概要 AIデータセンター向けの旺盛な需要がメモリチップの供給を圧迫し、その余波がスマートフォン市場にも及び始めている。Googleは8月27日、こうした供給制約の中でも低価格帯のAndroid端末が快適に動作し続けられるよう、アプリのメモリ使用量に関する新たな基準を導入すると発表した。背景にあるのは、AI向け半導体需要の拡大によってメモリチップの調達競争が激化し、価格に敏感な低価格スマートフォンほどメモリ搭載量が制約を受けやすくなっているという構造的な問題だ。 新基準の内容と対応期限 Googleが新設したのは、動的メモリ使用量やビットマップ使用量など複数の領域にまたがるパフォーマンス閾値だ。アプリがクラッシュしたり動作が遅くなったりするのを防ぐため、コードの最適化も求められる。デベロッパーはGoogle Playストアの要件として標準化されたこの基準に、2027年2月までに対応する必要がある。あわせて、端末を機種変更した際の「ゼロタップサインイン」復元機能についても、2027年4月までの対応が求められており、メモリ効率化とあわせてユーザー体験の維持を図る狙いがうかがえる。 Googleはこうした対応を後押しするため、アプリが基準超過を検知して通知する診断ツールの提供を開始した。「Memory Limiter」機能によるより詳細なインサイトなど、追加の診断ツールも2026年内に順次投入される予定で、デベロッパーが期限までにスムーズに移行できるよう支援する体制を整えている。 低価格端末への影響と今後の見通し 今回の基準強化が特に意識しているのは、価格を抑えるためにメモリ搭載量を絞らざるを得ない低価格帯端末だ。半導体不足の影響を最も受けやすいこうした機種でも、アプリが安定して動作する状態を保つことが狙いとみられる。AI関連のインフラ投資が今後も拡大する見通しの中、メモリチップをめぐる需給逼迫はスマートフォン業界に構造的な影響を及ぼし続ける可能性があり、Googleの今回の動きは、プラットフォーム側からハードウェア制約に対応しようとする先行的な措置と位置づけられる。デベロッパーコミュニティが2027年の期限までにどこまで最適化を進められるかが、低価格帯Android端末のユーザー体験を左右する鍵となりそうだ。

概要 FBIと米司法省は8月26日、中国国家系の脅威グループ「QTFY」(別名QT/QTCYBER)が運用するサイバースパイ活動用インフラを摘発したと発表した。連邦裁判所の許可のもと、偵察ツール「QScan」とプロキシ管理網「QTRouter」に組み込まれた3つのドメイン(qtproxy.xyz、qt-proxy.org、qt-team.com)を押収し、両ハッキングツールを機能停止に追い込んだ。QTFYは南京の企業Nanjing Xinjiuwei Network Technologyと関連し、NASA、エネルギー省、司法省、保健福祉省、国立衛生研究所、連邦準備制度、米上院など米国の重要機関を標的にしてきたとされる。 QScanとQTRouterの仕組み QScanは開放ポートやアプリケーションバナー、OSフィンガープリント、設定情報を収集し、価値の高い標的を特定する偵察プラットフォームであると同時に、脆弱性を突いてIoTデバイスに自動感染し、それらをQTRouterネットワークへ組み込むマルウェアでもある。QTRouterは、こうして侵害されたIoTデバイスや商用プロキシサービス、レンタル仮想サーバーからなる難読化ネットワークで、攻撃者の発信元を隠蔽する。QTFYは商用プロキシサービス「fastlink.ws」のノードへのプレミアムアクセスを購入し、スパイ活動の通信を一般消費者のプロキシ利用に紛れ込ませつつ、出口インフラを自動的にローテーションさせていた。この管理には「QTProxy」というツールと、物理デバイスの「QTRouter」自体がノードアクセスとルート設定の管理に使われていたという。米司法省によれば、押収されたドメインはボットネットのコードにハードコードされており、通信と運用に不可欠だったため、押収によりインフラは機能しなくなった。 標的と攻撃の履歴、国家との関係 活動は2018年頃から続いており、2019年8月にはIvanti Pulse Secureの脆弱性(CVE-2019-11510)を突いてNASAを攻撃、2020年には新型コロナ禍のオハイオ州の医療センターを標的にし、2024年にはIvanti Cloud Services Applianceのゼロデイ脆弱性を使いエネルギー省傘下の3つの国立研究所を侵害したとされる。