概要 親ウクライナのハッカー集団「Bearlyfy」（別名Labubu）が、2025年1月の出現以降、70社以上のロシア企業に対してサイバー攻撃を行っていることがセキュリティベンダーF6の調査で明らかになった。同グループは金銭的恐喝とロシア企業へのサボタージュという二重の目的で活動しており、2026年3月からは独自開発のWindowsランサムウェア「GenieLocker」の使用が確認されている。F6は「わずか1年の間に、このグループはロシアの大企業を含むビジネスにとって真の悪夢へと進化した」と評している。 攻撃手法とツールの変遷 Bearlyfyは当初、LockBit 3（Black）やBabukといった既存のランサムウェアを利用していたが、2025年5月には改変版PolyViceランサムウェアへと移行し、2026年3月に独自開発のGenieLockerを投入するに至った。初期アクセスには外部公開サービスや脆弱なアプリケーションの悪用を行い、リモートアクセスツールとしてMeshAgentを展開する。データの暗号化だけでなく、破壊や改変も行う能力を持つ点が特徴的だ。 GenieLockerの技術的特徴 GenieLockerはVenusおよびTrinityランサムウェアファミリーに触発された暗号化方式を採用したカスタムWindows向けランサムウェアである。他のランサムウェアと異なる特徴として、身代金要求メッセージがマルウェアによる自動生成ではなく、攻撃者が手動で作成している点が挙げられる。これは被害者ごとにカスタマイズされた対応を行っていることを示唆している。 被害状況と他グループとの連携 身代金の要求額は当初8万ユーロ（約92,100ドル）程度だったが、現在は数十万ドル規模にまで拡大しており、被害者の約20%が身代金を支払ったとされる。また、Bearlyfyは2022年からロシア・ベラルーシの組織を標的としているウクライナ系グループ「PhantomCore」との重複が指摘されているほか、「Head Mare」グループとの協力関係も文書化されている。インフラやツールセットの類似性から、これらのグループ間で組織的な連携が行われていると見られており、ロシア企業に対するサイバー脅威は今後もさらに高度化していく可能性がある。

概要 米上院議員のジョシュ・ホーリー（共和党）とエリザベス・ウォーレン（民主党）が、米エネルギー情報局（EIA）に対してデータセンターの電力消費に関する詳細情報の収集を求める書簡を送付した。党派を超えた両議員の共同書簡は、AI需要の急増に伴うデータセンターの電力消費が電力網に与える影響を正確に把握する必要性を訴えるものであり、議会によるデータセンターへの監視強化の動きが加速していることを示している。 要求の背景と目的 今回の書簡の背景には、AI演算の爆発的な増加がある。大規模言語モデルのトレーニングや推論処理には膨大な電力が必要とされ、従来の一般的なクラウドサービスとは比較にならない規模のエネルギーを消費する。両議員はEIAに対し、AI演算と一般クラウドサービスそれぞれの電力消費量の区別を含む、より詳細なデータの収集を求めている。これにより、データセンターが地域の電力網にどの程度の負荷をかけているかを正確に評価し、エネルギー政策の立案に役立てることが狙いだ。 議会の動向と今後の見通し 今回の動きは孤立した取り組みではなく、データセンターの電力消費に対する議会全体の監視が強まる中での一環と位置づけられる。TechCrunchの報道によれば、データセンターに対する議会の動きは「ますます活発なフロント」となっており、今後さらなる規制や情報開示の要求が続く可能性がある。保守派とリベラル派の議員が共同で行動している点は、この問題が党派を超えた関心事であることを示しており、実効性のある施策につながる可能性が高いと見られる。データセンター事業者にとっては、電力消費の透明性確保が今後の事業運営における重要な課題となりそうだ。

