数字
| 項目 | 6/22 | 6/23 | 6/24 | 6/25 | 6/26 |
|---|
| Critical | 0 | 0 | 0 | 0 | 1 |
| High | 0 | 6 | 1 | 0 | 3 |
| Medium | 0 | 5 | 1 | 5 | 10 |
| Low | 0 | 0 | 0 | 0 | 0 |
| Pre-CVE | 0 | 4 | 4 | 15 | 13 |
| Malware (24h, unique) | 36 | 75 | 103 | 297 | 75 |
CVE/GHSA の severity 行は CVE/GHSA 付与分のみ計上、Pre-CVE は別行。Malware は 6/25 検出分 75 unique（生109）。
新規観測（事実のみ）
脆弱性（6/25 公開、計27件）
CVE/GHSA（14件）
- Critical：drupal/geolocation（PHP、CVE-2026-13242）
- High：plug（elixir、CVE-2026-54892）、defuddle（JS、GHSA-jg4p-g6xj-4qmf）、quinn-proto（Rust、GHSA-4w2j-m93h-cj5j）
- Medium：drupal/ai（PHP）2件（CVE-2026-13234・13235）、drupal/ai_provider_openai（CVE-2026-13233）、drupal/ai_agents（CVE-2026-13237）、drupal/paragraphs（CVE-2026-13241）、drupal/salesforce（CVE-2026-13243）、ash（elixir、CVE-2026-55736）、wasmtime-wasi（Rust、GHSA-4ch3-9j33-3pmj）、guzzlehttp/guzzle（PHP、GHSA-g446-98w2-8p5w）、pypdf（Python、GHSA-g867-7843-wf8q）
Pre-CVE（13件）
- High：@workos-inc/authkit-nextjs（JS、score 75）
- Medium：@walletconnect/sign-client（65）・@walletconnect/utils（59）・@walletconnect/core（50）、openapi-backend（JS、68）、openhands-agent-server（Python、65）、social-auth-core（Python、59）、@middy/http-response-serializer（JS、54）、google-adk（Python、59）、lmdb（Python、58）、@inertiajs/react（59）・@inertiajs/vue3（59）
- Low：@strapi/content-manager（JS、31）
Malware（6/25 検出、75 unique／生109）
- エコシステム内訳（生）：npm 92 ／ pypi 7 ／ vscode 4 ／ cargo 2 ／ packagist 2 ／ firefox 1 ／ nuget 1
- npm が 64 unique。Baileys（WhatsApp ライブラリ）偽装：@alannxd/baileys・habibih-bailys。Claude／AI コーディングツール偽装：KsWpsClaude.wps-claude-vscode（vscode 拡張）・oh-aicoding-tool・@refactco/refact-os・@yhong91/vibetime（継続）
- crypto：bs58-86・txs-builder。gx-npm-* 小クラスタ（feature-flags／ui／lib）
- pypi 4（mcp-behave・ptai・webanalyzer-security 継続 等）、cargo 2、vscode 2、packagist・nuget・firefox に各1
注意点（3つ）
- Drupal 協調セキュリティリリースが再来（6/22 に続き）。今回は drupal/geolocation が Critical（CVE-2026-13242）、さらに AI 関連モジュール（drupal/ai・ai_provider_openai・ai_agents）と paragraphs・salesforce で計7 CVE。Drupal 運用者は SA を確認し、コア／モジュール（特に geolocation と AI 系）を優先更新。
- 認証・crypto 周りの Pre-CVE に注目。@workos-inc/authkit-nextjs が High（score75、Next.js 向け WorkOS 認証）、@walletconnect の sign-client/core/utils 3件（crypto ウォレット接続）。AI エージェント FW の openhands-agent-server・google-adk も挙がり、昨日の agno に続き AI エージェント基盤の脆弱性が続く。いずれも正式 CVE 化を注視。
- malware は 75 unique と昨日の 297 から通常域に復帰（vespaxdior 名前フラッディングは沈静）。ただし著名ライブラリ／ツール偽装は継続：Baileys（WhatsApp、@alannxd/baileys・habibih-bailys）、Claude／AI コーディングツール（KsWpsClaude の vscode 拡張・oh-aicoding-tool・@refactco）、crypto（bs58-86・txs-builder）。WhatsApp／AI／crypto 系の名前は導入元を必ず確認。
連続性メモ
- 2026/06/22：脆弱性 0件（週末ゼロ2日連続）、malware 36件（Zomato グループ偽装クラスタ、MCP 偽装、dalfox の homebrew/cargo 同時偽装）
- 2026/06/23：脆弱性 15件（Drupal 協調セキュリティリリース計8 CVE・undici High・jodit XSS／Pre-CVE 4）、malware は当時フィード空応答で未確定 → 後日 6/22 検出分を 75件として確定
- 2026/06/24：脆弱性 6件（@argos-ci/core High・aiosmtplib Medium／Azure.Core Pre-CVE、5エコシステムに分散）、malware 103件（AI エージェント偽装の版数フラッディング拡大、nuget にも出現）
- 2026/06/25：脆弱性 20件（Pre-CVE 偏重15、silverstripe CVE×2・hono×3／agno・sevenz-rust2 等 High Pre-CVE）、malware 297件（シリーズ最多、vespaxdior 名前フラッディング＋crypto ウォレットドレイナー群）
- 2026/06/26：脆弱性 27件（Critical 復活、Drupal 協調リリース7 CVE＋geolocation Critical／Pre-CVE 13）、malware 75件（通常域復帰、Baileys／Claude ツール偽装）