概要 2026年4月19日に実施されたBlue Originの大型ロケット「New Glenn」第3回ミッション（NG-3）は、第1段ブースターの洋上ドローン船「Jacklyn」への着陸成功という歴史的な快挙を達成した一方で、上段ステージの不具合により主要ミッションの失敗に終わった。AST SpaceMobileの衛星「BlueBird 7」は設計軌道より著しく低い軌道に投入され、衛星搭載のスラスターでは軌道維持が不可能と判断されたため全損扱いとなった。米連邦航空局（FAA）はこの事象を「mishap（事故）」と分類し、New Glennの飛行停止を命じるとともに事故調査の実施を義務付けた。 技術的な詳細 Blue OriginのCEO、デイブ・リンプ氏は声明の中で「第2段(GS2)の2回目の燃焼で、2基あるBE-3Uエンジンのうち1基が目標軌道到達に必要な推力を発生できなかった」と原因を説明した。New Glennの第2段（GS2）は2基のBE-3Uエンジンを搭載しており、1基の出力低下がミッション全体の成否を左右する構造となっている。残る1基がなぜ補完できなかったのか、推進剤系統に二次的な損傷が発生したのか、あるいは安全なデオービットを確保するためにあえてペイロードを諦めた判断だったのか、詳細は引き続き調査中だ。回収保険でBlue Birdの損失は補填される見通しだが、衛星の実損を含む運用上の影響は大きい。 FAAの対応と飛行再開条件 FAAは声明で「Blue Origin主導の調査を監督し、プロセスのあらゆる段階に関与する。最終報告書（是正措置を含む）はFAAが承認する」と表明しており、飛行再開にはFAAの正式承認が必須となる。承認の条件は「事故に関連するいかなるシステム・プロセス・手順も公衆安全に影響を与えないことの確認」とされており、Blue Originが主体となって調査と是正措置の立案を行う形だ。 広範な影響 今回の飛行停止はBlue Origin単体にとどまらず、複数の重要プログラムに波及する可能性がある。2026年後半に予定されていた月面着陸機「Blue Moon」の試験飛行、NASAのArtemisプログラム向け有人月面着陸機の契約履行、さらに打ち上げ待ちの他の顧客ペイロードなどが調査期間中の不確実性にさらされる。一方でNASA長官のジャレッド・アイザックマン氏はBlue Originの回復力に自信を示し、初の第1段再使用成功が高い技術力を証明していると述べた。調査結果の公表と是正措置の完了次第で、New Glennの運用再開時期が決まる見込みだ。

概要 Microsoftは2026年4月23日、創業51年にして初となる自主退職プログラム（ボランティア・バイアウト）の実施を発表した。対象は米国従業員の最大7%、人数にして約8,750人に上る。対象従業員には5月7日に個別通知が届く予定で、退職を希望するかどうかを自分の意思で選択できる仕組みとなっている。同社はこのプログラムについて公式声明をまだ発表していないが、関係者の話として複数のメディアが報じた。 対象条件と背景 退職の適格条件として設定されているのは、いわゆる「ルール・オブ・70」と呼ばれる基準だ。従業員の年齢と勤続年数の合計が70以上であることが要件で、たとえば52歳・勤続18年の従業員はこの基準を満たす。対象は上級部長職（Senior Director）以下のシニア従業員とされており、幅広いベテラン層に選択肢が提供される形だ。 相次ぐ人員調整とAI投資の両立 Microsoftはここ数年、複数回にわたる大規模レイオフを実施してきた。直近では2025年夏に約9,000人の人員削減を行っており、今回の自主退職プログラムはそうした措置の延長線上に位置する。ただし強制的なレイオフとは異なり、従業員が自らの意思で選択できる「穏やかな方法での人員最適化」という位置づけが強調されている。背景にはAIへの積極的な投資拡大があり、コスト効率を高めながら成長領域に資源を集中させる戦略的判断とみられる。 今後の見通し 5月7日以降、対象となる従業員への個別連絡が順次行われる見込みだ。退職パッケージの具体的な条件（退職金の額や医療保険の継続期間など）は現時点では公表されていない。51年の歴史を持つMicrosoftが初めて導入した自主退職制度が、どの程度の応募者を集めるかが今後の焦点となる。大手テック企業がAIシフトの加速と人件費最適化を同時に進めるなかで、同様のプログラムが業界全体に広がるかどうかも注目される。

