トピック別に新着順で読めます。「あのアップデート何だっけ」はキーワード・期間からも探せます。
Vercelは、コーディングエージェント的な振る舞いをするAIエージェントが抱える構造的なセキュリティリスクと、その対処法をまとめたブログ記事を公開しました。エージェント・ハーネス・秘密情報・生成コードという4つのアクターの信頼レベルを整理し、エージェント本体と生成コードの実行環境を分離した上でシークレットをネットワーク層で注入する構成を、本番運用における推奨アーキテクチャとして提示しています。あわせてVercel Sandboxでの安全なシークレット注入機能の提供も案内されています。
OpenAIは、コードベースの脆弱性を検出・検証・修正するAIエージェント「Codex Security」をリサーチプレビューとして発表しました。プロジェクトの文脈を理解した上で解析することで、誤検知の少ない高精度な脆弱性対応を目指す製品です。
NotionがCustom Agentを拡張する新機能「Notion Workers」を発表し、その実行基盤としてVercel Sandboxを採用しました。サードパーティ開発者やAIエージェントが生成した任意のコードを、企業ワークスペース内でも安全に実行するための隔離・認証情報保護・ネットワーク制御の仕組みが解説されています。
Kubernetes公式ブログに、本番環境でのデバッグ作業を安全に行うための実践的な指針が公開されました。cluster-adminや共有bastion、長期SSHキーに頼らず、RBACによる最小権限・短命な認証情報・just-in-timeゲートウェイを組み合わせるアーキテクチャを提案しています。既存のKubernetes環境に大きなツール変更なしで適用できる点がポイントです。
Vercelは、Workflowの入力値やステップの引数・戻り値、フックのペイロードなどを自動的に暗号化する機能を発表しました。イベントログには暗号文のみが保存され、復号には環境変数と同じ権限モデルと監査ログが適用されます。開発者はコードを一切変更せずに、この保護を利用できます。
Rails 8.1.2.1が公開され、Active Support・Action View・Action Pack・Active Storageにまたがる10件のCVEが修正されました。XSSやパストラバーサル、globインジェクションなど深刻度の異なる複数の脆弱性が一括で対処されています。Active Model・Active Record・Active Jobなど変更のないコンポーネントも明記されており、影響範囲を確認しやすいリリースノートになっています。
Ruby on RailsがRails 8.0.4.1をリリースしました。Active Support、Action View、Active Storageにまたがる8件のセキュリティ脆弱性(CVE)を修正するパッチリリースで、特にActive StorageにおけるパストラバーサルやグロブインジェクションといったCVE-2026-33195・CVE-2026-33202などの重大な修正が含まれています。
Rails 7.2.3.1がリリースされ、Active Support・Action View・Active Storageにまたがる合計7件のCVEが修正されました。特にActive Storageではパストラバーサルやglobインジェクション、範囲リクエストの悪用など、ファイル配信・アップロード周りの脆弱性への対処が中心となっています。
Ruby 3.2の最終リリースとなる3.2.11が公開されました。zlib gemの脆弱性CVE-2026-27820を修正するもので、今後3.2系へのセキュリティ修正を含む更新は一切提供されません。公式はRuby 3.4または4.0へのアップグレードを推奨しています。
nginxの最新mainlineバージョン1.29.7が公開されました。目玉はMultipath TCPのサポート追加と、アップストリーム接続のデフォルトをHTTP/1.1・keep-alive有効に変更した点です。あわせてDAV・mp4・mailモジュールやstreamのOCSP検証に関する複数のセキュリティ脆弱性も修正されています。
nginxの安定版1.28.3がリリースされました。ngx_http_dav_moduleやngx_http_mp4_module、メール認証機能、streamモジュールのOCSP処理に存在した合計6件のセキュリティ脆弱性が修正されています。詳細はnginx.orgの公式CHANGES-1.28に記載されています。
Python向けパッケージ管理ツールPoetryのバージョン2.3.3が公開されました。ホイールインストーラーにおけるパストラバーサル脆弱性の修正を筆頭に、git依存関係の更新不具合や仮想環境検出の誤動作、HTTP Basic認証の破損など複数のバグが修正されています。あわせて依存パッケージであるpoetry-coreも2.3.2に更新され、pyproject.tomlのメタデータ処理やバージョン制約の判定に関する不具合が解消されました。
Kubernetes公式ブログが「Kubernetes v1.36 Sneak Peek」で次期リリースの概要を公開しました。ingress-nginxの引退を踏まえたAPI非推奨・削除プロセスの解説に加え、Serviceの.spec.externalIPs非推奨、gitRepoボリュームの完全無効化、SELinuxラベリング高速化のGA化などが紹介されています。
2026年3月31日、npmパッケージ「axios」が能動的なサプライチェーン攻撃により侵害されていることが発覚しました。Vercelは自社基盤への影響はないとしつつ、ビルド環境でaxios@1.14.1やaxios@0.30.4を利用しているプロジェクトに対し、依存関係の点検や認証情報のローテーションなどの対応を呼びかけています。
JavaScriptの定番ユーティリティライブラリLodashの4.18.0が公開されました。_.unset/_.omitのプロトタイプ汚染と、_.templateのコード注入という2件の脆弱性が修正され、CVEが付与されています。加えて過去にCVEを抱えていたlodash.*系の個別パッケージも最新版に追随する形で再生成・公開されました。
React Server Componentsに存在するCVSS 7.5の高深刻度脆弱性CVE-2026-23869が公開されました。Next.jsのApp Routerを使うServer Function経由でDoS攻撃が可能になるもので、Vercelは自社WAFで緩和策を提供しつつ、利用者にパッチ適用済みバージョンへの即時アップグレードを強く推奨しています。
OpenAIは、サプライチェーン攻撃の一種であるAxios開発者ツールの侵害を受けて、macOS向けアプリのコード署名証明書をローテーションし、アプリを更新したと発表しました。同社はユーザーデータの流出はなかったことを確認しています。
PythonのパッケージマネージャーPoetryのバージョン2.3.4が公開されました。直前の2.3.3で発生したwheelインストーラの性能劣化を修正したほか、特定のPythonバージョンでsdist展開時にディレクトリ外へファイルを書き込まれ得るパストラバーサル脆弱性が修正されています。
OpenAIはサイバーセキュリティの防御担当者向けプログラム「Trusted Access for Cyber」を拡大し、新モデル「GPT-5.4-Cyber」を審査済みの防御担当者に提供開始したと発表しました。AIのサイバーセキュリティ関連能力の向上に合わせて、安全対策(セーフガード)も強化されています。
nginxの安定版最新版となる1.30.0が公開されました。1.29.x系のメインライン開発で追加されたEarly Hints、HTTP/2でのバックエンド接続、Encrypted ClientHello、アップストリームのスティッキーセッション対応、Multipath TCP対応などがまとめて取り込まれています。あわせて多数のバグ修正やQUIC・SSL周りの改善も反映されました。