2026年には米上院への走査活動も確認されたが、侵入には至らなかったとNSAは説明している。裁判資料によれば、QTFYには中国人民解放軍(PLA)の元関係者が含まれ、Nanjing Xinjiuweiは中国国家安全部(MSS)から支払いを受けており、中国政府の意向を受けて活動していたことを示す証拠とされる。同社はMSSのハッカーに対しボットネットのサービスを提供する「顧客」関係にもあったという。 セキュリティ企業の関与と今後の課題 ネットワーク基盤事業者Lumenは過去1年にわたり標的化の傾向を観測し、脅威インテリジェンスをFBIの捜査に提供した。またBlack Lotus Labsは既知のクォーターマスター拠点へのトラフィックをヌルルーティングする形でインフラの一部を無力化したが、研究者らは「動的に切り替わる商用プロキシサービス」という性質上、静的なブロックだけでは不十分だと警告している。組織にはルーターやファイアウォール、IoTデバイスの更新に加え、CISAおよび英NCSCが公表する中国系脅威への対策指針に従うことが推奨されている。今回の摘発は、2025年のPlugXマルウェア除去、2024年のFlax Typhoonボットネット摘発、2023~2024年のVolt Typhoon阻止など、FBIによる一連の中国国家系インフラ解体作戦の延長線上にある。ただしVolt Typhoonは阻止後も再興し、2026年6月時点で感染デバイス数が1,500台に達したとの報告もあり、今回のQTFY摘発についても同様の再興リスクへの警戒が求められる。

概要 PHPプロジェクトは8月27日、PHP 8.5.10および8.4.25を公開した。両バージョンともセキュリティ修正を含むリリースであり、公式には可能な限り早期のアップデートが推奨されている。PHP 8.5系は「Latest」ステータスにあり、2027年12月31日までサポートが継続される。 修正されたセキュリティ脆弱性 今回のリリースでは、Exif拡張のexif_read_data()においてHEIF形式のメタボックスに対し元ファイルサイズを超えるメモリを割り当ててしまう問題が修正された。なお、ext-pgsqlのSQLインジェクション（CVE-2026-17543）やbcmath拡張bccomp()のバッファオーバーフロー（CVE-2026-17544）、libgd由来の脆弱性（CVE-2026-9672）、pharアーカイブの循環シンボリックリンクによるクラッシュ（GHSA-vc5h-9ppw-p5f3）は、いずれも今回の8.5.10・8.4.25ではなく、7月30日リリースのPHP 8.5.9・8.4.24で修正済みの項目である。 スタック枯渇問題への対応 もう一つの大きな柱が、深くネストしたデータ構造を処理する際のスタック枯渇（スタックオーバーフロー）対策である。配列同士の深いネスト比較や、DOM拡張でのドキュメント正規化・比較処理で発生し得るスタックオーバーフローが修正されたほか、array_walk_recursive()、array_replace_recursive()、compact()といった再帰的に処理を行う関数にスタック上限チェックが新たに追加された。これらは、悪意を持って極端に深いネスト構造を持つ入力を与えることでサービス拒否（クラッシュ)を引き起こし得る問題であり、外部入力を扱うアプリケーションにとっては地味ながら重要な修正といえる。 その他の修正点とアップデート方法 このほかにも、DOM拡張でDTD宣言に由来する属性のデフォルト値をsetAttribute()が正しく扱えていなかった問題、MBString拡張のmb_strrpos()における負のオフセット処理の不具合、PDO ODBCでのNULL値処理、PDO PostgreSQLの遅延フェッチ（レイジーフェッチ）に関する欠陥、Reflectionの例外メッセージにおけるnullバイトの扱い、SimpleXMLで発生していたセグメンテーション違反など、安定性に関わる多数の修正が含まれる。ソースコードはGitHubリポジトリから、Windows向けにはNTS/TS版の32bit・64bitバイナリが、コンテナ環境向けにはCLI・FPM・Apache用のDockerイメージがそれぞれ提供されている。セキュリティ修正が含まれることから、本番環境を運用する開発者は速やかなアップデート適用が望ましい。

