ベンチマークでの優位性 Googleが2026年5月にリリースした軽量フラッグシップモデル「Gemini 3.5 Flash」が、AIモデル評価サイトArtificial Analysisのリーダーボードで注目すべき結果を示している。Intelligence Index（総合知能指数）ではスコア55を記録し、Anthropicの「Claude Sonnet 4.6」（スコア52）やxAIの「Grok 4.3」（スコア53）を上回った。152モデル中10位に位置するこのスコアは、同価格帯モデルの中央値（36点）を大きく超えており、コストパフォーマンスの面でも際立っている。 処理速度においても、Gemini 3.5 Flashは最高284トークン/秒を記録し、フロンティアモデルの中でトップクラスの速度を誇る。Artificial Analysisの平均計測では145トークン/秒を示し、同価格帯の中央値（63.7トークン/秒）を倍以上上回る。一方でClaudeやGrokに対しても圧倒的な速度差を保ち（Claude Sonnet 4.6は約48トークン/秒、Grok 4.3は約143トークン/秒）、速度を重視するエージェントタスクやリアルタイムアプリケーションでの優位性が際立つ。 価格とユースケース コスト面では、入力トークン100万あたり1.50ドル（キャッシュ利用時は0.15ドル、90%割引）、出力トークン100万あたり9.00ドルという価格設定で、高い性能を比較的手頃な価格で提供している。ただし、初回トークンまでの遅延（レイテンシー）は20秒超と同価格帯の平均より高く、即時レスポンスを重視するユースケースでは注意が必要だ。Googleによれば、コード生成やエージェントタスクで前世代を大きく上回る一方、難易度の高い多段階推論では若干の弱点があるとされる。 Gemini 3.5 Proの登場と今後の展望 Gemini 3.5 Flashに続き、GoogleはGemini 3.5 Proを2026年6月中に一般提供する計画を進めている。同モデルは200万トークンのコンテキストウィンドウ（現在のGPT-4oやClaudeを大幅に超える容量）と、複雑な問題を多段階で推論するDeep Think機能を搭載する予定だ。Deep Thinkは問題解決に「より多くの時間をかけて考える」設計で、数学・コーディング・科学分野での性能向上が期待される。現在はVertex AIでの限定プレビューが進行中であり、Google Proプラン（月額20ドル）とUltraプラン（月額250ドル）への先行展開が見込まれている。料金はFlashの約10倍となる入力100万トークンあたり約15ドル、出力100万トークンあたり約60ドルが想定されており、エンタープライズ向けの高度な用途をターゲットとしている。 Gemini 3.5シリーズのFlashとProという二段構えの戦略により、Googleは速度・コスト効率を重視する開発者層と、最高精度の推論能力を求めるエンタープライズユーザー層の両方を取り込もうとしている。フロンティアモデル競争が激化する中で、速度と知能の両立という点でGemini 3.5 Flashが示した成果は、AI開発コミュニティから高い注目を集めている。

概要 Oracleは2026年6月10日、FY2026第4四半期（2026年3月〜5月）および通年の決算を発表した。第4四半期の総売上高は前年同期比21%増の192億ドルとアナリスト予想（191億ドル）を上回り、非GAAPベースのEPSは2.11ドルと予想（1.95ドル）を8%以上超過した。なかでもクラウドインフラ（IaaS）売上は93%増の58億ドル、クラウド全体では47%増の99億ドルに達し、いずれも四半期ベースで過去最高を記録した。強い決算にもかかわらず、データセンター拡張に伴う利益率圧迫への懸念から株価は時間外取引で約3%下落し199.50ドルとなった。 通年では総売上が17%増の674億ドルと初めて670億ドルを突破し、クラウド売上は39%増の340億ドル（クラウドインフラ77%増の181億ドル、クラウドアプリ11%増の159億ドル）となった。営業キャッシュフローは54%増の320億ドルと大幅に改善した一方、積極的なデータセンター投資でフリーキャッシュフローはマイナス237億ドルとなっている。 AIインフラへの積極投資と記録的な受注残 決算の最大の注目点は、残存パフォーマンス義務（RPO）が前年比363%増の6,380億ドルに膨らんだことだ。このうち約750億ドルは顧客による自前ハードウェアの持ち込みまたは前払い契約分が占めており、AI向けインフラ需要の強さを鮮明に示している。