Docker Engine 29.6.1リリース、OOMやビルドセキュリティの脆弱性を修正
ワンポイント悪意イメージによるOOMとビルドの保護回避を修正したv29.6.1
Docker(Moby)がDocker Engine 29.6.1をリリースしました。悪意あるイメージによるメモリ枯渇攻撃と、BuildKitのSeccomp/AppArmor無効化を許してしまう脆弱性を修正しています。合わせてcontainerdとBuildKitのバージョンも更新されました。
Archive
記事アーカイブ
トピック別に新着順で読めます。「あのアップデート何だっけ」はキーワード・期間からも探せます。
すべて1375AI・LLM655セキュリティ379開発ツール275DevOps・CI/CD240OpenAI220Vercel188GitHub119Hugging Face104Node.js / ランタイム101Cloudflare95サーバーレス92Next.js86データベース82TypeScript74Redis73Anthropic66Python66フロントエンド65Model Context Protocol64クラウド62Kubernetes60AI セキュリティ56AIベンチマーク55Google DeepMind55JavaScript53AWS51オープンソース51Docker41Transformers41GitLab35LangChain35React34ベクトルデータベース28テスト26pnpm24Azure22Deno21PostgreSQL17Rust17PyTorch16AIコンテキスト管理14Go14Bun13nginx13ロボティクス13Terraform13Django12Git12Google Cloud12.NET12Vite12Ruby11Elastic10OpenTelemetry10Supabase10mise9Nuxt9Elasticsearch8GraphQL8Ollama8LLVM7Prisma7Prometheus7Vitest7vLLM7Erlang/OTP6Hono6Mojo6Playwright6Svelte6Grafana5PHP5Polars5Rails5Remix5Vue5Bevy4LlamaIndex4Meilisearch4TensorFlow4Astro3Crystal3Elixir3FastAPI3Foundation3モバイル3MobX3OCaml3pandas3Poetry3RabbitMQ3Turborepo3Zed3Airflow2Angular2Ant Design2Apache Kafka2Biome2date-fns2DuckDB2esbuild2Godot Engine2htmx2Hugo2Jaeger2Jenkins2JupyterLab2Mantine2Material UI2NumPy2Qwik2Rolldown2shadcn/ui2SolidJS2SQLAlchemy2uv2Webpack2ArgoCD1Celery1Dart1Drizzle ORM1Effect1Flask1Framer Motion1Ionic1Jest1Jotai1Kotlin1Lodash1Lua1NestJS1Pinia1pytest1Ruff1scikit-learn1Spring1Storybook1TanStack Query1Typesense1Zod1
Vercelのビルドログ、機密な環境変数の値を自動でマスキング
ワンポイント32文字以上の機密環境変数、ビルドログで自動的に[REDACTED]表示へ
Vercelは、Sensitive(機密)に設定した環境変数のうち32文字以上の値をビルドログ上で自動的に[REDACTED]表示に置き換える機能を追加しました。Activity Logには変数名やプロジェクト・デプロイ情報のみが記録され、値自体は一切残りません。デプロイのセキュリティに関わる一部のシステム環境変数も同様にマスキング対象となります。
pnpm 11.11リリース、パストラバーサル脆弱性の修正とpnpm accessコマンドを追加
ワンポイントpnpmの複数パストラバーサル脆弱性を修正、更新推奨
パッケージマネージャーpnpmのバージョン11.11がリリースされました。新機能としてレジストリ上のパッケージ権限を管理する`pnpm access`コマンドが追加され、同時に複数のパストラバーサル脆弱性の修正やクレデンシャル漏洩対策など、セキュリティ関連のパッチが多数含まれています。加えて依存解決時のメモリ使用量を約30%削減する改善も行われました。
Docker Blogが解説、EU AI Act対応をエンジニアリング視点でどう進めるか
ワンポイントEU AI Act対応、リスク階層と2027年までの期限がカギ
Docker Blogが、EU AI Act(EU AI法)への準拠に関する記事を公開しました。リスク階層ごとの対応要件や2027年までの主要な期限、そしてエンジニアリングチームがAIガバナンスを実務に落とし込む方法がテーマとして紹介されています。