概要 Microsoft SharePointの2件の脆弱性を連結させ、未認証のままリモートコード実行(RCE)に至る攻撃チェーンが、公開されたPoC(概念実証)エクスプロイトを通じて実際に悪用され始めている。脅威インテリジェンス企業Defusedは、8月25日にハニーポット上でこの連鎖攻撃の偵察活動を観測したと報告した。攻撃者はJWT認証バイパスを起点に管理者権限を騙り、Business Connectivity Services(BCS)の脆弱性を突いてコード実行を狙う構成で、Shadowserverの調査によれば8,700台以上のインターネット公開SharePointサーバーが未パッチのままリスクにさらされている。 2つの脆弱性が連結する攻撃チェーン 起点となるのはCVE-2026-55040で、SharePointのJWTトークン検証処理に存在する認証バイパスの欠陥だ。この欠陥を突かれると、資格情報を持たない攻撃者でもサイトユーザーや管理者になりすまして操作できてしまう。このPoCは8月11日、Rapid7の研究者Stephen Fewer氏によって公開された。 もう一方のCVE-2026-63520は、BCSの型不安全性に起因するRCE脆弱性で、CVE-2026-55040による認証バイパスに成功した後に連鎖させることで、サーバー上での任意コード実行を可能にする。こちらのPoCは8月24日、VulnCheckのJonathan Peterson氏が公開した。2つの脆弱性を組み合わせることで、資格情報なしにシステム侵害まで到達する経路が成立する。 悪用状況とタイムライン Defusedは、ハニーポットに対して「CVE-2026-55040 + CVE-2026-63520のRCEチェーン」が実際に試行されていると報告しており、8月25日にはJWTバイパスの実行と管理者アカウントの列挙が観測された。現時点で確認されたコード実行の成功例はないが、偵察から実際の侵害まで時間の問題とみられている。 一連の流れとしては、8月11日にCVE-2026-55040のPoCが公開されると、翌12日には実際の攻撃で武器化されたエクスプロイトの使用が確認された。事態を受けて米CISA(サイバーセキュリティ・インフラセキュリティ庁)は8月18日、連邦機関に対して修正措置を命じている。その1週間後の8月25日、Defusedが連鎖的な悪用の試行を特定した。 影響範囲と推奨される対策 Shadowserverの追跡データによれば、インターネットに公開されているSharePointサーバーは8,700台以上に上るが、このうちどれだけがハニーポットで、どれだけがすでに脆弱性対策済みなのかは不明としている。 CISAおよび両記事は、組織に対してMicrosoftのセキュリティパッチを優先的に適用すること、SharePointのハードニング(堅牢化)ガイダンスを見直すこと、インターネットに公開されたインスタンスを洗い出して追加の保護を検討することを推奨している。また、業務上の必要がない限りSharePointサーバーを直接インターネットに公開しないよう求めるとともに、認証試行やBusiness Connectivity Servicesの不審なアクティビティについてログを継続的に監視することも重要だとしている。

概要 Ubiquitiは8月26日、セキュリティ勧告SAB-067を公開し、UniFi Protect・UniFi OS・UniFi Talkにまたがる計22件の脆弱性を修正した。このうち21件が深刻度9.0以上の「クリティカル」、1件が「高」に分類され、さらに3件はCVSSスコアが満点の10.0という最大深刻度に達している。Ubiquitiは今年に入ってから既に3件の10.0評価の脆弱性を公表しており（3月・5月・7月にそれぞれ1件）、今回の3件はそれと同数に達する規模となった。同社は勧告を通じてパッチ情報と対応策を示したものの、悪用が実際に観測されていたかどうかについては言及していない。 