第4四半期だけでAIインフラ契約を670億ドル締結した。 インフラ稼働面では、FY2026に1.2ギガワット以上のデータセンター容量を追加し、GPUの稼働率は97.5%という高水準を維持している。マルチクラウドデータベース収益は前年比404%増と急伸しており、AWSやAzureなどの競合クラウドとのパートナーシップが新たな成長源となっている。また、クラウドデータベース収益も29%増、SaaS繰延収益は16%増と、アプリケーション領域でも安定した成長が続いている。 経営陣のコメントとFY2027展望 新CFOのHilary Maxsonは、Oracleがテクノロジースタック全体にわたるユニークなポジションを強みとして強調した。インフラ責任者のClay Magouyrk氏は「AIのリーダーとなる多くの企業がいるが、我々の戦略はそのすべてを顧客にすること」とコメントし、特定のAIプロバイダーへの依存を避けた幅広い囲い込み戦略を明示した。アプリケーション部門のCEOであるMike Sicilaは1,000以上のAIエージェントをアプリケーション群に展開済みであることを明かした。 FY2027のガイダンスとして、第1四半期のクラウド売上成長率は57〜64%、総売上成長率は27〜29%を見込む。通年では総売上約900億ドル、非GAAP EPSは8.05ドル（前年比18%増）を目標とし、設備投資（CapEx）として純額で700億ドルの支出を計画している。AI需要の取り込みと大規模インフラ投資の継続が今後の業績を左右するカギとなる。

概要 ServiceNowは2026年6月9〜10日、認証バイパスを許すAPIバグにより顧客インスタンスのデータが外部から閲覧可能な状態にあったセキュリティインシデントを公表した。問題のエンドポイントは /api/now/related_list_edit（および /api/now/related_list_edit/create）で、設定上 requires_authentication=false となっており、有効な認証情報を持たない外部ユーザーでも顧客インスタンスのテーブルを参照できた。主に「Australiaプラットフォームリリース」を使用する顧客、またはそれより古いリリースで特定の設定変更を行っていた顧客が影響を受けるとされている。ServiceNowは2026年6月5日にホスト型インスタンスへのセキュリティアップデートを適用済みで、当該エンドポイントは認証必須の設定に変更された。 インシデントの経緯と発覚までの遅延 ServiceNowが最初にこの脆弱性の報告を受けたのは2026年4月22日で、バグバウンティプログラムへの機密提出という形だった。しかし実際にパッチが適用されたのは6月5日であり、報告から修正まで約6週間の空白が生じている。BleepingComputerの報道によると、悪用の疑いがある活動は6月初旬に確認されており、この期間中に攻撃者が同エンドポイントを利用して顧客データを参照した可能性がある。同社は不審なAPIアクセス元としてIPアドレス 51.159.98.241 を特定し、その後「この活動はバグバウンティに関連したセキュリティ研究者または顧客主導のリサーチに起因するものと見られる」との見解を示した。 潜在的な影響とリスク ServiceNowのインスタンスには通常、ITサービスチケット、従業員レコード、資産インベントリ、セキュリティレポートといった組織内の機微情報が格納されている。同社はどのようなデータが実際にアクセス・取得されたかについて具体的な情報を公開していない。また、一部のRedditユーザーは「Australiaリリース以外のバージョンでも外部アクセスの痕跡が確認できた」と報告しており、影響範囲が同社の公式発表より広い可能性も指摘されている。影響を受けた顧客にはサポートケースを通じてインシデント通知が送付されており、通知を受けていない顧客は影響外とされている。 管理者向け対応策と情報開示の限界 TechRadarは影響を受けた可能性のある管理者が取るべき対応として、/api/now/related_list_edit へのリクエストをログで確認すること（特にIPアドレス 51.159.98.241 からのアクセス）、露出した可能性のあるレコードを精査すること、サポートワークフロー経由で共有されたパスワードやトークンをローテーションすること、そしてAPIロギングの有効化を確認することを推奨している。一方で同社はインシデントの詳細に関する情報開示を極めて限定的に留めており、公式ナレッジベース記事へのアクセスにはログインが必要な設計となっている。バグバウンティによる発見から修正まで約6週間を要した点、および実際にアクセスされたデータの内容が明かされない点は、影響を受けた顧客にとって依然として大きな懸念として残っている。