uv 0.11.25リリース、tar処理のセキュリティ強化とロックファイル関連機能を拡充
ワンポイントtarライブラリ更新で不正な配布物を拒否するように強化
Pythonパッケージマネージャーuvの0.11.25が公開されました。tar解析ライブラリの更新によるセキュリティ強化に加え、ツールレシートへのロックファイル追加やスコープ付き依存関係の上書き・除外サポートなど多数の改善が含まれます。プレビュー機能ではワークスペースやty連携の強化も進んでいます。
tech/ai news
PostgreSQL ODBCドライバ REL-18_00_0002公開、二重解放やバッファオーバーフローを修正
ワンポイントスタックオーバーフローや二重解放など複数の安全性バグを修正
PostgreSQL用ODBCドライバ「psqlodbc」の新バージョンREL-18_00_0002がPostgreSQL Newsで発表されました。目玉はメモリ安全性の改善で、スタックバッファオーバーフローやSQLDisconnect時の二重解放、ログへの機密情報漏えいなどが修正されています。新機能追加ではなく堅牢性強化が中心のメンテナンスリリースです。
tech/ai news
OpenAI、政府・国家安全保障分野との連携方針を公表
ワンポイントOpenAIが政府・安保パートナーシップの3原則を公表
OpenAIが、政府機関や国家安全保障関連組織との協業に関する基本方針を発表しました。責任あるAI利用、民主的な説明責任、そして公共の安全という3つの観点から、パートナーシップの姿勢を示す内容です。具体的な運用ルールの詳細は明らかにされていませんが、AIと国家権力の関わり方に対するOpenAIの立場を知る手がかりとなります。
NIST、新たな耐量子署名アルゴリズム9種を選定 CloudflareはML-DSA採用を推奨
ワンポイント新候補9種は有望だが、今はML-DSA一択とCloudflareが提言
米NISTが将来の標準化候補として新たに9つの耐量子署名アルゴリズムを選定したことを受け、Cloudflareが詳細な分析記事を公開しました。同社は各アルゴリズムの可能性を評価しつつも、現時点では既に標準化済みのML-DSAを使うべきだと主張しています。
tech/ai news
Cloudflareが提言、耐量子署名は「今あるML-DSA」で妥協するしかない
ワンポイントCloudflare「完璧な耐量子署名を待たずML-DSAを今使うべき」
Cloudflareの公式ブログに掲載された記事「We cannot wait for better post-quantum signature algorithms」がHacker Newsで話題になりました。タイトルが示す通り、より優れた耐量子計算機暗号の署名アルゴリズムの登場を待つのではなく、現行の**ML-DSA**を実運用に採用すべきだという趣旨の主張とみられます。Hacker Newsでの反応は5ポイント・コメント0件と限定的でした。
GitHub、Innersource向けセキュリティアドバイザリが一般提供開始
ワンポイント社内限定の脆弱性情報共有がGitHubで正式にGA
GitHubは、GitHub Advanced Securityのエンタープライズ顧客向けに「Innersourceセキュリティアドバイザリ」の一般提供(GA)を開始しました。オープンソース向けのセキュリティアドバイザリと同様の仕組みを、組織内部のリポジトリに限定して利用できるようになります。これにより、社外に公開できない内部ライブラリや共有コンポーネントの脆弱性情報も、組織内で体系的に管理・共有できるようになります。
Django 6.0.7・5.2.16がリリース、3件の低深刻度セキュリティ脆弱性を修正
ワンポイントDjango 6.0.7/5.2.16でCookie漏洩など低深刻度脆弱性3件を修正
Djangoチームがセキュリティリリース方針に基づき、Django 6.0.7と5.2.16を公開しました。キャッシュ経由でのCookie漏洩、GDALRasterのヒープバッファ過読み、DomainNameValidatorの改行受理によるヘッダインジェクションの3件を修正しています。いずれも深刻度は「低」ですが、全ユーザーに早急なアップグレードが推奨されています。
npm v12がGAに、インストール時セキュリティ既定化とGATのbypass2fa廃止が始動
ワンポイントnpm v12でインストール時セキュリティが既定有効化
GitHub Changelogの発表によると、npmのメジャーバージョンである**npm v12**が正式リリースされ「latest」タグに指定されました。6月に発表されていたインストール時セキュリティの既定機能が有効化され、同時にGranular Access Token(GAT)のbypass2fa機能の廃止プロセスも始まっています。
