数字
| 項目 | 6/24 | 6/25 | 6/26 | 6/27 | 6/28 |
|---|
| Critical | 0 | 0 | 1 | 1 | 0 |
| High | 1 | 0 | 3 | 1 | 0 |
| Medium | 1 | 5 | 10 | 1 | 0 |
| Low | 0 | 0 | 0 | 0 | 0 |
| Pre-CVE | 4 | 15 | 13 | 14 | 0 |
| Malware (24h, unique) | 103 | 297 | 75 | 64 | 25 |
CVE/GHSA の severity 行は CVE/GHSA 付与分のみ計上、Pre-CVE は別行。6/28 列は週末で脆弱性ゼロ。Malware は 6/27 検出分 25 unique（生49）。
新規観測（事実のみ）
脆弱性（6/27 公開）
- 新規公開なし（週末ゼロ）。CVE/GHSA・Pre-CVE とも0件。CVE フィードの最新公開日は 6/26 のまま
Malware（6/27 検出、25 unique／生49）
- エコシステム内訳（生）：npm 38 ／ open_vsx 3 ／ nuget 2 ／ firefox 2 ／ vscode 1 ／ homebrew 1 ／ cargo 1 ／ pypi 1
- npm が 16 unique。@bobfrankston の mail／oauth 群が継続（rmfmail・mailx-store-web・mailx-imap・mailx-types）。Baileys（WhatsApp）偽装：@mrhansamala/nexus-baileys・@ibrahim1337/baksen
- crypto／決済 SDK 偽装：polymarket-clob-math・stake-math・crossmint-wallets-sdk・int_sezzle_sfra（Sezzle）。chai-as-persisted（chai typosquat）、ts-einkle／ts-ankle 等の throwaway 名
- dalfox（XSS スキャナ）を homebrew と cargo の両方で再び同時偽装（6/22 と同手口）
- open_vsx：juajnnlb/claude-commit（Claude 偽装）・Zerobig/vscode-1c-metadata-viewer。vscode：jzeeed.jzeeed。firefox：max-free-vpn・workingvpn（VPN 誘い）。nuget：amazing-x-x・albion-x-x。pypi：sitellm（継続）
注意点（3つ）
- 6/27 は週末で脆弱性の新規公開はゼロ。新規 CVE/GHSA/Pre-CVE はなし。平日分は週明け以降にまとまって出る見込みのため、週明けの日次で件数増を見込んでおく。
- malware は 25 unique と直近最少だが、継続キャンペーンは残存。@bobfrankston の mail／oauth 群（6/26 から）、Baileys（WhatsApp）偽装、crypto／決済 SDK 偽装（polymarket-clob-math・stake-math・crossmint-wallets-sdk・int_sezzle_sfra）。crypto／決済 SDK 名は特に取得元を確認し、install 時スキャンを常時有効に。
- XSS スキャナ dalfox を homebrew と cargo の両方で再び同時偽装（6/22 と同手口）、open_vsx に Claude 偽装（claude-commit）、firefox に VPN 誘い（max-free-vpn・workingvpn）。IDE 拡張・ブラウザアドオン・CLI ツールを横断する手口が継続しており、開発者端末側の取得元管理も監視対象に。
連続性メモ
- 2026/06/24：脆弱性 6件（@argos-ci/core High・aiosmtplib Medium／Azure.Core Pre-CVE）、malware 103件（AI エージェント偽装の版数フラッディング、nuget にも出現）
- 2026/06/25：脆弱性 20件（Pre-CVE 偏重15、silverstripe CVE×2・hono×3／agno・sevenz-rust2 等 High Pre-CVE）、malware 297件（シリーズ最多、vespaxdior 名前フラッディング＋crypto ウォレットドレイナー群）
- 2026/06/26：脆弱性 27件（Critical 復活、Drupal 協調リリース7 CVE＋geolocation Critical／Pre-CVE 13）、malware 75件（Baileys／Claude ツール偽装）
- 2026/06/27：脆弱性 17件（Drupal Critical 2日連続 tealiumiq・shell-quote High／Pre-CVE 14、@openai/agents-core 継続）、malware 64件（Backstage プラグイン依存混乱＋maven/Java にも出現）
- 2026/06/28：脆弱性 0件（週末ゼロ、6/27 公開なし）、malware 25件（直近最少、@bobfrankston mail 群・Baileys・crypto 偽装継続、dalfox を homebrew/cargo で再び同時偽装）