆弱性の新規公開はゼロ。週明けの平日分（6/22 公開＝6/23 報告）でまとまって出る見込みのため、明日の日次で件数増を見込んでおく。
- malware は Zomato グループ（Zomato／Hyperpure／Blinkit は同一グループ）のブランドを多数のサブパッケージに展開する偽装クラスタが突出。特定企業の社内パッケージ名を騙る依存混乱型の典型で、該当ブランドの開発者は公式レジストリ／スコープ以外からの取得に注意し、install 時スキャンを常時有効に。
- MCP（Model Context Protocol）テーマのパッケージ（local-mcp・zomato-mcp・@morphllm/morphmcp）や Anthropic/Claude 偽装が継続。さらに XSS スキャナ dalfox を homebrew と cargo の両方で同時に騙るクロスエコシステム偽装も。AI／MCP ツールや CLI ツールを導入する際は、公式の入手元・パッケージ名を必ず確認を。
連続性メモ
- 2026/06/18：脆弱性 18件（@angular/core High CVE・ultimate-sitemap-parser×2、rack-proxy／http-proxy-middleware で proxy スマグリング／Pre-CVE 11）、malware 251件（npm 急増・依存混乱型）
- 2026/06/19：脆弱性 18件（datamodel-code-generator CVE 8本・electron 6本の協調リリース、nodemailer High／Pre-CVE 2）、malware 55件（通常域復帰、jetbrains なし）
- 2026/06/20：脆弱性 11件（better-auth に Pre-CVE 5件・serialize-javascript High Pre-CVE、guzzle CVE×2／vcrpy High／Pre-CVE 8）、malware 81件（vscode 拡張・cargo crate にも、dev ツールチェーン横断）
- 2026/06/21：脆弱性 0件（週末ゼロ、6/20 公開なし）、malware 45件（npm の atlasora-* 8兄弟クラスタ、Anthropic/Claude 偽装）
- 2026/06/22：脆弱性 0件（週末ゼロ2日連続、6/21 公開なし）、malware 36件（Zomato グループ偽装クラスタ、MCP 偽装、dalfox の homebrew/cargo 同時偽装）