date-fns v5.0.0-alpha.0公開、パッケージサイズをほぼ半減
ワンポイントdate-fns v5はzipサイズを5.83MBから2.89MBへ削減
date-fnsのメジャーバージョンとなるv5.0.0-alpha.0がリリースされました。CDN用スクリプトを別パッケージに分離することで、zip圧縮後のパッケージサイズをv4.3.0比で約半分に削減しています。CDN経由でdate-fnsを利用しているユーザーには破壊的変更が入るため注意が必要です。
Primary Sources Only
公式ブログとリリースノートを、日本語の記事にして毎朝届けます。
まとめサイトの記事や機械翻訳ではなく、一次情報だけを追っています。興味のあるトピックだけ選んで読めます。
- 一次情報のみ公式ブログ・リリースノートだけを収集、二次情報は扱いません
- 毎朝ダイジェスト興味トピックの新着記事をメールでまとめて
- 原文リンク明記出典と原文へのリンクを必ず併記
トピック: nodejs解除
pnpm 10.34.2公開、リポジトリ側の.npmrcによる環境変数漏洩を防ぐ緊急セキュリティ修正
ワンポイント リ ポ ジ ト リ 側 . n p m r c か ら の 環 境 変 数 展 開 を 全 面 禁 止
pnpm 10.34.2は、プロジェクトの.npmrcやpnpm-workspace.yamlに書かれた${ENV_VAR}展開機能を悪用してnpmトークンなどの環境変数を外部レジストリに漏洩させる脆弱性(GHSA-3qhv-2rgh-x77r)を修正しました。合わせてpackage-managerバイナリの署名検証やNode.jsダウンロードの署名確認など、サプライチェーン攻撃対策も強化されています。認証設定が壊れる可能性があるため、既存ユーザーは移行対応が必要です。
pnpm 10.34.3公開 — リポジトリ内.npmrcの環境変数展開を無効化するセキュリティ修正
ワンポイントリポジトリ内.npmrcの環境変数展開を無効化しトークン漏洩を防止
pnpmの最新パッチ**10.34.3**は、脆弱性報告**GHSA-3qhv-2rgh-x77r**を受けたセキュリティリリースです。プロジェクト配下の`.npmrc`に書かれた`${ENV_VAR}`形式の環境変数展開を信頼できない設定源として無効化し、悪意あるリポジトリによるトークン窃取の可能性を防ぎます。既存の認証設定によっては挙動が変わるため、移行方法も併せて案内されています。
pnpm 11.5.3公開、.npmrc経由の環境変数漏洩を防ぐセキュリティ修正で対応が必要な場合あり
ワンポイントリポジトリの.npmrcが秘密情報を漏洩させる脆弱性を修正
pnpmのマイナーリリース11.5.3では、GitHub Security Advisory GHSA-3qhv-2rgh-x77rを受けて、リポジトリ管理下の.npmrcに書かれた環境変数プレースホルダーの展開を停止しました。加えてパッケージマネージャー本体やNode.jsランタイムのダウンロード時に署名検証を行う仕組みも導入され、サプライチェーン攻撃への耐性が強化されています。既存のCI環境で認証が壊れる可能性があるため、移行手順の確認が必要です。
pnpm 11.6.0リリース、.npmrc経由の環境変数漏洩を防ぐセキュリティ修正と性能改善
ワンポイントpnpm、.npmrc経由の認証情報漏洩を防ぐセキュリティ修正を実施
pnpm 11.6.0では、悪意あるリポジトリがプロジェクトの.npmrcを通じて認証情報を外部に流出させられるセキュリティ脆弱性(GHSA-3qhv-2rgh-x77r)が修正されました。あわせて、ロックファイル削除時の再解決を省略する高速化やネットワーク並列数の見直し、環境変数によるレジストリ認証設定など複数の改善が加わっています。
Vercel Workflow SDK、Nitro v3にネイティブ統合してベータ提供開始
ワンポイントWorkflow SDKがNitro v3に統合、ビルド高速化・バンドル縮小へ
Vercelの「Workflow SDK」が、サーバーランタイム「Nitro v3」とのネイティブ統合をベータ版として公開しました。ワークフローのステップが独立したバンドルではなくアプリ本体と同じランタイム上で動作するようになり、Nitroの機能を直接利用できます。ビルド時の依存関係解析とtree-shakingにより、出力サイズの削減とビルド高速化も期待できます。