概要 Anthropicが開発中の未発表AIモデル「Claude Mythos」（コードネーム：Capybara）の存在が、外部CMS（コンテンツ管理システム）の設定ミスによるデータ漏洩で明らかになった。LayerX Securityの上級AIセキュリティ研究者Roy Pazとケンブリッジ大学のサイバーセキュリティ研究者Alexandre Pauwelsがこの漏洩を発見し、Fortuneの記者Beatrice Nolanがこれを報じた。約3,000件の未公開アセットがAnthropicのブログに紐づく形で公開状態になっていたことが判明した。CMSにアップロードされたデジタルアセットは、ユーザーが明示的にプライバシー設定を変更しない限りデフォルトで公開状態となる仕様であり、ヒューマンエラーが原因だった。Fortuneからの通知を受けてAnthropicはデータストアへの公開アクセスを直ちに遮断した。 漏洩したドラフトブログ記事によると、Claude Mythosは「ステップチェンジ（段階的飛躍）」を意味するモデルであり、「これまでに構築した中で最も高性能」とされている。Anthropicの広報担当者もこの開発を認め、「推論、コーディング、サイバーセキュリティにおいて意味のある進歩を遂げた汎用モデルを開発している」と述べた。 モデルの性能と位置づけ Claude Mythosは、既存のOpusモデルの上位に位置する第4の製品ティア「Capybara」として導入される予定だ。Opusモデルよりも大規模かつ高性能で、ソフトウェアコーディング、学術的推論、サイバーセキュリティのテストにおいてClaude Opus 4.6を劇的に上回るスコアを記録している。その分、価格も既存のフラッグシップモデルよりプレミアム設定となる見込みだ。 Anthropicの内部テストでは、プログラミングタスクや複雑な問題解決における高度な推論能力が確認されている。Anthropicの既存モデルClaude Opus 4.6を搭載した「Claude Code Security」では、オープンソースプロジェクトにおいて500件以上の深刻度の高いエクスプロイトを発見しており、開発者のコメントから欠陥を推測する能力も示されている。Claude Mythosはこれらの能力をさらに大幅に上回るとされている。 サイバーセキュリティへの影響と懸念 漏洩した文書の中でも最も注目を集めたのは、Claude Mythosのサイバーセキュリティ能力に関する記述だ。ドラフトには「現在、サイバー能力において他のあらゆるAIモデルをはるかに上回っている」とあり、「防御側の取り組みをはるかに凌駕する形で脆弱性を悪用できるモデルの到来を予告している」と記されていた。Anthropicはハッカーによる大規模サイバー攻撃への悪用を懸念しており、まず防御側の組織に限定してアーリーアクセスを提供する慎重なロールアウトを計画している。 この発表を受け、CrowdStrikeやPalo Alto Networksなどのサイバーセキュリティ関連株が5%以上下落するなど、市場にも影響が波及した。2026年2月にOpenAIがサイバーセキュリティタスクで「高能力」に分類されたGPT-5.3-Codexをリリースし、同時期にAnthropicもOpus 4.6で脆弱性検出能力を示していたが、Claude Mythosはこれらをさらに大きく超える能力を持つとされている。 今後の展開 Claude Mythosは現在、選定された顧客との早期アクセステストが進行中であり、Anthropicは「リリースについては慎重に進める」としている。また、漏洩したデータには英国で予定されている招待制のCEOサミットの情報も含まれており、欧州のビジネスリーダーが未公開のClaude機能を体験する場としてAnthropic CEO Dario Amodeiの出席が予定されている。OpenAIが「Spud」と呼ばれるモデルの事前学習を完了させたタイミングとも重なり、AI業界における性能競争がさらに激化している。

概要 米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年3月27日、F5 BIG-IP Access Policy Manager（APM）に存在する脆弱性CVE-2025-53521をKnown Exploited Vulnerabilities（KEV）カタログに追加した。この脆弱性はCVSSv4スコア9.3の深刻度「Critical」と評価されており、BIG-IP APMのアクセスポリシーが設定された仮想サーバーに対して特定の悪意あるトラフィックを送信することで、認証なしにリモートコード実行（RCE）が可能となる。連邦民間行政機関（FCEB）は3月30日までにパッチを適用することが義務付けられた。 DoSからRCEへの再分類 この脆弱性は当初、CVSSスコア8.7のサービス拒否（DoS）として分類されていた。