数字
| 項目 | 6/25 | 6/26 | 6/27 | 6/28 | 6/29 |
|---|
| Critical | 0 | 1 | 0 | 0 | 0 |
| High | 0 | 1 | 0 | 0 | 2 |
| Medium | 5 | 1 | 0 | 0 | 2 |
| Low | 0 | 0 | 0 | 0 | 0 |
| Pre-CVE | 15 | 14 | 0 | 0 | 6 |
| Malware (24h, unique) | 297 | 64 | 25 | 50 | 212 |
列見出しはデータ日（脆弱性は公開日、malware は検出日）。CVE/GHSA の severity 行は CVE/GHSA 付与分のみ計上、Pre-CVE は別行。6/27・6/28 は週末で脆弱性ゼロ。本レポート（6/30 発行）のスコープは 6/29 分。
新規観測（事実のみ）
脆弱性（6/29 公開、計10件）
CVE/GHSA（4件）
- High：@anthropic-ai/claude-code（JS、CVE-2026-55607）、shopify_app（Ruby、GHSA-6j52-38f8-qhxr）
- Medium：pydantic-ai（Python、CVE-2026-54249）、tar（JS、GHSA-gvwx-54wh-qm9j）
Pre-CVE（6件）
- Medium：aws-java-sdk-s3（Java、50）、@tanstack/db（JS、59）、@line/bot-sdk（JS、45）、imapflow（JS、65）、appium-adb（JS、59）
- Low：composer/composer（PHP、35）
Malware（6/29 検出、212 unique／生321）
- エコシステム内訳（生）：npm 288 ／ pypi 18 ／ vscode 5 ／ open_vsx 5 ／ firefox 3 ／ nuget 1 ／ chrome 1
- npm が 195 unique と急増。1x1・2x2・3x3・3o〜9o・1f／1g／1h・8a・o0o・yeye・wuwu 等の2文字前後 throwaway 名による短名フラッディングで件数を稼ぐ（6/25 vespaxdior の名前フラッディングに続く手口）
- 組織スコープ詐称（依存混乱）：@rakuten-rewards（楽天）2件・@withoneltd 3件・@sec-loans-ui・@webd-infra・@tbe-ui。継続：@alannxd/baileys（WhatsApp）・@bobfrankston/rmfmail・@matatbread/matbot-tool-docker-bash
- Chrome 拡張：binance wallet（Binance Wallet 偽装、crypto ウォレット狙い）。open_vsx 5（a-file-icon-vscode・json-server・vscode-paste-and-indent・yaml-with-script・pokemon-pets、6/28 から継続）
- pypi 6・vscode 2・firefox 2・nuget 1 にも
注意点（3つ）
- @anthropic-ai/claude-code に High CVE（CVE-2026-55607）。Claude Code を CLI／エージェントで使う環境は、Aikido の SA や GitHub Advisory を確認し最新版へ更新を。あわせて tar（JS、GHSA、極めて広範な間接依存）、shopify_app（Ruby High）、AI エージェントの pydantic-ai（agno・openhands・@openai/agents-core に続く流れ）も該当環境は点検。
- malware は 212 unique（生321）と 6/25（297）に次ぐ規模で再急増。npm が 195 unique を占め、1x1・3o・8a 等の2文字 throwaway 名による短名フラッディングで件数を稼ぐ。@rakuten-rewards（楽天）・@withoneltd 等の組織スコープ詐称（依存混乱）も並ぶ。install 時スキャンとレジストリ取得元の厳格化を。
- ブラウザ／IDE 拡張への展開が継続・拡大。Chrome 拡張で Binance Wallet を偽装（crypto ウォレット狙い）、open_vsx に VS Code 拡張偽装（a-file-icon・json-server・paste-and-indent 等、6/28 から継続）。ブラウザ拡張・IDE 拡張は発行者と入手元を必ず確認し、開発者端末側も監視対象に。
連続性メモ
- 2026/06/25：脆弱性 20件（Pre-CVE 偏重15、silverstripe CVE×2・hono×3／agno・sevenz-rust2 等 High Pre-CVE）、malware 297件（シリーズ最多、vespaxdior 名前フラッディング＋crypto ウォレットドレイナー群）
- 2026/06/26：脆弱性 17件（Drupal Critical tealiumiq・shell-quote High／Pre-CVE 14）、malware 64件（Backstage プラグイン依存混乱＋maven/Java にも出現）
- 2026/06/27：脆弱性 0件（週末ゼロ）、malware 25件（直近最少、dalfox を homebrew/cargo で再び同時偽装）
- 2026/06/28：脆弱性 0件（週末ゼロ2日連続）、malware 50件（open_vsx に dev ツール拡張偽装9件・OSS ハンドル詐称、Bittensor MCP 署名偽装）
- 2026/06/29：脆弱性 10件（@anthropic-ai/claude-code High CVE・tar GHSA・shopify_app High／Pre-CVE 6）、malware 212件（再急増、npm 短名フラッディング＋Chrome で Binance Wallet 偽装、@rakuten-rewards スコープ詐称）