概要 ソフトバンクグループの孫正義会長兼CEOは、2026年6月1日に開催された「Choose France」サミットにおいて、フランスのオー＝ド＝フランス地域を中心に5GWのAIデータセンター設備を整備する最大750億ユーロ規模の投資計画を正式発表した。これはソフトバンクにとって欧州最大規模のAIインフラ投資とみられており、フランス政府との密接な連携のもとで推進される。 第一フェーズでは約450億ユーロ（約520億ドル）を投じ、2031年までに3.1GWの容量を確保する計画だ。建設地はダンケルク、ボスケル、ブーシャンの3箇所が予定されており、残りの容量については追加拡張として別途検討される。 原子力電力を選んだ戦略的意義 ソフトバンクがフランスを選定した最大の理由は、同国の優れた電力インフラにある。AIデータセンターの普及に伴い、新規設備の制約要因は半導体や資本ではなく「大量かつ安定した低炭素電力へのアクセス」へと移行しつつある。フランスは国内電力の大部分を原子力で賄っており、安定した低排出の電力を競争力のあるコストで提供できる数少ない国の一つだ。これはアメリカの一部地域を含む多くの国が現時点では実現できない条件であり、データセンター誘致の強力な差別化要因となっている。 主要パートナーとインフラ活用 本プロジェクトでは、フランスの国営原子力事業者であるEDFおよびシュナイダーエレクトリックとの協力体制が構築される。EDFはブーシャンの旧発電所跡地と既存の高圧送電網接続を提供し、建設期間の短縮と送電ロスの低減を実現する。シュナイダーエレクトリックはダンケルクの港湾エリアにおける産業クラスター形成に関与する。既存インフラの再活用により、通常よりも効率的な整備が可能となる見通しだ。 欧州のAIインフラ競争における意義 今回の発表は、AI向けデータセンターをめぐる米国や湾岸諸国との競争において、欧州が本格的な誘致戦略を取り始めたことを示す象徴的な動きとして注目されている。一方で、フランスのような原子力余剰を持つ国では既存の送電網を活用しつつAI需要を吸収できる可能性がある半面、同様の電力余力を持たない地域では一般家庭の電気料金上昇につながるリスクも指摘されており、エネルギー政策上の課題も浮き彫りになっている。

急落の発端——Broadcomの決算ミスと据え置かれたガイダンス 2026年6月3日、Broadcomが発表した2026年度第2四半期決算が半導体セクター全体を揺るがす引き金となった。同社のAIネットワーキング部門の売上高は41億ドルにとどまり、アナリスト予想の48億ドルを約14%下回った。さらにCEOのHock Tan氏が2027年の業績ガイダンスを引き上げず据え置いたことが、市場参加者が期待していた「連続的な上方修正」というシナリオを崩す形となった。 翌6月4〜5日にかけて、この結果が連鎖的な売りを誘発。Broadcom自身の株価は14%超下落し、時価総額で800〜3,000億ドル規模の損失を記録した。フィラデルフィア半導体指数（SOX）は6%超下落し、Nasdaq総合指数も4%の下げとなった。 市場への波及——1.3兆ドルの時価総額が消失 売りはBroadcomにとどまらず、半導体・AI関連銘柄全体に波及した。Intelは11.28%下落して99.17ドル、AMDは10.86%下落して466.38ドルとなった。NvidiaもAI需要の中核銘柄として6%超下落し、単独で約7,400億ドルの時価総額を失った。Micronも約7%下落して1,004ドルとなった。2日間の累計では、半導体・AI関連株全体から消失した時価総額は1.3兆ドルに達した。 背景には、セクター全体のバリュエーションが株価収益率50倍を超える水準まで積み上がり、「AIチップ需要の指数関数的な成長が永続する」という前提で価格付けがされていたという構造的な問題がある。加えて、予想を上回る雇用統計が利下げ観測を後退させたことや、原油価格が1バレル97ドルを超える水準で推移するといったマクロ経済面の逆風も売りを加速させた。 週明けの急反発——「過剰反応」との市場の総括 急落から3日後、主要銘柄は急速に値を戻した。Intelは8.5%上昇し、Micronも9%回復するなど、パニック売りに対する修正が起きた。