概要 MicrosoftはASP.NET Core Data Protection APIに存在する重大な脆弱性CVE-2026-40372に対して、定例外の緊急セキュリティアップデート「.NET 10.0.7」を公開した。CVSSスコアは9.1と非常に高く、未認証の攻撃者がネットワーク越しに認証クッキーを偽造してSYSTEM権限を取得できる危険性がある。影響を受けるのはMicrosoft.AspNetCore.DataProtectionバージョン10.0.0から10.0.6までで、利用している組織には即時のアップデートが強く求められている。 この脆弱性は2026年4月14日の定例パッチ（Patch Tuesday）で配布された.NET 10.0.6のリリース後、ユーザーがアプリケーションで復号エラーが発生していることを報告したことをきっかけに発覚した。調査の結果、復号失敗の原因となったリグレッションが同時にセキュリティ上の脆弱性を生み出していることが判明し、緊急対応に至った。 技術的な詳細 この脆弱性の根本原因は、マネージド認証暗号化プロセスにおけるHMAC検証タグの計算バグだ。具体的には「マネージド認証暗号化子がペイロードの誤ったバイト列に対してHMAC検証タグを計算し、計算されたハッシュを破棄してしまう」という挙動により、DataProtectionの真正性チェックが機能しなくなる。攻撃者はこれを悪用して偽造ペイロードを作成し、認証クッキー・アンチフォージェリートークン・OIDCステートパラメーターなどの保護データを復号・偽造することが可能となる。 脆弱性の悪用が成立する条件として、The Hacker Newsの報告では3つの要件が挙げられている。(1) アプリケーションがNuGetからMicrosoft.AspNetCore.DataProtection 10.0.6を利用していること、(2) そのNuGetパッケージが実行時にロードされていること、(3) アプリケーションがLinux・macOS・またはWindows以外のOSで動作していることだ。この条件が揃った環境では、攻撃者はセッションの乗っ取りやAPIキー・パスワードリセットトークンの偽造により、最終的にSYSTEM権限を取得できる。 対応策と推奨事項 MicrosoftはMicrosoft.AspNetCore.DataProtectionパッケージを10.0.7へ更新し、アプリケーションを再ビルド・再デプロイするよう呼びかけている。更新後はdotnet --infoコマンドでバージョンを確認することが推奨される。 さらに重要な点として、パッチを適用しただけでは脆弱性が存在していた期間に発行されたトークンはそのまま有効であり続ける。脆弱ウィンドウ内に発行されたセッションやトークンを無効化するには、DataProtectionのキーリングのローテーション（再生成）を合わせて実施する必要がある。既存トークンの悪用リスクを完全に排除するためには、この追加対応も欠かせない。

概要 カナダのエンタープライズAI企業Cohereは2026年4月24日、ドイツのAIスタートアップAleph Alphaとの合併を発表した。両社は「大西洋横断AIパワーハウス」の設立を謳い、MicrosoftやGoogleといった米国シリコンバレー系AIプロバイダーへの主権的代替として市場に打って出る構えだ。合併後の企業評価額は約200億ドルとされ、SchwarzグループがCohere のシリーズEラウンドに€5億（約6億ドル）のストラクチャードファイナンスを投資する。取引は2026年中に正式クローズされる見込みだ。 合併の戦略的背景 Cohere CEOのAidan Gomezは、Aleph Alphaが持つ「スモール言語モデル、欧州言語処理、トークナイザー技術」がCohereの汎用大規模言語モデルと相補的な関係にあると指摘する。Cohereは2025年時点で年間経常収益2億4,000万ドルを計上していた一方、Aleph Alphaの収益規模は小さかったが、ドイツ政府や欧州規制産業との深い関係と専門的な技術資産を持つ。両社の組み合わせは、収益基盤と欧州特化の技術・顧客基盤を統合し、防衛・エネルギー・金融・医療・製造・通信・公共セクターを主要ターゲットとするエンタープライズAI市場を狙う。 「主権AI」の文脈と課題 この合併は、データが米国テックジャイアントのインフラを経由することへの懸念が高まる欧州で、「AI主権」への需要に応えるものだ。カナダとドイツは両国間で「ソブリン・テクノロジー・アライアンス」を立ち上げており、政府レベルでの後押しも追い風となっている。Schwarz Group（Lidl・Kauflandを擁するドイツ小売大手）にとっても、傘下のSovereignクラウドプラットフォーム「STACKIT」の主要顧客を確保するという戦略的メリットがある。 ただし、欧州企業や政府機関がカナダ・ドイツ合弁の新会社を真の「主権AI」として受け入れるかは不透明な部分も残る。CohereがIPOにより株式を広く分散させた場合、所有権が国際化し「主権性」の訴求が薄れるリスクも指摘されている。エンタープライズAI市場でSilicon Valleyの覇権に対抗できる競争力を持続的に維持できるかが、合併後の最大の問いとなる。 今後の展望 合併は2026年内のクローズを目指しており、完了後はカナダ・ドイツ双方の人材と技術を統合した新体制が整う見込みだ。規制産業向けのデータ管理とプライバシー保護を強みとしながら、欧州および国際市場での顧客獲得を加速させる戦略が軸となる。「大西洋横断パワーハウス」が掲げる主権AI路線が、AIプロバイダーの地政学的再編の呼び水となるかが注目される。