graphql-js v17.0.0リリース、ディレクティブ関連の仕様が正式サポートへ
ワンポイントディレクティブに対するディレクティブが正式機能に昇格
GraphQLの公式JavaScript実装であるgraphql-jsのv17.0.0がリリースされました。ディレクティブに関する新機能の正式対応やバリデーション周りの複数のバグ修正が含まれる一方、追加直後に取り消された機能もあります。ドキュメントやCI関連の整備も多数行われています。
Vercel Functions、実行時間の上限を30分に拡大 ― AIエージェントや長時間処理に対応
ワンポイントVercel Functionsの実行時間上限が800秒から最大30分に拡大
Vercelは、Node.jsおよびPythonランタイムを使うVercel FunctionsについてPro・Enterpriseプラン向けに実行時間の上限を最大30分まで拡大しました。従来の800秒制限から2倍以上の延長となり、長時間のLLM推論やドキュメント処理などのワークロードに対応しやすくなります。設定はvercel.jsonやNext.jsのルートファイルでのオプトインが必要です。
Vercel、オープンソースのAIエージェントフレームワーク「eve」をパブリックプレビューで公開
ワンポイントファイルを追加するだけでエージェントを本番までそのまま運用
Vercelは自社のエージェント開発・実行基盤である「eve」をオープンソース化し、パブリックプレビューとして公開しました。エージェントをディレクトリ内のファイルとして定義でき、開発からVercelへの本番デプロイまでを一貫して行える点が特徴です。
Vercel、AIエージェントに必須の6要素を束ねた「Agent Stack」を提示
ワンポイントVercelがエージェント基盤6要素を1つのスタックに整理
VercelはBlueskyの投稿で、AIエージェントの構築に必要な6つの技術要素と、それぞれに対応する自社プロダクトを組み合わせた「Agent Stack」という考え方を紹介しました。あわせて、これらをワンコマンドで実装できるコーディングエージェント「eve」にも言及しています。
Vercelが「Agent Stack」を提唱、本番運用可能なAIエージェント構築の全体像を整理
ワンポイントエージェント開発の3大課題を一つのスタックに統合
Vercelは、AIエージェントに共通して必要な3つの機能（モデル接続、ワークフロー実行、データ・プラットフォーム連携）を体系化した「Agent Stack」を発表しました。AI SDKやAI Gateway、Workflow SDK、Vercel Sandbox、新しいVercel ConnectやChat SDKといった既存・新規のプロダクトを組み合わせることで、これまで各社が自前で構築していた基盤部分を標準化します。あわせて、これらを一つのディレクトリで実装した公開ベータ版フレームワーク「eve」も紹介されています。
Vercel、エージェント開発向けフレームワーク「eve」を発表
ワンポイントVercelが「Next.jsのようなエージェント規約」eveを発表
VercelがBlueskyで新フレームワーク「eve」を発表しました。キャッチフレーズは「エージェントのためのNext.js」で、agent.tsやinstructions.mdなど標準化されたディレクトリ構成を採用しています。詳細は同社ブログで公開されています。
Node.js 22.23.0リリース、TLS・WebCryptoの高深刻度CVEを含む11件のセキュリティ修正
ワンポイントNode.js 22系にTLS等の高深刻度含む11件のCVE修正が公開
Node.js公式が2026年6月18日、LTS版22系の最新セキュリティリリース「v22.23.0(Jod)」を公開しました。TLSのホスト名検証やWebCryptoの出力長チェックなど、Highと判定された2件を含む合計11件のCVEが修正されています。nghttp2やopenssl、llhttp、undiciなどの依存ライブラリも更新されています。
Node.js 24.17.0 'Krypton' (LTS) リリース、TLSやWebCryptoなど11件のCVEを修正するセキュリティアップデート