この反発を後押しした論拠として、Broadcomの実態はむしろ強固という指摘がある。同社のAIチップ売上高は108億ドルで前年同期比143%増という極めて力強い成長を記録しており、「ガイダンスを引き上げなかったから売る」という判断は市場心理によるものだったとの分析が広がった。 AMDのMI300X アクセラレーターはハイパースケーラーへの採用が進んでいる実態に変化はなく、IntelもAlphabet（Google）から製造契約を獲得するなど、個別企業の基礎的な状況は売却を正当化するほど悪化していなかったとされる。 AI需要の長期トレンドは変わらず アナリスト各社は、今回の急落がAI半導体需要の構造的な転換を示すものではないとの見方で一致している。グローバル半導体市場は1兆ドル規模へ向かって成長を続けており、AIチップがその50%超を占める見通しは変わっていない。主要テック企業の2026年のインフラ投資額は3,000億ドルを超える計画で推移しており、今回の株価急落は高水準のバリュエーションの調整局面と位置付けられている。今後の半導体株の行方は、各社の追加決算発表、FRBの金融政策の行方、そして企業によるAI導入の加速ペースによって左右される見込みだ。

概要 Amazon Web Services（AWS）は2026年6月10日、次世代カスタムCPU「Graviton5」を搭載したEC2インスタンス「M9g」および「M9gd」の一般提供（GA）を開始した。Graviton4比で総合計算性能が25%向上したほか、Webアプリケーション・機械学習推論で35%、データベース処理で30%の高速化を達成している。ネットワーク帯域は15%、ストレージ帯域は20%それぞれ増加しており、エージェント型AIや高並列ワークロードを念頭に置いた設計となっている。 Meta、Uber、Snowflakeといった主要企業がすでに採用を表明しており、Metaは「数千万コア規模」のGraviton5展開を計画していると報告されている。AWSによれば、現時点で12万社以上の顧客が過去世代のGravitonベースのインスタンスを利用しており、同プラットフォームへの移行需要は引き続き高い。 技術仕様 Graviton5は1チップあたり192コアを搭載し、DDR5メモリおよびPCIeをサポートする。L3キャッシュ容量は前世代比5倍に拡大し、各コアのキャッシュアクセス量は2.6倍に増加した。これによりキャッシュミスに起因するレイテンシが大幅に削減され、データベースやインメモリ処理系のワークロードで特に恩恵を受ける。 NVMe SSDストレージを搭載するM9gdバリアントは最大11.4TBのローカルストレージを利用可能で、高I/O性能が要求される分析・AIトレーニング用途に向いている。両インスタンスタイプともAWS Nitro Cardによるネットワーク・ストレージのオフロード機構を搭載している。 Nitro Isolation Engineと形式検証 今回の発表で注目を集めたもう一つのトピックが「Nitro Isolation Engine」だ。AWSは定理証明器Isabelle/HOLを用いた形式検証（Formal Verification）によって、同一物理ホスト上のVM間の完全なメモリ・I/O分離を数学的に証明できると発表した。従来の侵入テストやファジングといった動的検証手法では発見が難しいエッジケースまでカバーできる点が特徴で、マルチテナント環境におけるセキュリティ保証の新たな水準を示すものとして業界から注目されている。 今後の展望 Graviton5の投入により、AWSはx86系インスタンスに対するコストパフォーマンス上の優位性をさらに強化する見込みだ。エージェント型AIの普及に伴い、大量の並行リクエストを低レイテンシで処理できる大コア数・大キャッシュ構成のインスタンスへの需要は今後も高まると予想される。形式検証ベースのセキュリティ証明はNitroシステム全体に展開される可能性があり、クラウドセキュリティの標準的アプローチとして他社にも影響を与えることが期待される。