概要 OpenAIは2026年4月22日、テキスト中の個人識別情報（PII）を自動的に検出・マスキングするオープンウェイトモデル「Privacy Filter」を発表した。Apache 2.0ライセンスのもとHugging FaceおよびGitHubで公開されており、企業がAIワークフローにおけるプライバシーリスクを軽減するための実用的なツールとして設計されている。背景には、ユーザーが氏名・住所・口座番号などの機密情報を含むテキストをそのままAIツールに貼り付けてしまうという、広く見られる問題意識がある。OpenAIは「より回復力のあるソフトウェアエコシステムをサポートする」という目標のもと本モデルを開発したと説明している。 技術仕様とパフォーマンス Privacy Filterはトークン分類アプローチを採用し、単一パスでテキストをラベル付けする設計になっている。総パラメータ数は15億（1.5B）だが、実稼働時に実際に使用されるのは約5,000万パラメータのみという効率的な構造を持つ。コンテキストウィンドウは最大128,000トークンに対応しており、長文書の処理にも適している。 対応するPIIカテゴリーは8種類で、名前・住所・メールアドレス・電話番号・URL・日付・口座番号・秘密情報を識別できる。公開ベンチマーク「PII-Masking-300k」では精度94.04%・再現率98.04%・F1スコア96%を達成し、改訂版データセットではF1スコアが97.43%に達するなど高い性能を示している。 ローカル実行によるプライバシー保護 本モデルの大きな特長のひとつが、オンデバイスでの完全ローカル実行だ。テキストデータを外部サーバーに送信することなくPIIの除去が可能なため、企業や組織が機密性の高いデータを扱う場合でも安心して利用できる。特に医療・金融・法務分野では規制上の要件としてデータの外部送信が制限されることが多く、ローカル処理対応は実務上の重要な優位点となる。 制限事項と活用上の注意 OpenAI自身も、本モデルには一定の限界があることを認めている。稀なPII識別子は見落とす可能性があり、文脈が限定的なテキストでは過剰なマスキングや検出漏れが発生することがある。そのため、法務・医療・金融分野での利用においては人的レビューを組み合わせることが推奨されている。あくまでもAIワークフローの第一層の防御として活用し、完全な代替手段として過信しないことが重要だ。

概要 SoftBank Groupによるデジタルインフラ投資会社DigitalBridge Group買収計画が、2026年4月23日に開催されたバーチャル形式の特別株主総会で承認された。投じられた票のうち約96%（約1億2,118万株）が賛成し、メリーランド州法および買収契約が定める過半数要件を大きく上回った。買収は1株あたり16.00ドルの現金払い、企業価値総額は約40億ドル（約6,200億円）で、2025年12月26日終値に対して15%のプレミアムが付いている。 DigitalBridgeの事業と規模 DigitalBridgeはデジタルインフラ資産への投資・運用を専業とするグローバル企業で、運用資産残高は1,080億ドル（約16兆円）に達する。データセンター、携帯基地局、光ファイバーネットワーク、エッジインフラを中心に30年以上の投資実績を持ち、次世代AIサービスに不可欠な物理インフラの開発・資金調達・スケールアップを手掛けてきた。CEOのマーク・ガンジー氏のもとで培われたこのノウハウこそが、SoftBankが今回の買収で獲得したい最大の資産とみられる。 ASIビジョンと戦略的意義 SoftBank会長兼CEOの孫正義氏は買収の狙いについて「AIが世界中の産業を変革するにつれ、より多くの計算資源・接続性・電力・スケーラブルなインフラが必要になる」と語っており、同社が掲げる「人工超知能（ASI）」プラットフォームへの進化という長期ビジョンに直結する投資と位置付けている。DigitalBridgeの取得によりSoftBankは、AI向け次世代データセンターの建設・運営・資金調達を一貫して担う能力を社内に取り込む。Vision Fundを通じたAIソフトウェア企業への出資に加え、物理インフラ層も自社グループ内で完結させる垂直統合戦略の一環だ。 クローズに向けたスケジュールと体制 株主承認の取得に続き、残る完了条件は各国規制当局による承認など通常の手続きのみとなり、取引は2026年後半のクローズを見込んでいる。買収完了後もDigitalBridgeは独立した運営プラットフォームとして存続し、引き続きマーク・ガンジーCEOがリーダーシップを担う予定。既存のポートフォリオ企業や投資家との関係に直接的な変更は生じない見通しで、SoftBankグループの一員として資本力とネットワークを活かした事業拡大が期待される。

