【2026/06/23】Aikido Intel 日次 — 6/22 公開15件、Drupal 協調セキュリティリリースでコア+モジュール8 CVE一括（デシリアライズ High 複数）、undici High（Node.js HTTP）と jodit XSS。malware は npm analysis-chart 版数フラッディング（フィード空応答で総数未確定）

2026年6月23日（火）時点。6/22 公開の脆弱性は15件（CVE/GHSA 11：Critical 0・High 6・Medium 5・Low 0、Pre-CVE 4）。中心は Drupal の協調セキュリティリリースで、drupal/core 5件（High CVE-2026-55803 ／ Medium CVE-2026-55804・55806・55807・55808）に加え、モジュールの formatter_field（High・CVE-2026-12535・デシリアライズ）、flag_attendance_field（High・CVE-2026-55809）、plotly_js（High・CVE-2026-55810）と、計8件すべて PHP。JS では undici が High（CVE-2026-12151、Node.js の HTTP クライアントで間接依存が広い）、jodit が High（GHSA-rxcw-mc6f-6hr3、XSS）。Ruby の secure_headers は Medium（CVE-2026-54163、CRLF）。Pre-CVE 4件は prefect（SSRF・Python）、filelock（リソース枯渇・Python）、posthog-js（情報露出・JS）、imgref（Rust）。malware は Aikido Intel の malware predictions フィードが空応答のため、24h unique の総数が未確定。観測できた範囲では npm の analysis-chart が v2.0.6〜2.0.12 で版数フラッディング（7版）、ほか kdrive-utils・pino-zod・web3-token-helper（Web3 偽装の疑い）を確認。

多日トレンド

指標	6/18	6/19	6/20(土)	6/21(日)	6/22
Critical	0	0	0	0	0
High	12	1	0	0	6
Medium	3	2	0	0	5
Low	1	0	0	0	0
Pre-CVE	2	8	0	0	4
Malware (24h uniq)	55	81	—	36	未確定

新規観測

脆弱性

Drupal 協調セキュリティリリース計8件（全 PHP）: drupal/core 5件（High CVE-2026-55803 ／ Medium CVE-2026-55804・55806・55807・55808）、drupal/formatter_field High CVE-2026-12535（Deserialization）、drupal/flag_attendance_field High CVE-2026-55809、drupal/plotly_js High CVE-2026-55810
undici High CVE-2026-12151（JS、Node.js HTTP クライアント）
jodit High GHSA-rxcw-mc6f-6hr3（JS、XSS）
secure_headers Medium CVE-2026-54163（Ruby、CRLF インジェクション）
Pre-CVE 4件: prefect SSRF（Python）、filelock リソース枯渇（Python）、posthog-js 情報露出（JS）、imgref（Rust）

Malware（フィード制限により観測範囲のみ）

npm analysis-chart が v2.0.6〜2.0.12 で版数フラッディング（7版）
kdrive-utils、pino-zod、web3-token-helper（Web3 偽装の疑い）
観測範囲は全て npm。malware predictions フィードが空応答のため、24h unique 総数・他エコシステム内訳は未確定

注意点

Drupal 運用者は SA を確認し、コア／モジュールを更新する。8件協調で High にデシリアライズ系が複数あり、信頼できない入力を扱う箇所を優先。
undici は多数の Node.js プロジェクトが間接依存している。直接 import していなくても影響しうるため、SBOM で範囲を確認。
npm の取り違えに注意。analysis-chart のような版数フラッディングは、類似名の正規パッケージとの誤インストールを狙う。

連続性メモ

6/18: 脆弱性18（High 12、datamodel-code-generator／electron 協調採番）、malware 55
6/19: 脆弱性11（better-auth に Pre-CVE 5集中）、malware 81
6/20（土）: 週末で脆弱性公開ゼロ
6/21（日）: 週末ゼロ（2日連続）、malware 36
6/22（月）: 週末明けに公開再開、脆弱性15（High 6／Medium 5＋Pre-CVE 4）、Drupal 8件協調リリースが中心。malware はフィード制限で未確定