ワンポイントNode.js 24.17.0、TLSホスト名検証など11件のCVEを一挙修正
Node.js公式が24.17.0(LTS、コードネーム'Krypton')をリリースしました。TLSのホスト名検証やWebCryptoの出力長チェックなど、深刻度Highを含む合計11件のCVEを修正するセキュリティ専用リリースです。あわせてOpenSSLやnghttp2などの依存ライブラリも更新されています。
Node.js v26.3.1がリリース、TLSやWebCryptoなど11件のセキュリティ脆弱性を修正
ワンポイントNode.js v26.3.1でTLS・WebCryptoなど11件のCVEを一斉修正
Node.js公式が2026年6月18日にセキュリティリリースとしてv26.3.1(Current)を公開しました。深刻度Highの2件を含む合計11件のCVEが修正されており、TLSのホスト名検証やWebCryptoの出力長、HTTP/2のメモリ肥大化などが対象です。依存ライブラリのllhttp・undici・OpenSSLも更新されています。
Vercel Functions、WebSocket対応がパブリックベータで利用可能に
ワンポイントVercel Functionsが接続待機時間は無課金でWebSocketに対応
Vercelは、Vercel Functions上でWebSocket接続を扱えるパブリックベータ機能を発表しました。クライアントとサーバーサイドコード間の双方向通信が可能になり、チャットや協働アプリ、AIのストリーミング応答などのリアルタイム機能を実装しやすくなります。課金はFluid computeのActive CPU課金に基づき、接続の待機時間ではなく実際の処理時間にのみ発生します。
Vercel、Node.jsサーバーをゼロコンフィグでデプロイ可能に
ワンポイントserver.tsを置くだけでNode.jsサーバーが即デプロイ可能に
Vercelが、Node.jsサーバーをゼロコンフィグレーションでデプロイできる新機能を追加しました。プロジェクトルートまたはsrc配下にserver.tsを置くだけで、VercelがNode.jsアプリケーションとして自動検出・デプロイします。Express、Koa、NestJSに続く新たなゼロコンフィグ対応として、CLIによるローカル開発とデプロイもサポートされます。
pnpm 10.34.5リリース、lockfileやパッケージ名を悪用したパストラバーサルの脆弱性を修正
ワンポイントlockfileやパッケージ名を悪用した仮想ストア外書き込みの脆弱性を修正
pnpm 10.34.5では、悪意のあるpnpm-lock.yamlやスコープ付きパッケージ名を利用して仮想ストア外にファイルを書き込めるパストラバーサル脆弱性が2件修正されました。あわせてpnpm v12への切り替え・自動更新の不具合と、pnpm-workspace.yaml経由のプロキシ設定における環境変数展開の問題も解消されています。
Node.js 24.18.0 (LTS) リリース、Buffer.poolSizeが64KiBに拡大しWeb Cryptoが強化
ワンポイントBuffer.poolSizeのデフォルトが64KiBに拡大
Node.js公式が24系LTS「Krypton」の最新パッチ24.18.0を公開しました。Buffer.poolSizeのデフォルト値拡大や、http/cryptoモジュールへのマイナー機能追加、多数のバグ修正・セキュリティ強化が含まれています。npmも11.16.0に更新されました。
Node.js v26.4.0リリース、readFile()バッファ指定やnode:vfs、package mapsなど注目の新機能が追加
ワンポイントreadFile()が呼び出し側バッファ対応、node:vfsも新登場
Node.js v26.4.0(Current)が公開されました。fsモジュールでのreadFile()呼び出し時のバッファ指定サポート、実験的なnode:vfsサブシステム、loaderのpackage maps実装、TLS証明書圧縮オプションなど、複数のSEMVER-MINOR機能が追加されています。npmは11.17.0にアップデートされ、Node.js 25はEOLとなりました。