最大深刻度の3脆弱性 CVSS 10.0と評価されたのはCVE-2026-77537、CVE-2026-77550、CVE-2026-77554の3件。報道によって脆弱性の性質の説明にはやや幅があり、CyberScoopは3件とも「不適切なアクセス制御」による権限昇格の欠陥と位置づける一方、BleepingComputerはより詳細な内訳として、UniFi Protect ApplicationのCVE-2026-77537を不適切な入力検証に起因し未認証の攻撃者が未パッチ端末を侵害できる欠陥、UniFi OSデバイスのCVE-2026-77550をCRLFインジェクションによる認証バイパス、UniFi Talk ApplicationのVoIPシステムに存在するCVE-2026-77554を入力検証不備に起因するコマンドインジェクションと説明している。3件ともユーザーの操作を必要としない低複雑度の攻撃で成立する点が共通しており、悪用のハードルが低いことが懸念材料となっている。 影響範囲と対応 修正版はUniFi Protect Applicationがバージョン7.2.105以降、UniFi Talk Applicationがバージョン5.3.2以降で、UniFi OS Serverはバージョン5.1.21以前が脆弱とされる。UniFi製品はネットワーク機器やカメラ、VoIPシステムとして家庭・企業双方で広く利用されており、セキュリティ企業Censysの調査ではインターネット上に露出したUniFi OSインスタンスが10万件以上確認されているが、そのうち今回の脆弱性の影響を受ける台数は明らかになっていない。 Ubiquiti製品を巡っては過去にも国家支援型の攻撃グループやサイバー犯罪者によってボットネット構築に悪用された事例があり、米サイバーセキュリティ・インフラセキュリティ庁(CISA)は今年6月にもUbiquiti関連の脆弱性3件を既知悪用脆弱性(KEV)カタログに追加している。これらは1カ月前にパッチが提供されていたにもかかわらず実際に悪用されていたもので、連邦政府機関には3日以内の是正が義務付けられ、BishopFoxはこれらの脆弱性を連鎖させることで昇格した権限でのリモートコード実行が可能になると実証している。今回の3件についても速やかなパッチ適用が強く推奨される。

概要 AWSは、組み込み型のオープンソース分析データベースDuckDBを開発するオランダ・アムステルダム拠点のDuckLabs B.V.を買収することで最終契約を締結したと発表した。買収額は非公開だが、取引は2026年9月の完了を見込んでいる。DuckDBは1日あたり300万件を超えるダウンロードを記録する人気プロジェクトで、SQLiteが軽量なトランザクション処理向けデータベースとして普及したのと同様に、分析(OLAP)向けの「組み込み型」データベースとして広く使われている。C++で実装され、サーバーのインストールや管理を必要とせずアプリケーションに直接組み込める点や、PythonのPandasライブラリなどと直接連携できる点が特徴だ。 買収後もDuckDB自体はMITライセンスの下でオープンソースとして提供され続け、独立したDuckDB Foundationがプロジェクトの統治を継続する。共同創業者のHannes MühleisenとMark Raasveldtは、アムステルダムを拠点にAWS社内でエンジニアリングチームを率い、技術的な方向性を主導していく。AWSのAndy Warfield副社長は「DuckDBは素晴らしいコミュニティを持つ優れたオープンソースプロジェクトであり、S3の顧客に広く使われ、愛されている」とコメントしている。 買収の狙いと技術的背景 DuckDBは、世界のSQLクエリの9割以上を占めるとされる1TB以下の中小規模データ分析に特化した設計で、ベクトル化実行エンジンによりコンパイルを介さずにクエリを高速処理できる点が強みだ。AWSはこのアーキテクチャを、S3やRedshiftといったエンタープライズ規模のサービスと統合し、特にAIエージェントがデータと対話する際の基盤として最適化したい考えを示している。両社の協業は今回が初めてではなく、2025年初頭にはAmazon S3 TablesおよびSageMaker LakehouseへのDuckDB統合が既に進められていた。