しかし2026年3月に得られた新たな情報に基づき、リモートコード実行（RCE）へと再分類された。watchTowr CEOのBenjamin Harris氏は「現在我々が観測しているのは認証前のリモートコード実行であり、当初伝えられていたものとはまったく異なるリスクプロファイルだ」と警鐘を鳴らしている。この再分類は、最初の深刻度評価に基づいてパッチ適用を後回しにしていた組織にとって、想定外のリスク上昇を意味する。 影響を受けるバージョンと修正パッチ 影響を受けるBIG-IPのバージョンと対応する修正バージョンは以下の通りである。バージョン17.5.0〜17.5.1は17.5.1.3で、17.1.0〜17.1.2は17.1.3で、16.1.0〜16.1.6は16.1.6.1で、15.1.0〜15.1.10は15.1.10.8でそれぞれ修正されている。F5はアドバイザリを更新し、「脆弱なBIG-IPバージョンにおいて悪用が確認された」ことを公式に認めたが、脅威アクターの特定には至っていない。 侵害の兆候と攻撃の実態 F5は複数の侵害指標（IoC）を公開している。ファイル関連では /run/bigtlog.pipe や /run/bigstart.ltm の存在、/usr/bin/umount や /usr/sbin/httpd のハッシュ不一致が挙げられる。ログ関連ではlocalhostからのiControl REST APIアクセスやSELinux無効化のログエントリが確認されている。また、HTTP 201レスポンスとCSSコンテンツタイプを伴うHTTP/Sトラフィックや、PHP3ファイルの改変も確認されているが、Webシェルはメモリ内のみで動作する場合もあるという。セキュリティ企業Defused Cyberは、攻撃者が /mgmt/shared/identified-devices/config/device-info RESTエンドポイントを標的としたスキャン活動が活発化していることを報告しており、未パッチのシステムへの攻撃が継続していることを示している。

概要 GitHubは2026年3月25日、Copilotの利用状況メトリクスを更新し、Copilot Coding Agent（CCA）のアクティブユーザーを識別・追跡できる機能を追加した。これにより、エンタープライズおよび組織の管理者は、IDE内でのCopilotエージェントモードの利用と、CCAによる自律的なコーディング作業を明確に区別して把握できるようになった。日次および28日間の利用レポートでCCAのアクティブユーザー数を確認でき、チームがIDEの外でどのようにCopilotを活用しているかをデータに基づいて理解できる。 技術的な詳細 CCAの利用状況はAPIレスポンス内のused_copilot_coding_agentフィールドとして提供される（APIバージョン2026-03-10）。従来からあるIDEエージェントモードのused_agentフィールドとは別に管理されるため、2つの異なるエージェント機能の利用状況を個別に分析できる。CCAのアクティビティとしてカウントされるのは、Copilotにissueをアサインした場合と、プルリクエストのコメントで@copilotをタグ付けした場合の2つのアクションだ。 管理者にとっての意義 今回の更新により、組織の管理者はCopilotの導入効果をより詳細に評価できるようになった。IDEでのコード補完やチャットといった従来の利用に加え、CCAによる自律的な計画・コーディングの利用パターンを把握することで、チーム全体のAI活用状況を包括的にモニタリングできる。これは、Copilotへの投資対効果を測定し、組織内での最適な活用方針を策定するうえで重要なデータとなる。