概要 フランス内務省傘下の国家安全書類機関「France Titres（ANTS: Agence Nationale des Titres Sécurisés）」は2026年4月、同機関のオンラインポータルに対するサイバー攻撃によるデータ侵害を公式に認めた。ANTSはパスポート、国民IDカード、運転免許証、在留資格証明書など、フランス市民の主要な身分証明書の発行・管理を担う機関である。侵害は4月15日に検知されたが、公表は数日後となり、その間に攻撃者がすでに犯罪フォーラムでデータの販売を告知していたことが判明している。 攻撃者は「breach3d」および「ExtaseHunters」と名乗るグループで、約1,800万〜1,900万件（フランス人口のおよそ3分の1に相当）の個人情報を窃取したと主張し、データの売却を進めている。彼らはこれを過去の漏洩データの再利用ではなく「新鮮な構造的侵害（fresh, structural compromise）」と説明し、「フランス政府はデジタル防衛よりも料理に専念した方がよい」と皮肉るコメントも残している。フランス政府は侵害の事実は認めたものの、被害規模の数字については現時点で確認していない。 流出したデータの内容 ANTSが公式に認めた流出データには、ログインID、氏名、メールアドレス、生年月日・出生地、固有のアカウント識別子、郵便住所、電話番号が含まれる。一方、機関が強調しているのは、手続き中に提出された添付ファイルなどの追加書類は含まれていないという点だ。また、流出したデータのみでは不正にポータルへアクセスすることはできないとしている。 政府の対応とフィッシング詐欺への警告 フランス当局は侵害発覚後、複数の措置を速やかに講じた。フランスのデータ保護機関であるCNIL（Commission nationale de l’informatique et des libertés）への報告、パリ検察庁への刑事告発、国家サイバーセキュリティ機関ANSSI（Agence nationale de la sécurité des systèmes d’information）への通知、そして追加セキュリティ対策の実施が行われた。さらに、影響を受けた利用者への個別通知も進められている。 ANTSはまた、流出したデータがフィッシング詐欺に悪用される可能性を警告し、同機関を名乗るSMS、電話、メールに対して注意を払うよう市民に呼びかけている。今回の侵害は、教育省のシステム侵害や銀行口座情報の流出など、近年フランスの公共部門で相次いでいるサイバーセキュリティインシデントの一連として位置付けられており、政府機関のデジタルセキュリティ体制の脆弱性が改めて問われている。

概要 2026年4月22日、パスワードマネージャーBitwardenの公式CLIツールのnpmパッケージ（@bitwarden/cli）において、悪意あるバージョン2026.4.0が公開された。このパッケージは月間25万件以上のダウンロードを持つ広く使われたツールであり、悪意あるバージョンが公開されていた時間は午後5時57分から7時30分（ET）の約93分間という短時間だった。Bitwardenは迅速に問題を検知し当該リリースを非推奨化・削除したものの、その間にパッケージをインストールした開発者は認証情報の漏えいリスクにさらされた。Bitwardenは「エンドユーザーのボルトデータや本番システムへの影響は確認されていない」と声明を発表し、CVEも発行されている（対象：バージョン2026.4.0）。 攻撃の手法と悪意あるコードの動作 攻撃者はBitwardenのCI/CDパイプラインで利用されているGitHub Actionを侵害することで、正規パッケージへの悪意あるコードの混入に成功した。パッケージ内にはbw_setup.jsという不審なローダーが仕込まれており、preinstallフックを通じてパッケージのインストール直後に自動実行される。このローダーはBunランタイムが存在しない場合はGitHubからダウンロードし、難読化されたJavaScriptファイルbw1.jsを実行して本体のマルウェアを起動する仕組みだった。 