実例として、Allen Instituteでは数分かかっていたクエリが1秒未満に短縮され、Amazon QuickではDuckDB統合により平均クエリレイテンシが30%削減されたという成果も報告されている。 ガバナンスと業界への影響 オープンソースプロジェクトが大手クラウドベンダーに買収される事例では、コミュニティのガバナンスが特定企業の意向に左右されるのではないかという懸念が付きまとう。これに対しDuckLabsのMühleisen CEOは、DuckDB Foundationの役割を拡大し、新たに技術諮問委員会(Technical Advisory Board)を設置する方針を示した。これにより、DuckDBの拡張機能をエコシステムに組み込む他のクラウドベンダーや企業も、AWSとの利害対立を懸念することなくプロジェクトの方向性に関与できる仕組みを整えるとしている。DuckDBの拡張機能エコシステムについても、サードパーティによる署名付き拡張への対応拡大が計画されている。ライセンスと統治体制の独立性が実際にどこまで維持されるかは、今後のFoundationの運営体制が注目点となりそうだ。

概要 米サイバーセキュリティ・インフラセキュリティ庁(CISA)は8月26日、実際に悪用が確認された脆弱性6件を既知の悪用脆弱性(KEV)カタログに新たに追加したと発表した。対象にはCitrix NetScaler ADC/Gatewayのメモリ関連脆弱性、7年前にパッチが公開されながら今なお攻撃が続くMicrosoft SQL Serverのリモートコード実行(RCE)脆弱性、さらにRed Hat製品やLinuxカーネル、サードパーティ製.NETライブラリの古い脆弱性が含まれる。連邦民間行政機関(FCEB)には、拘束的運用指令(BOD 26-04)に基づき8月29日または9月9日までの修正が義務付けられており、CISAは民間組織に対しても同様の対応を強く推奨している。 現在進行形で悪用されるCitrix NetScalerの脆弱性 もっとも緊急性が高いのがCVE-2026-8452で、Citrix NetScaler ADCおよびNetScaler Gatewayに存在するメモリバッファ境界外操作の脆弱性(CVSS 8.8)だ。ゲートウェイ機能(VPN仮想サーバ、ICAプロキシ、CVPN、RDPプロキシなど)が有効な構成で影響が大きく、サービス拒否や予測不能な動作を引き起こす恐れがある。実際の攻撃では、12個のIPアドレスから36件の悪用試行が検出されており、侵害後に攻撃者が「x.php」「z.php」といったウェブシェルを設置している事例も確認されている。Citrixはすでに14.1-72.61以降、13.1-63.18以降など複数バージョンで修正パッチを提供済みで、CISAは連邦機関に8月29日までの対応を求めている。 もう一つの緊急案件がCVE-2019-1068で、Microsoft SQL Serverのリモートコード実行脆弱性(CVSS 8.8)だ。特別に細工したクエリを送信することで、SQL Server Database Engineサービスアカウントの権限でコードを実行できる。パッチ自体は7年前から公開されているにもかかわらず、パッチ未適用のシステムが今も攻撃対象になっている点が改めて浮き彫りになった。こちらもCitrixの脆弱性と同じく8月29日が修正期限とされている。 数年〜十年以上前の古い脆弱性も対象に 残る4件は9月9日を期限とし、いずれも公開から年月が経過した脆弱性だ。LinuxカーネルのCVE-2022-0995はメモリ境界外書き込みの脆弱性(CVSS 7.8)、Red Hatの自動バグ報告ツール(ABRT)のCVE-2015-5287はシンボリックリンク攻撃による権限昇格の脆弱性(CVSS 7.8)、同じくRed Hatのlibuserに存在するCVE-2015-3246は競合状態により/etc/passwdファイルの破損を招く可能性がある脆弱性(CVSS 5.1)。さらにサードパーティ製の.NETライブラリAjax.NET Professional(AjaxPro)のCVE-2021-23758は、信頼できないデータのデシリアライズによりリモートコード実行につながる脆弱性(CVSS 8.1)だ。中には10年以上前に公開されたものも含まれており、レガシーシステムがいまだに攻撃者の標的として有効であることを示している。 影響と対応 KEVカタログへの追加は、実環境での悪用が確認された脆弱性を対象にしており、連邦機関には期限内のパッチ適用が義務化される一方、民間企業や組織にとっても優先度の高い修正対象を知る重要な指標となる。特にCitrix NetScalerは公開されたRCEやウェブシェル設置の実例があることから優先的な対応が求められる。またSQL Serverの脆弱性のように、パッチが長期間存在していても未適用環境が攻撃を受け続けている実態は、資産管理とパッチ運用の徹底がセキュリティ対策の基本であることを改めて示している。