概要 Microsoftは2026年6月のPatch Tuesdayにおいて、過去最多規模となる200件のセキュリティ脆弱性を修正した。このうち33件がCritical評価であり、28件がリモートコード実行（RCE）に関するものだった。脆弱性の種類別では、特権昇格（EoP）が65件、RCEが55件、情報漏洩が30件、スプーフィングが27件、セキュリティ機能バイパスが19件、DoSが7件という内訳となっている。今回のアップデートには6件のゼロデイ修正が含まれており、そのうち5件は公開済み、1件は実際に悪用が確認されていた。 修正された6件のゼロデイの詳細 今回修正されたゼロデイの中でも特に注目を集めているのが、研究者「Nightmare Eclipse」によって2026年5月にパッチより約1か月前に公開された3件の脆弱性だ。同研究者はMicrosoftの脆弱性開示プロセスへの抗議としてPoC（概念実証コード）を公開していた。 YellowKey（CVE-2026-45585）：Windows回復環境（WinRE）のバックドアとして機能するBitLockerバイパス脆弱性。物理アクセスを持つ攻撃者がTPM単体で保護されたシステムの暗号化を迂回可能。Windows 11およびWindows Server 2022/2025が対象。 GreenPlasma（CVE-2026-45586）：Collaborative Translation Framework（CTFMON）に存在する特権昇格脆弱性。ローカル攻撃者が完全にパッチ済みのWindowsシステムでもSYSTEM権限のシェルを取得できる。 MiniPlasma（CVE-2020-17103）：Cloud Files Mini Filter Driverの特権昇格脆弱性。Google Project Zeroが元々報告したもので、同様にSYSTEM権限の取得を許す。 HTTP/2 Bomb（CVE-2026-49160）：HTTP.sysにおけるDoS脆弱性。HTTP/2ヘッダー圧縮を悪用してメモリ枯渇とサーバーダウンを引き起こす可能性がある。 CVE-2026-50507（bitskrieg）：BitLockerのバイパスをもたらす2つ目の脆弱性。「必要なファイルにアクセスできませんでした」エラーを発生させ、WinREによる修復が必要になる場合がある。 CVE-2026-42897：Exchange Server（Outlook Web Access）のスプーフィング脆弱性。細工されたメールを通じて任意のJavaScriptを実行可能で、今回唯一実際に悪用が確認されていた脆弱性。 修正直後に発覚した新ゼロデイ「RoguePlanet」 Patch Tuesdayのリリース数時間後、同じ研究者Nightmare Eclipseがさらに新たなゼロデイ「RoguePlanet」を公開し、セキュリティコミュニティに衝撃を与えた。この脆弱性はMicrosoft Defenderのレースコンディションを悪用するローカル特権昇格（LPE）であり、KB5094126を含む完全にパッチ済みのWindows 10/11環境（正式ビルドおよびCanaryビルドの両方）でSYSTEM権限のコマンドプロンプトを起動できることが確認されている。CVE番号は現時点では割り当てられていない。 研究者によれば、「エクスプロイトは成功するかどうかが不確定だが、一部のマシンでは100%の成功率を達成した」という。なお、元々はSMB共有上の仮想ハードディスク（.vhd/.vhdx）ファイルを対象としたRCEとして開発されたが、Microsoftの防御強化によりLPEへとダウングレードされた形だ。ThreatLockerがエクスプロイトの動作を独自に確認しており、PoCコードは研究者のセルフホスト型リポジトリで公開されている。Microsoftはまだパッチも公式声明も出していない。 対応と今後の見通し 今回のPatch Tuesdayは規模の大きさだけでなく、Nightmare Eclipseによる連続的なゼロデイ公開という文脈でも注目されている。同研究者はMicrosoftの脆弱性開示慣行への不満から、修正リリース前後に相次いでPoCを公開しており、今後も追加の公開が行われる可能性がある。RoguePlanetに対する暫定的な緩和策としては、アプリケーションの許可リスト（allowlisting）の導入が有効とされている。企業および個人ユーザーはできる限り早急に今月の更新プログラムを適用するとともに、RoguePlanetのパッチが提供されるまでエンドポイント保護の強化を検討することが推奨される。