概要 Google Cloudは2026年3月28日、NVIDIA GTC 2026において、AIクラウドインフラストラクチャの大幅な強化を発表した。今回の発表は、GPUリソースの柔軟な利用を可能にする分数GPU VM、次世代ラックスケールシステムVera Rubin NVL72への対応、そしてNVIDIA DynamoとGoogle Kubernetes Engine（GKE）の統合という3つの柱で構成されている。単なるGPUの提供にとどまらず、AIインフラをクラウドスタック全体の課題として捉え、柔軟な消費モデルと深いソフトウェア統合を重視する姿勢が示された。 分数G4 VM：GPUの柔軟な分割利用 Google Cloudは、NVIDIA RTX PRO 6000 Blackwell Server Edition GPUを搭載した分数G4 VMのプレビューを発表した。NVIDIAの仮想GPU（vGPU）技術を活用し、GPUを1/2、1/4、1/8単位で分割して利用できる新しい構成を提供する。これにより、推論、レンダリング、リモートデスクトップ、ストリーミングなどのワークロードに対して、必要なリソースを過不足なく割り当てることが可能になる。 さらに、Dynamic Workload Schedulerと組み合わせることで、分数スライスのフォールバック優先度を設定でき、スケジューラが自動的に利用可能なGPU構成を見つけることで、リソースの取得可能性が大幅に向上する。AI推論のコスト効率化を求める企業にとって、フルGPUを占有せずに済む選択肢が広がる形だ。 Vera Rubin NVL72ラックスケールシステムへの対応 Google Cloudは、2026年後半にNVIDIA Vera Rubin NVL72ラックスケールシステムを提供する最初のクラウドプロバイダーの一つとなる計画を明らかにした。このシステムはAI Hypercomputerアーキテクチャに統合され、新たにA4 Ultraインスタンスファミリーとして提供される。 A4 Ultraは、1ラックあたり72基のVera Rubin GPUをNVLink 6で接続し、FP8精度で1.4エクサFLOPSの演算性能を実現する。NVLink 6はH100システムで使用されるNVLink 4と比較してリンクあたりの帯域幅が2倍となり、学習時の勾配同期の高速化やModel FLOP Utilization（MFU）の改善が期待される。プレビューは2026年第2四半期にus-central1およびeurope-west4リージョンで開始され、一般提供は2026年後半、さらなるリージョン拡大は2027年を見込む。 なお、Google CloudはNVL72をTPU v5e/v5pインフラと並行して提供する方針であり、CUDA対応のトレーニングワークロードにはNVL72を、JAX最適化された推論にはTPUをという形で、マルチアクセラレータ戦略を維持する。 NVIDIA DynamoとGKE Inference Gatewayの統合 ソフトウェア面では、NVIDIA DynamoとGKE Inference Gatewayの統合が発表された。これにより、アプリケーション層からハードウェアまでをカバーするモジュラーかつオープンソースのコントロールプレーンが提供される。Kubernetesベースの推論デプロイメントにおいて、GPUリソースの管理と推論ワークロードのオーケストレーションがより効率的に行えるようになる。 Google Cloudの今回の発表は、AWS、Microsoft Azure、OCIといった他の主要クラウドプロバイダーもVera Rubinベースのインスタンスを2026年中に展開する中で、柔軟性とソフトウェア統合の深さで差別化を図る戦略を鮮明にしたものと言える。

概要 Oracleは2026年3月17日、Java 26（JDK 26）を正式リリースした。JDK 25に続く非LTS（Long-Term Support）リリースとして、10件のJEP（Java Enhancement Proposal）が含まれている。そのうち5件はプレビューまたはインキュベーター段階の機能であり、残り5件が新規または確定済みの変更となる。近年のJavaリリースの中では比較的コンパクトなリリースだが、HTTP/3対応やGCの改善など実用的な機能強化が盛り込まれた。 搭載された10件のJEP 言語機能 JEP 500: Prepare to Make Final Mean Final — finalキーワードの意味をより厳密にするための準備。ディープリフレクションによるfinalフィールドの変更に対して警告が発せられるようになり、将来的には例外がスローされる予定。 JEP 525: Structured Concurrency（第6プレビュー） — タスク階層とリソース管理を通じて、より明確で保守しやすい並行処理コードを記述できる構造化された並行性パターンの改良を継続。 