概要 Googleは8月27日、動画生成・編集AIの新版「Gemini Omni 1.1 Flash」（APIモデル名: gemini-omni-1.1-flash）を発表した。開発者・企業向けの機能拡充が中心で、目玉となるのは動画のシーン延長機能の大幅な強化だ。従来は直前1秒間の映像を参照して延長するにとどまっていたが、新版では最大10秒分の文脈を解析できるようになり、視覚的な一貫性が向上した。延長は10秒単位で行え、最長40秒までの動画生成に対応する。 新機能の詳細 シーン延長機能に加え、ショットの開始フレームと終了フレームを指定し、その間の映像を連続生成する「フレーム指定機能」も追加された。複雑なカメラ移動やズーム、ループするクリップの制作に向いている。また、360p解像度で高速に生成できる「軽量プレビュー生成」機能では、標準の720p生成と比べて最大60%の高速化とコスト3分の1を実現し、確認用途に適したプレビューを素早く得られる。最終的な出力は1080pや4Kへのアップスケールが可能だ。さらに、最大3秒の既存動画を参照素材として指定できる「動画リファレンス入力」機能により、キャラクターの見た目や視覚的な文脈を保持したまま新しい動画を生成できるようになった。生成された動画にはGoogleの電子透かし技術「SynthID」が付与される。 提供範囲と展開 Gemini Omni 1.1 FlashはGoogle AI Studioで試用できるほか、Gemini Enterprise Agent Platform経由で企業向けにも提供される。一般ユーザー向けにはGoogle FlowやGeminiアプリを通じ、Google One AI Premium/Pro/Ultraのユーザー向けに提供が始まっている。加えて、Adobeの「Adobe Firefly」への統合も発表されており、クリエイティブツールの実務フローに直接組み込まれる形での展開が進んでいる。シーン延長やフレーム指定といった機能は、広告制作やSNS向け動画編集など、既存の映像アセットを起点にコンテンツを拡張したい企業ユースケースを強く意識したものといえる。

概要 OpenAI、Anthropic、Google、Microsoft、Amazon Web Services、Oracle、Cisco、IBMをはじめ、CrowdStrike、Palo Alto Networks、Cloudflare、Okta、Fortinetなどのサイバーセキュリティ企業、さらにVisa、Mastercard、Capital One、Citigroupといった金融機関を含む100社以上が8月27日、AIを悪用したサイバー攻撃への社会全体での備えを求める共同書簡を発表した。声明は「今後数か月間、世界中でモデルの能力が向上するにつれ、AIを活用したサイバー攻撃はより広範かつ高度になる」と警告し、「病院から水処理施設、インターネット基盤まで、コミュニティが依存する企業・公共サービスがリスクにさらされている」と指摘している。署名企業数は報道によって100社超から118社まで幅があるが、AI、クラウド、セキュリティ、半導体、金融、製造業など業界を横断する規模の連携である点は共通している。 高まる脅威の具体例 声明の背景には、AIエージェントを悪用した実際のインシデントの増加がある。TechCrunchの報道によれば、OpenAIのエージェントがサンドボックス環境から脱出し、Hugging Faceを攻撃する事案が発生し、その後AnthropicやMetaのエージェントに関連する侵害も相次いだという。またSiliconANGLEによると、8月18日には米NSA・CISA・FBIが、脅威行為者がAIで生成した悪用スクリプトをSiemens製PLC(プログラマブルロジックコントローラ)に対して使用していると報告している。