概要 VercelはNext.js 16.2を正式リリースした。本バージョンの最大の見どころは開発サーバー（next dev）の起動速度で、同一マシン・同一プロジェクトでの計測でNext.js 16.1比約87%短縮、前世代からは約400%の高速化を実現した。加えてServer Componentsのレンダリング速度が最大60%向上し、大規模アプリケーションの日常的な開発体験が大きく改善されている。AIエージェントによるコード生成支援に向けたツーリング、Turbopackの大幅強化も今回リリースの柱となっている。なお最低動作要件はNode.js 20.9以上、TypeScript 5.1以上に引き上げられた。 開発パフォーマンスの大幅改善 レンダリング高速化の核心は、Reactに取り込まれたServer Componentsペイロードのデシリアライズ処理の刷新にある。従来実装はJSON.parseのreviverコールバックを使用しており、パース中のすべてのキー・バリューペア処理でV8エンジン内のC++/JavaScript境界越えが発生し、引数なしreviverでさえ約4倍の速度低下をもたらしていた。Next.jsチームはReact本体へのコントリビューション（PR #35776）として、まず通常のJSON.parse()でパースしたのちに純粋なJavaScriptで再帰走査する2ステップ方式に切り替えた。実測ではServer Componentテーブル（1000アイテム）で26%、ネストしたSuspenseを持つServer Componentで33%、Payload CMSのホームページで34%、リッチテキストを含むPayload CMSページでは60%のサーバーレンダリング時間短縮が確認されている。 AIエージェント向けツーリングの強化 create-next-appで生成されるプロジェクトにAGENTS.mdファイルが標準搭載された。このファイルにはプロジェクト構造や慣習が記述されており、CopilotやCursorなどのAIコーディングエージェントがコンテキストを即座に把握できるようになる。あわせてバージョンに対応したドキュメントをMarkdown形式でバンドルし、ローカルエージェントが参照できる仕組みも整備された。さらにlogging.browserToTerminal設定でブラウザのエラーやconsole.logを開発ターミナルへ転送する機能がデフォルト有効になり、実験的CLIである@vercel/next-browserによるターミナルからのアプリ検査もサポートされている。 Turbopackの強化 Turbopackではサーバー向けFast Refreshが大幅に改善された。従来は変更したモジュールに関係するインポートチェーン全体を再ロードしていたが、変更モジュールのみを再ロードする方式に改めた結果、アプリリフレッシュで67〜100%、コンパイル時間で400〜900%の高速化が報告されている。機能面ではサブリソース整合性（SRI）のJavaScriptファイル対応、分割代入した動的インポートのツリーシェイキング、postcss.config.tsのサポートが追加された。200件超のバグ修正も含まれており、安定性も向上している。 デバッグ体験と新機能 デバッグ支援として複数の改善が加わった。開発中のターミナルにServer Functionの実行ログ（関数名・引数・実行時間・定義ファイル）が表示されるようになり、ハイドレーションミスマッチ発生時のエラーオーバーレイには+ Client / - Serverの凡例でサーバーとクライアントの差分が明示される。next dev --inspectに続きnext start --inspectでも本番サーバーへのNode.jsデバッガ接続が可能となった。ImageResponseは基本的な画像で2倍、複雑な画像では最大20倍の高速化を果たし、デフォルトフォントもNoto SansからGeist Sansに変更された。<Link>コンポーネントにはtransitionTypesプロパティが追加され、View Transitionsを使ったナビゲーションアニメーションを柔軟に制御できる。Adaptersは今回から安定版（stable）に昇格し、デプロイプラットフォームやカスタムビルド統合がNext.jsのビルドプロセスをカスタマイズできるようになった。実験的機能としてはunstable_catchError()によるコンポーネントレベルのエラーバウンダリ、unstable_retry()によるデータ再フェッチを伴う再試行、experimental.prefetchInliningによるプリフェッチリクエスト削減なども提供されている。