JEP 530: Primitive Types in Patterns, instanceof, and switch（第4プレビュー） — パターンマッチングをプリミティブ型に拡張し、条件分岐をより表現力豊かに記述可能にする。無条件の正確性の定義強化やswitch構文でのドミナンスチェックの厳格化が変更点。 ライブラリ改善 JEP 517: HTTP/3 for the HTTP Client API — 標準のHTTP Client APIにHTTP/3プロトコルのサポートを追加。最新のプロトコル標準を利用可能にする。 JEP 524: PEM Encodings of Cryptographic Objects（第2プレビュー） — 暗号鍵、証明書、証明書失効リストをPEM形式でエンコードするAPIを提供。PEMRecordクラスがPEMにリネームされ、KeyPairやPKCS8EncodedKeySpecクラスの暗号化・復号化サポートが強化された。 JEP 526: Lazy Constants（第2プレビュー） — 最大1回だけ初期化される不変の値ホルダーである「計算定数」を導入。finalフィールドのパフォーマンスと安全性の利点を持ちつつ、初期化タイミングの柔軟性を提供する。前回の「Stable Values」から名称が変更された。 パフォーマンス向上 JEP 516: Ahead-of-Time Object Caching with Any GC — JDK 24で提供されたJEP 483（Ahead-of-Time Class Loading & Linking）を拡張し、低レイテンシのZGCを含むすべてのガベージコレクタで起動時間とウォームアップ時間を改善。Project Leydenの一環。 JEP 522: G1 GC: Improve Throughput by Reducing Synchronization — G1ガベージコレクタの同期オーバーヘッドを削減し、スループットを向上させる最適化。 その他 JEP 529: Vector API（第11インキュベーター） — ベクトル計算を最適なCPU命令にコンパイルするVector APIの11回目のインキュベーション。Project Valhallaの機能が利用可能になった時点でプレビューに移行予定。 JEP 504: Remove the Applet API — JDK 9およびJDK 17で非推奨化されていたApplet APIを完全に削除。ブラウザアプレットの時代の終焉を反映した変更。 今後の展望 次期リリースのJDK 27は2026年9月のGAリリースが予定されている。現時点でターゲットされているJEPとして、JEP 527（Post-Quantum Hybrid Key Exchange for TLS 1.3）がある。また、Lazy Constantsの第3プレビューやProject Valhallaに基づくValue Classes and Objects（プレビュー）なども候補として挙がっている。BellSoftもLibericaJDK 26をリリースしており、OpenJDKからの2,665件を含む合計2,825件の修正が含まれるなど、Javaエコシステム全体がJDK 26への対応を進めている。

脆弱性の概要 オープンソースのAIエージェント構築フレームワーク「Langflow」に、CVSSスコア9.3の重大な未認証リモートコード実行（RCE）脆弱性CVE-2026-33017が発見された。この脆弱性はPOSTエンドポイント /api/v1/build_public_tmp/{flow_id}/flow に存在し、認証なしで攻撃者が制御するフローデータ内の任意のPythonコードが exec() でサンドボックスなしに実行される。これにより、サーバー上のファイルアクセス、認証情報の窃取、リバースシェルの展開が可能となる。影響を受けるのはバージョン1.8.2以前のすべてのバージョンで、開発版1.9.0.dev8で修正されている。 公開から悪用までの経緯 セキュリティ研究者Aviral Srivastava氏が2026年2月26日にこの脆弱性を発見し、3月17日にアドバイザリが公開された。注目すべきは、Srivastava氏が過去の脆弱性CVE-2025-3248の修正パッチを分析する過程で、同じ脆弱性クラスが別のエンドポイントに残存していることを発見した点である。