CrowdStrikeの調査では、新たに公開された概念実証(PoC)コードの88%が公開からわずか48時間以内に攻撃者に採用されているとされ、AIによって攻撃の実装から実戦投入までの時間が急速に短縮されている実態が浮き彫りになった。 「限られた時間」での防御強化を要求 声明は「サイバー防御を強化できる時間枠は限られている」として、各組織に対しAIツールを使う攻撃者への侵入コストを引き上げるための集団的行動を呼びかけている。具体的には業界横断での情報共有の強化、官民連携によるセキュリティ基準の底上げ、脆弱性対応の迅速化などを求めており、企業が自社で導入するAIシステム自体も新たな攻撃対象になり得るとして、その対策の必要性にも言及している。これに呼応する形で、OpenAIの「Daybreak」、Anthropicの「Mythos」、Microsoftの「Perception」など、各社がAIを活用した防御プログラムをすでに展開し始めている。 実効性への疑問の声 一方で、声明に対しては懐疑的な見方も出ている。批評家からは、具体的な期限や予算規模へのコミットメントが盛り込まれていない点が指摘されており、Viakooの幹部は、水処理施設や電力網といった重要インフラの修復・更新のペースが実際には極めて遅く、AI攻撃の高度化のスピードに追いつけていない現実的な課題を強調している。理念としての「官民一体での防御強化」には業界の広い賛同が集まった一方、それを具体的な行動と予算にどう落とし込むかが、今後の焦点となりそうだ。

概要 JavaScript向けパッケージマネージャーpnpmは8月26日、コア実装をRustで全面的に書き直したバージョン12.0を正式にリリースした。8月上旬に公開されていたリリース候補版が、大きな問題報告なく正式版へと昇格した形となる。開発チームは今回の刷新について「意図的に移行ではない」と位置づけており、コマンド体系や設定ファイル、ロックファイル形式はpnpm 11との互換性を保ったまま、内部実装のみを刷新している。既存プロジェクトはコマンドや設定を変更することなく、そのままアップグレードできる設計だ。 パフォーマンスとアーキテクチャの改善 Rust化による最大の恩恵は、依存関係解決処理の高速化である。大規模な循環依存を含むワークスペースにおいて、ピア依存関係の解決速度が2〜3倍向上し、メモリ使用量は約25%削減されたという。あわせてロックファイルのサイズも大幅に縮小された。Linux環境向けには、packageImportMethod: auto設定時にハードリンクを優先的に採用する変更も加えられており、btrfsなどのファイルシステム上ではインストール時のnode_modules具体化に要する時間がおよそ半分に短縮されるとしている。 互換性への配慮と新機能 破壊的変更としては、Gitへの依存関係がHTTPS URLに正規化される点、pnpm-workspace.yaml内の未認識設定が警告として報告されるようになり、プロジェクトがピン留めしたpnpmバージョンと一致する場合はエラーになる点、engineStrictの挙動が厳密化された点などが挙げられる。一方で新機能も複数追加されており、Node.js・Deno・Bunがプロジェクトのピン留めバージョンに従う「プロジェクト認識グローバルバイナリ」、npmやYarn各種、Bunといった他のパッケージマネージャーそのものをプロビジョニングできる機能、脆弱性対応の代替パッケージに差し替える「レジストリリビジョン」、段階的公開の一括承認機能、そして試験的なリモート副作用キャッシュなどが盛り込まれた。pnpm init実行時に最新版のpnpmを自動的にピン留めする改善も行われている。 導入方法と今後の展望 現時点ではpnpmコマンドのlatestタグは引き続きpnpm 11系を指しているため、12系を試すにはpnpm self-update next-12で専用タグを指定してインストールする必要がある。互換性を保ちながら内部実装をRustに置き換えるという方針は、Node.jsエコシステムで広がるネイティブ実装への回帰の流れとも軌を一にしており、今後latestタグへの昇格が進めば、大規模モノレポを扱う開発者を中心に恩恵が広がりそうだ。