数字
| 項目 | 6/23 | 6/24 | 6/25 | 6/26 | 6/27 |
|---|
| Critical | 0 | 0 | 0 | 1 | 1 |
| High | 6 | 1 | 0 | 3 | 1 |
| Medium | 5 | 1 | 5 | 10 | 1 |
| Low | 0 | 0 | 0 | 0 | 0 |
| Pre-CVE | 4 | 4 | 15 | 13 | 14 |
| Malware (24h, unique) | 75 | 103 | 297 | 75 | 64 |
CVE/GHSA の severity 行は CVE/GHSA 付与分のみ計上、Pre-CVE は別行。Malware は 6/26 検出分 64 unique（生105）。
新規観測（事実のみ）
脆弱性（6/26 公開、計17件）
CVE/GHSA（3件）
- Critical：drupal/tealiumiq（PHP、CVE-2026-13244）
- High：shell-quote（JS、CVE-2026-13311、コマンドインジェクション）
- Medium：jodit（JS、GHSA-j839-gqq4-gf9j）
Pre-CVE（14件）
- Medium：@hocuspocus/server（JS、59）、@openai/agents-core（JS、59）、@inertiajs/core（JS、63／59）、@inertiajs/react（JS、59）、rubygems-update（Ruby、58）、social-auth-core（Python、46／45）、posthog（Python、50）、structopt（Rust、50）、shrine（Ruby、59）
- Low：httplib2（Python、35）、litesaml/lightsaml（PHP、37）、quick-xml（Rust、39）
Malware（6/26 検出、64 unique／生105）
- エコシステム内訳（生）：npm 93 ／ pypi 6 ／ ruby 2 ／ maven 1 ／ vscode 1 ／ firefox 1 ／ cargo 1
- npm が 55 unique。Backstage プラグイン依存混乱クラスタが突出：@immobiliarelabs/backstage-plugin-gitlab（7版）・ldap-auth（5版）・ldap-auth-backend（5版）・gitlab-backend（5版）。企業内部ツールのスコープを狙う依存混乱型
- @bobfrankston/* の mail／oauth 群（rmfmail 6版・mailx-imap／sync／store／settings／types・oauthsupport）、@matatbread/matbot-tool-docker-bash（継続）
- base58 crypto 系：crypto-base58・typescript-base58・base58-core。@alannxd/baileys（WhatsApp、継続）、@epsteinlovekids483/crossmint-wallets-sdk-pentest（crypto）
- maven（Java）：com.sentientsimulations:project-zomboid-storm。pypi（mitmcp・ai-artifact-risk-validator・canary-scan 等）、ruby（rails_structured_logging）、vscode（KsWpsClaude.wps-claude-vscode、継続）、cargo（kamft_desktop、継続）、firefox（quiz-fetch）
注意点（3つ）
- Drupal の Critical が2日連続（6/25 geolocation、6/26 tealiumiq）。drupal/tealiumiq（CVE-2026-13244）は Tealium iQ タグ管理連携モジュール。Drupal 運用者は SA を継続確認し、サードパーティ連携モジュールを優先更新。あわせて shell-quote の High（CVE-2026-13311、コマンドインジェクション）はビルド／CLI 系で間接依存が広いため、SBOM で影響範囲を確認。
- Pre-CVE は14件と多く、AI エージェント基盤の流れが継続（@openai/agents-core）。さらに @inertiajs/core・react、rubygems-update（RubyGems 本体の更新ツール）、shrine（Ruby ファイルアップロード）、social-auth-core など広く使われる依存が並ぶ。いずれも正式 CVE 化を注視。
- malware は 64 unique と通常域。今日の主役は Backstage（開発者ポータル）プラグインを騙る依存混乱クラスタ（@immobiliarelabs の gitlab／ldap-auth プラグインを版数フラッディング）で、企業内部ツールのスコープを狙う典型。さらに稀な maven（Java）にも1件（com.sentientsimulations:project-zomboid-storm）。Claude/AI ツール偽装（KsWpsClaude の vscode 拡張・mitmcp・matbot-tool-docker-bash）や base58 crypto 系も継続。Backstage／内部スコープ・Java 依存も含め全エコシステムで取得元管理を。
連続性メモ
- 2026/06/23：脆弱性 15件（Drupal 協調セキュリティリリース計8 CVE・undici High・jodit XSS／Pre-CVE 4）、malware は当時フィード空応答で未確定 → 後日 6/22 検出分を 75件として確定
- 2026/06/24：脆弱性 6件（@argos-ci/core High・aiosmtplib Medium／Azure.Core Pre-CVE）、malware 103件（AI エージェント偽装の版数フラッディング、nuget にも出現）
- 2026/06/25：脆弱性 20件（Pre-CVE 偏重15、silverstripe CVE×2・hono×3／agno・sevenz-rust2 等 High Pre-CVE）、malware 297件（シリーズ最多、vespaxdior 名前フラッディング＋crypto ウォレットドレイナー群）
- 2026/06/26：脆弱性 27件（Critical 復活、Drupal 協調リリース7 CVE＋geolocation Critical／Pre-CVE 13）、malware 75件（Baileys／Claude ツール偽装）
- 2026/06/27：脆弱性 17件（Drupal Critical 2日連続 tealiumiq・shell-quote High／Pre-CVE 14、@openai/agents-core 継続）、malware 64件（Backstage プラグイン依存混乱＋maven/Java にも出現）