Anthropic、AIモデルに「危険知識のスイッチ」を組み込む新手法GRAMを発表
ワンポイント1回の訓練で危険知識を着脱可能にする新手法GRAM
AnthropicはAE Studioとの共同研究で、ウイルス学やサイバーセキュリティなど悪用可能な知識だけをモデルの特定モジュールに閉じ込め、後から着脱できる手法「GRAM」を発表しました。従来のデータフィルタリングでは用途ごとに複数モデルを訓練する必要がありましたが、GRAMなら1回の訓練で複数の構成を作り分けられます。まだ実験段階の研究であり、Claudeの本番モデルには未適用です。
npm v12がGA、インストール時のスクリプト実行やGit/リモートURL依存の解決がデフォルトで無効化
ワンポイントnpm v12でinstallスクリプトの自動実行がデフォルトOFFに
GitHub Changelogによると、npmのメジャーバージョンである**npm v12**が正式リリースされ、latestタグに設定されました。従来自動実行されていたライフサイクルスクリプトやGit・リモートURL依存の解決がデフォルトでオプトイン方式に変更され、あわせて2FAをバイパスできるgranular access token(GAT)の権限も段階的に廃止されていきます。
Dockerが提起する「AIエージェントには隔離が必要」という論点、SBXとSandbox Kitsを解説
ワンポイントAIエージェントの安全な実行にはDocker SBXによる「隔離」が鍵
Docker BlogにDocker CaptainのKaran Verma氏が寄稿し、AIエージェントの実行環境に隔離(isolation)が必要な理由を解説しました。あわせて、より安全なAIワークフローを実現する仕組みとしてDocker SBXと、それを支援するSandbox Kitsが紹介されています。
Prometheus 3.13.0がリリース、LTS版でXSS脆弱性とリダイレクト時の認証情報漏洩を修正
ワンポイントPrometheus 3.13.0でリダイレクト時の認証情報漏洩を修正
Prometheusの長期サポート(LTS)版となるv3.13.0が公開されました。UIのXSS脆弱性(CVE-2026-44990)修正に加え、異なるホストへのリダイレクト時に認証情報を送信してしまう脆弱性(CVE-2025-4673、CVE-2023-45289)への対策が行われています。あわせてPromQLの新関数や検索API、TSDBの性能改善なども含まれています。
GitHubのOSPOに聞く、新しいライセンスコンプライアンス製品による依存関係管理の実践
ワンポイントGitHubのOSPOが自社製品でOSS依存関係のライセンス管理を実践
GitHub Blogが、社内のOpen Source Program Office(OSPO)がGitHubの新しいライセンスコンプライアンス製品をどのように活用しているかを紹介しています。オープンソース依存関係のライセンス管理を大規模に行う際の実例として位置づけられています。
Vercelが「Security Dashboard」をプライベートベータ公開、アカウント全体の設定ミスを可視化
ワンポイント2FA未設定や公開Previewなどの設定ミスを自動検出
Vercelはアカウントおよびプロジェクト全体のセキュリティ状態を一元的に把握できる「Security Dashboard」をプライベートベータとして公開しました。2FA未設定のメンバーや公開状態のPreview環境、不要に長期化した認証情報などを検出し、修正方法まで案内します。現在はウェイトリストへの登録で参加を受け付けています。
GitHubアドバイザリーデータベース、脆弱性報告が過去最多を記録
ワンポイントGitHub Advisory Databaseの脆弱性処理件数が過去最多を記録
GitHubは公式ブログで、GitHub Advisory Databaseが処理する脆弱性レポートの件数が過去最多を記録していることを明らかにしました。急増の背景や運営チームの対応、コミュニティへの協力の呼びかけについて言及していますが、詳細は本記事執筆時点では限定的な情報のみが公開されています。
Vercel、オープンソース認証ライブラリ「Better Auth」を買収 エージェントIDの実装を加速
ワンポイントBetter AuthをVercelが買収、エージェント専用IDの実装へ
Vercelは、週間npmダウンロード数470万超・コントリビューター850人超を誇るオープンソース認証ライブラリ「Better Auth」の開発元を買収しました。創業者Bereket Engida氏とコアチームはVercelに参加し、ライブラリはMITライセンスのオープンソースのまま、同じチームが開発を継続します。買収の狙いは、AIエージェントに個別のIDと権限を持たせる「Agent Auth」の取り組みをVercelの基盤に統合することです。