盗み出しの対象は多岐にわたり、GitHub・npmのトークン、SSHキー、シェル履歴、GitHub Actionsの環境変数、AWS・Azure・GCPなどのクラウド認証情報、さらにはClaude・Cursor・Codex CLI・AiderといったAIコーディングツールの設定ファイルまで含まれていた点が特筆される。盗んだデータはAES-256-GCMで暗号化のうえ、Checkmarxを偽装したドメインaudit.checkmarx[.]cxへ送信された。主要な経路が失敗した場合のフォールバックとして、窃取したGitHubトークンを悪用して被害者のアカウントにパブリックリポジトリを作成し、そこへ暗号化ペイロードをアップロードするという二重の窃取経路も備えていた。 自己増殖能力と広がるサプライチェーンリスク このマルウェアが特に危険視される理由は、単なる認証情報窃取にとどまらない自己増殖機能にある。窃取したnpm認証情報を利用して被害者が変更権限を持つ他のnpmパッケージを特定し、それらにも同様の悪意あるコードを注入して連鎖的に感染を広げる機能を持っていた。セキュリティアナリストは「1人の開発者が感染することで、そのトークンがアクセスできるすべてのCI/CDパイプラインへの永続的なワークフロー注入アクセスを攻撃者に与える可能性がある」と指摘しており、1件の感染が組織全体のサプライチェーンを危険にさらしかねない深刻な構造的問題といえる。 攻撃グループと過去のキャンペーンとの関連 セキュリティ企業Socket（JFrog・OX Securityも分析に参加）の調査により、本攻撃はTeamPCPと呼ばれる脅威アクターによる「Shai-Hulud」キャンペーンの一環であることが特定された。なお、Checkmarx自身は本キャンペーンの先行被害者として位置付けられている。コード内には「Shai-Hulud: The Third Coming」という文字列が残されており、同グループが過去に実施したTrivyスキャナーやLiteLLMのPyPIパッケージを標的にした攻撃との連続性が確認された。共通の悪意あるインフラエンドポイント（audit.checkmarx[.]cx/v1/telemetry）や、同一の難読化ルーティン（シード値0x3039を使う__decodeScrambled）が証拠として挙げられている。なお、TeamPCPのXアカウントは攻撃発覚後に停止されている。セキュリティ研究者はこのマルウェアを「これまでのnpmサプライチェーン攻撃の中で最も高度なペイロードの一つ」と評しており、RSA署名付きコマンド配送を伴うGitHub経由のC2チャネルなど高度な技術が駆使されている点が際立つ。 影響を受けた開発者への推奨対応 Bitwardenは問題発生後に侵害されたアクセス権を即時失効させ、当該バージョンを非推奨化した。悪意あるバージョン2026.4.0を2026年4月22日の当該時間帯にインストールした開発者は、CI/CDパイプラインやクラウド環境・開発環境で使用しているすべての認証情報を速やかにローテーションすることが推奨されている。パスワードマネージャー自体のユーザーデータは影響を受けていないが、開発者ツールチェーン全体に渡る被害拡大の可能性があることから、慎重な調査と対応が求められる。

概要 米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は2026年4月24日（金）、リモートサポートツール・デジタルサイネージサーバー・ルーターなど複数の製品に影響する4件の脆弱性を既知悪用脆弱性（KEV: Known Exploited Vulnerabilities）カタログに追加した。連邦民間行政府機関（FCEB）はBOD 22-01に基づき、2026年5月8日までに修正対応またはシステムの使用停止を義務付けられている。CISAは民間組織に対しても早急なパッチ適用を強く推奨している。 4件の脆弱性の詳細 今回追加された脆弱性は以下の4件で、いずれも実際の攻撃への悪用が確認されている。 SimpleHelp（CVE-2024-57726 / CVE-2024-57728） CVE-2024-57726（CVSS 9.9）：低権限の技術者アカウントが、本来の権限を超えた過度な権限を持つAPIキーを作成できる特権昇格の脆弱性。深刻度は最高クラスに近い。 CVE-2024-57728（CVSS 7.2）：パストラバーサル（Zip Slip）の脆弱性。細工されたZipアーカイブを通じて任意ファイルの書き込みが可能になる。いずれもランサムウェア攻撃の前段階として悪用されているとみられる。 Samsung MagicINFO 9 Server（CVE-2024-7399） CVSS 8.8のパストラバーサル脆弱性で、攻撃者がシステム権限で任意ファイルを書き込み可能となる。商業施設や公共空間で広く使われているデジタルサイネージ管理サーバーへの攻撃に利用されており、Miraiボットネット亜種の配備が確認されている。 