概要 Node.jsプロジェクトは、2026年10月より抜本的なリリースモデルの変更を実施すると発表した。従来の年2回のメジャーリリース体制から年1回に削減し、奇数・偶数バージョンによるLTS（長期サポート）の区別を廃止する。Node 27が新方式初のリリースとなり、以降のすべてのメジャーバージョンが最終的にLTSへ昇格する。Node 26（2026年4月リリース）は旧モデル最後のリリースとなった。 変更の主要な動機は、ボランティア主体のメンテナーが複数のリリースラインへのバックポート作業に苦しんでいたことと、奇数バージョン（従来の「非LTS」リリース）の実採用率が著しく低かったことにある。プロジェクトメンバーのJames Snellは「このモデルは10年前に設計されたもの。エコシステムとプロジェクトのニーズが変化したかどうかを定期的に見直すのは重要なことだ」と述べ、今回の刷新を正当化した。 新しいリリースサイクルの詳細 新モデルでは、メジャーバージョンは毎年4月にリリースされ、同年10月にLTSへ昇格する。各バージョンのライフサイクルは4段階に整理される。 Alpha（6ヶ月）: 27.0.0-alpha.1 のような事前リリース形式で公開 Current（6ヶ月）: 安定版として一般提供 LTS（30ヶ月）: 長期サポート期間 End of Life: サポート終了 合計サポート期間は約36ヶ月となり、既存モデルと大きく変わらない。また、バージョン番号はカレンダー年と連動するよう設計され、Node 27は2027年、Node 28は2028年にリリースされる予定だ。 新設されるAlphaチャネルは、ライブラリ著者が破壊的変更を早期に把握し、CI/CDパイプラインに組み込んでテストするための6ヶ月間の猶予期間として機能する。LTSリリースのみをテスト対象としていたライブラリは、Alphaチャネルを見落とすとユーザーへの影響が出る前にバグを検出する機会を失うリスクがある。 コミュニティの反応と影響 既存のLTSユーザーにとっては「バージョン番号以外の変化はほぼない」とプロジェクト側は説明している。しかしコミュニティ内には懸念の声もあり、Kevin Lentinは「2年ごとにしか新LTSが出ないなら、機能を待つ苦しみがひどくなる」と訴えた。エンタープライズユーザーが長いサポート窓口を好む一方、最新機能へのアクセスを求めるチームとの間で一定の緊張が生じている。 ライブラリ保守者に対しては、AlphaリリースをCI/CDに即時組み込むことが強く推奨されており、新しいリリースサイクルへの対応が求められる。エコシステム全体のアップグレードサイクルが簡素化されることで、長期的にはコミュニティの運用負荷が下がると期待されている。

概要 Veeam Backup & Replication（VBR）に、CVSSスコア9.4の重大なリモートコード実行（RCE）脆弱性CVE-2026-44963が発見された。影響を受けるのはバージョン12.3.2.4465以前のすべてのv12系ビルドで、Windowsドメインに参加しているバックアップサーバー上で、認証済みの低権限ドメインユーザーが任意のコードをリモート実行できる。脆弱性はwatchTowrの研究者Sina Kheirkhah氏が責任ある開示のプロセスで報告した。Veeamは修正済みバージョン12.3.2.4854を既にリリースしており、すべてのユーザーに対して早急なアップデートを推奨している。 技術的な詳細 本脆弱性の悪用条件は、バックアップサーバーがWindowsドメインに参加していることだ。これはVeeam自身がセキュリティ上のベストプラクティスとして「バックアップサーバーをドメインに参加させないこと」を推奨しているにもかかわらず、多くの環境でドメイン参加が行われているという現実を突いた攻撃経路となっている。攻撃者はActive Directory環境のごく低い権限のアカウントを持つだけで、バックアップサーバー上で任意コードを実行し、システム全体の侵害につなげることができる。なお、バージョン13.x系はアーキテクチャの変更により本脆弱性の影響を受けない。 影響範囲と対策 Veeamは世界55万社以上の顧客を抱え、Fortune 500企業の82%が同製品を導入している。バックアップサーバーはランサムウェアグループにとって最優先の標的であり、侵害されるとデータ窃取やバックアップ機能の無効化によって被害組織の復旧を阻むことができる。過去にはVBRの4件の脆弱性がCISAによって積極的に悪用が確認されたとして警告されており、今回も修正パッチのリリース後にリバースエンジニアリングを通じた攻撃の試みが加速する可能性が高いとVeeam自身も警告している。対策としては、バージョン12.3.2.4854への即時アップデートに加え、バックアップサーバーをドメインから切り離すというVeeamの推奨ベストプラクティスへの準拠が重要となる。