数字
| 項目 | 6/26 | 6/27 | 6/28 | 6/29 | 6/30 |
|---|
| Critical | 1 | 0 | 0 | 0 | 1 |
| High | 1 | 0 | 0 | 2 | 3 |
| Medium | 1 | 0 | 0 | 2 | 1 |
| Low | 0 | 0 | 0 | 0 | 0 |
| Pre-CVE | 14 | 0 | 0 | 6 | 7 |
| Malware (24h, unique) | 64 | 25 | 50 | 212 | 74 |
列見出しはデータ日（脆弱性は公開日、malware は検出日）。CVE/GHSA の severity 行は CVE/GHSA 付与分のみ計上、Pre-CVE は別行。6/27・6/28 は週末で脆弱性ゼロ。本レポート（7/1 発行）のスコープは 6/30 分。
新規観測（事実のみ）
脆弱性（6/30 公開、計12件）
CVE/GHSA（5件）
- Critical：@better-auth/scim（JS、GHSA-rjg6-39jm-rgg4）
- High：@better-auth/sso（JS、GHSA-prpr-5gj3-qqhg）、@better-auth/stripe（JS、GHSA-h3rm-78g3-j7cp）、better-auth（JS、GHSA-qq9h-g4jm-xgf3）
- Medium：brace-expansion（JS、CVE-2026-13149）
Pre-CVE（7件）
- High：lopdf（Rust、score 75）
- Medium：kernels（Python、60）、@openai/agents-core（JS、40）、@openai/agents-extensions（JS、40）
- Low：workos（Ruby、38）、@pulumi/docker-build（JS、35）、pulumi-docker-build（Python、35）
Malware（6/30 検出、74 unique／生121）
- エコシステム内訳（生）：npm 100 ／ pypi 16 ／ cargo 1 ／ chrome 1 ／ maven 1 ／ vscode 1 ／ open_vsx 1
- npm が 64 unique。crypto/web3 系が濃く、base58／Solana クラスタ（crypto-base58・solana-address-codec・base58-cli・base58-core）、@bittensormcp/sign（Bittensor MCP、継続）、@blockyfy/stg-cli・@enigmax/helio
- AI／agent：livekit-agents・confluent-kafka-javascript・agent-starter-pack・nbmolviz-js。継続：@ibrahim1337/baksen（Baileys）、chai-as-（test typosquat）、rebrandly-domains-、procwire・openvisio
- Chrome 拡張：flickcall（Netflix Party／Teleparty 偽装、前日 Binance Wallet に続く）。maven（Java）：io.github.sanderdeclerck:endpoint-test
- pypi 5（crucible-security・ctx-retriever・sitellm 継続 等）、vscode（KsWpsClaude.wps-claude-vscode 継続）、open_vsx（pokemon-pets 継続）、cargo（split-brain-harness 継続）
注意点（3つ）
- better-auth に協調セキュリティリリース。@better-auth/scim が Critical（GHSA-rjg6-39jm-rgg4）、@better-auth/sso・@better-auth/stripe・better-auth 本体が High の計4 CVE。6/19-20 の日次で Pre-CVE クラスタとして挙げ「CVE 化を注視」としていたものが現実化した形。better-auth を認証基盤に使う構成（特に SCIM／SSO／Stripe 連携）は SA を確認し即更新を。あわせて brace-expansion（CVE-2026-13149）は minimatch／glob 経由で事実上ほぼ全 Node.js プロジェクトに間接依存するため、SBOM で範囲を確認。
- Pre-CVE では lopdf（Rust、High score75）、@openai/agents-core・extensions（AI エージェント、継続）、workos・pulumi-docker-build 等。AI エージェント基盤の Pre-CVE は連日続いており、正式 CVE 化を注視。
- malware は 74 unique と 6/29 の212 から通常域に復帰。crypto/web3 系が濃く、base58／Solana クラスタや @bittensormcp/sign が継続。ブラウザ拡張は Chrome で Netflix Party（flickcall）を偽装（前日 Binance Wallet に続く）、maven（Java）にも1件、IDE 拡張（KsWpsClaude・pokemon-pets）も継続。crypto／拡張／Java 依存も含め全エコシステムで取得元管理と install 時スキャンを。
連続性メモ
- 2026/06/26：脆弱性 17件（Drupal Critical tealiumiq・shell-quote High／Pre-CVE 14）、malware 64件（Backstage プラグイン依存混乱＋maven/Java にも出現）
- 2026/06/27：脆弱性 0件（週末ゼロ）、malware 25件（直近最少、dalfox を homebrew/cargo で再び同時偽装）
- 2026/06/28：脆弱性 0件（週末ゼロ2日連続）、malware 50件（open_vsx に dev ツール拡張偽装9件・OSS ハンドル詐称、Bittensor MCP 署名偽装）
- 2026/06/29：脆弱性 10件（@anthropic-ai/claude-code High CVE・tar GHSA・shopify_app High／Pre-CVE 6）、malware 212件（再急増、npm 短名フラッディング＋Chrome で Binance Wallet 偽装、@rakuten-rewards スコープ詐称）
- 2026/06/30：脆弱性 12件（better-auth 協調 Critical＋High 3・brace-expansion Medium／Pre-CVE 7）、malware 74件（通常域、crypto/base58 群・Chrome Netflix Party 偽装・maven/Java）