D-Link DIR-823X（CVE-2025-29635） CVSS 7.5のコマンドインジェクション脆弱性。認証済みの攻撃者がPOSTリクエストを通じてルーター上で任意コマンドを実行できる。「tuxnokill」と呼ばれるMirai系ボットネット亜種による攻撃への利用が報告されている。DIR-823Xはすでにサポート終了製品であり、CISAは修正対応が困難な場合は使用を中止するよう求めている。 背景と推奨対応 KEVカタログへの追加は、脆弱性が単に理論的なリスクに留まらず、現実の脅威アクターによって実際に悪用されていることを公式に認定するものだ。特にSimpleHelpの脆弱性は2025年初頭から複数のセキュリティ研究者によって報告されており、ランサムウェアグループによる初期侵入経路として積極的に使用されている点が懸念される。Samsung MagicINFOおよびD-Linkのルーターに関しては、IoTデバイスを標的としたボットネット攻撃の広がりを示している。 組織は影響を受けるすべての製品に対して、ベンダーが提供するパッチを速やかに適用することが求められる。D-Link DIR-823XのようにEOL（サポート終了）製品については、同等の現行サポート製品への移行を検討する必要がある。

概要 Git 2.54が2026年4月20日に正式リリースされた。137名のコントリビューター（うち66名が新規）の貢献によるリリースで、目玉機能として設定ファイルでフックを定義できる「Configuration-Based Hooks」と、インタラクティブリベースより手軽にコミット履歴を書き換えられる実験的コマンド git history が追加された。また、Git 2.52で導入された幾何学的再パック（Geometric Repacking）がデフォルト化されるなど、パフォーマンスと利便性の両面で多くの改善が施されている。 Configuration-Based Hooks 従来のGitフックは .git/hooks/ 配下にシェルスクリプトを置く方式のため、複数リポジトリへの展開や共有が難しかった。Git 2.54で導入された Configuration-Based Hooks は、~/.gitconfig などの設定ファイルに直接フックを定義できる仕組みだ。 [hook "linter"] event = pre-commit command = ~/bin/linter --cpp20 この方式では同じイベントに複数のフックを登録でき、git hook list で一覧確認が可能。hook.<name>.enabled = false で個別に無効化もできるため、プロジェクトごとの設定上書きも柔軟に行える。グローバル設定として共有できる点は、チームやマシンをまたいだ開発環境の統一に役立つ。 実験的コマンド「git history」 git history はインタラクティブリベースほどの複雑さを要しないシンプルな履歴書き換えに特化した実験的コマンドだ。現在 reword と split の2つのモードが提供されている。 reword モードは指定コミットのメッセージを編集し、そのコミットから派生する全ブランチを自動更新する。ワーキングツリーやインデックスには一切影響しないため、安全に実行できる。split モードはコミットをインタラクティブに分割でき、取り込む変更をハンク単位で選択できる。ただし、マージコミットを含む履歴は対象外で、マージコンフリクトを引き起こす操作は拒否される点に注意が必要だ。 その他の主な改善点 Geometric Repacking のデフォルト化: Git 2.52で導入された幾何学的再パック戦略が今回からデフォルトになった。全体 repack の代わりに段階的統合を実施することで、大規模リポジトリのメンテナンスコストが軽減される。 HTTP 429 への自動対応: レート制限（HTTP 429）を受けた際に Retry-After ヘッダーを解釈して自動リトライする機能が追加された。大量のリモート操作を行う環境での信頼性が向上する。 その他にも、git add -p でのハンク選択状況の可視化、git log -L と pickaxe 検索（-S/-G）の組み合わせ対応、git rebase --trailer による全 rebase 済みコミットへのトレーラー自動付与、git blame --diff-algorithm による差分アルゴリズムの選択、git alias での ASCII 以外の文字サポートなど、日常的なワークフローを改善する多数の機能追加・修正が含まれている。内部的にはオブジェクトデータベース（ODB）がプラガブルバックエンド設計に移行しており、将来の拡張性が高まっている。