公開からわずか20時間以内に実際の攻撃が確認され、クラウドセキュリティ企業Sysdigの脅威研究チームが悪用を観測した。特筆すべきは、公開時点でPoC（概念実証コード）が存在しなかったにもかかわらず、攻撃者がアドバイザリの記述だけから実用的なエクスプロイトを構築した点である。 攻撃の実態と影響 Srivastava氏によれば、この脆弱性の悪用は「極めて容易」であり、悪意あるJSONペイロードを含む単一のcurlコマンドまたはHTTP POSTリクエストで即座にRCEが達成できる。Sysdigの観測では、攻撃者は自動スキャンから始まり、/etc/passwd の抽出やIPアドレス 173.212.205[.]251:8443 からのペイロード配信を行うカスタムPythonスクリプトへと進化させており、組織的な認証情報の収集活動が行われていたことが示唆されている。窃取された認証情報やキーは、接続されたデータベースやサプライチェーンへの侵害に悪用される可能性がある。 CISAの対応と推奨される対策 CISAは3月25日にCVE-2026-33017をKEV（Known Exploited Vulnerabilities）カタログに追加し、連邦機関に対して2026年4月8日までの修正を義務付けた。推奨される対策としては、最新のパッチ適用済みバージョンへの即時アップデート、公開されたインスタンス上の環境変数やシークレットの監査、キーおよびデータベースパスワードのローテーション、不審な外部接続の監視、ファイアウォールや認証付きリバースプロキシによるネットワークアクセスの制限が挙げられている。AI関連ツールが攻撃の標的となるケースが増加しており、Langflowを利用している組織は速やかな対応が求められる。

事件の概要 2026年3月27日、累計74万2千ダウンロードを持つPython向け公式Telnyx SDKのPyPIパッケージが、TeamPCPと呼ばれる攻撃者グループによって乗っ取られた。攻撃者はバージョン4.87.1および4.87.2を同日03:51〜10:13 UTC の間に公開し、音声ファイル（WAV）内にステガノグラフィーで認証情報窃取機能を隠蔽するという高度な手法を用いた。PyPIは問題発覚後にプロジェクトを隔離措置とし、ユーザーには正規バージョン4.87.0へのダウングレードが推奨されている。 攻撃の技術的手法 マルウェアはパッケージ内の telnyx/_client.py にコードを注入し、パッケージのインポート時に自動的に起動する仕組みとなっていた。攻撃はOS別に異なる挙動を示す。Windowsでは、C2サーバーから「hangup.wav」をダウンロードし、そこから実行ファイルを抽出して「msbuild.exe」としてスタートアップフォルダに配置することで永続化を図る。一方、Linux/macOSでは「ringtone.wav」を取得し、収集スクリプトを抽出して即座に認証情報の窃取を実行する。永続化は行わず、いわゆる「スマッシュ・アンド・グラブ」型の攻撃となっている。 窃取対象は環境変数、.envファイル、シェル履歴など広範にわたり、収集したデータは「tpcp.tar.gz」としてHTTP POST経由でC2サーバー（83.142.209[.]203:8080）に送信される。セキュリティ企業Socketの研究者は「Windowsには永続化、Linux/macOSには即時窃取という戦略的な使い分けが明確だ」と指摘し、音声ステガノグラフィーによる配信はフォレンジック痕跡がほぼゼロに近いと警告している。 TeamPCPの活動と広がる脅威 TeamPCPはTelnyxだけでなく、コンテナスキャナーのTrivy、インフラスキャンツールのKICS、AI ルーティングライブラリのlitellmなど、広範なシステムアクセスを必要とするツールを標的とした組織的なサプライチェーン攻撃キャンペーンを数週間にわたって展開している。さらに、サイバー犯罪グループLAPSUS$やランサムウェアグループVectとの協力関係も公言しており、脅威の深刻さが増している。従来のタイポスクワッティング（名前の似た偽パッケージ）から、正規の信頼されたパッケージそのものを乗っ取る手法への移行は、オープンソースエコシステムに対する攻撃の成熟を示している。 推奨される対応策 影響を受けた可能性のある開発者は、Python環境にバージョン4.87.1または4.87.2がインストールされていないか直ちに確認し、該当する場合は侵害を前提としてすべてのシークレットやAPIキーのローテーションを行うべきである。Windowsユーザーはスタートアップフォルダ内の「msbuild.exe」の有無を確認し、ネットワーク管理者はC2インフラ（83.142.209[.]203）へのアクセスをブロックすることが推奨される。

概要 Microsoftは2026年3月23日、TypeScript 6.0を正式にリリースした。本バージョンは、現行のJavaScriptで書かれたコンパイラによる最後のメジャーリリースであり、Go言語で全面的に再実装される次期TypeScript 7.0（Project Corsa）への「橋渡し」となる重要なリリースと位置付けられている。プリンシパルプロダクトマネージャーのDaniel Rosenwasser氏は「TypeScript 7.0は完成に極めて近い状態にある」と述べ、6.0を導入したプロジェクトにはネイティブプレビュー版の7.0も試すよう呼びかけている。 主な新機能と改善点 TypeScript 6.0では、ES2025ターゲットのサポートが追加され、RegExp.escape()、Temporal API（Stage 4到達）、Promise.try、Iteratorメソッド、Setメソッドなどの型定義が利用可能になった。特にTemporal APIは、JavaScriptにおける日付・時刻処理の長年の課題を解決するものとして注目されており、Temporal.Now.instant()などの操作がTypeScriptの型安全性のもとで利用できるようになる。ブラウザ側ではFirefox 139以降、Chrome 144以降で対応している。 型推論の面では、thisを使用しない関数における文脈依存性が緩和され、プロパティの宣言順序に関係なく型パラメータの推論が改善された。また、ジェネリックJSX式における関数式の型チェックも強化されている。モジュール解決では、Node.js 20以降で利用可能な#/プレフィックスによるサブパスインポートのサポートや、--moduleResolution bundlerと--module commonjsの組み合わせが可能になった。DOM型ライブラリでは、dom.iterableとdom.asynciterableの内容がdomに統合され、設定がシンプルになった。 デフォルト設定の大幅な変更 6.0ではデフォルト設定が大きく変更されている。strictがデフォルトでtrueに、moduleがesnextに、targetがes2025にそれぞれ変更された。また、typesがデフォルトで空配列となり@typesパッケージの自動検出が行われなくなったため、"types": ["node"]などの明示的な指定が必要になる。rootDirもデフォルトで.（tsconfig.jsonのあるディレクトリ）に固定され、推論されなくなった。 非推奨機能とTypeScript 7.0への移行 多くのレガシーオプションが非推奨または削除された。target: es5、--moduleResolution node（nodenextやbundlerへの移行を推奨）、--baseUrlなどは非推奨となり、一時的に"ignoreDeprecations": "6.0"で抑制できるが、7.0では完全に削除される予定だ。一方、--module amd/umd/systemjsや--outFileは6.0で既に削除されている。また、import assertion構文（assert）の非推奨がimport()呼び出しにも拡大され、with構文への移行が求められる。 7.0への移行を支援する--stableTypeOrderingフラグも導入された。6.0では型IDが出現順に割り当てられるが、7.0では決定論的なコンテンツベースのソートが採用されるため、このフラグで事前に挙動を揃えることができる。ただし型チェックが最大25%遅くなるため、あくまで診断用途であり、本番利用は推奨されていない。TypeScript 7.0のネイティブプレビューはVisual Studio Code拡張およびnpmパッケージ（@typescript/native-preview）として既に利用可能で、ネイティブコード速度と共有メモリマルチスレッドによる大幅なパフォーマンス向上が期待されている。