概要 元Heap CEOのMalcolm Matis氏は7月9日、個人プロジェクトとして開発しているPostgreSQLのRust書き直し「pgrust」が、PostgreSQL 18.3の回帰テスト4.6万件以上に全件パスし、さらに分離テストにも合格したことを発表した。pgrustはPostgres 18.3との完全互換を目標としており、既存のPostgres 18.3のデータディレクトリからそのまま起動できるディスク互換性も実現している。この発表はHacker Newsで740ポイント超・620件超のコメントを集める大きな反響を呼び、AIコーディングエージェントによる大規模ソフトウェアの書き換えがどこまで実用的かを示す事例として注目されている。 開発手法 pgrustの最大の特徴は、その開発プロセスにAIコーディングエージェントを大々的に活用していることだ。Matis氏はJason Seibel氏と共同で、8体の並列AIコーディングエージェント（Codex）を運用し、月額約1,600ドルのコストをかけて開発を進めた。並列セッションの調整には「Conductor」というツールを用い、10〜20個のセッションを同時に走らせることで、4月末までに45万行以上のRustコードを生成したという。 技術的な詳細 アーキテクチャ上の大きな変更点は、従来のPostgresが採用していたプロセス単位の接続モデルから、スレッド単位の接続モデルへの移行だ。これによりメモリ安全性の向上や接続数上限の問題解消が見込まれるが、Matis氏自身は「一つの接続でのクラッシュが他の接続に影響を及ぼす可能性がある」という新たなリスクも認めている。未発表のベンチマークでは、トランザクション処理でPostgres本体より約50%高速、分析ワークロードでは約300倍高速という主張もされているが、Matis氏は「v0.1は本番環境での使用には対応しておらず、パフォーマンス最適化も未実施」と明言しており、既存のPostgres拡張機能とも互換性がない段階にとどまる。ブラウザ上で動作を確認できるデモがpgrust.comで公開されており、ソースコードはGitHub上で公開されている。 反響と今後の展望 Hacker Newsでの反響は大きく、740ポイント超・620件超のコメントが寄せられた一方、fsyncの設定条件やClickHouseとの比較の妥当性について懐疑的な意見も多く出ている。OrioleDBの開発者であるBen Dicken氏は「まだ基準に達していない」と指摘するなど、成果の評価には慎重な声も少なくない。開発チームが掲げる目標は「Postgresの内部を変更しやすくすること」であり、Postgres本体の挙動を正解（oracle）としながらRustでコードベースの作業性を高め、AI支援プログラミングによってサーバーのより深い部分への変更を探求していく計画だとしている。

概要 自己ホスト型GitサービスGiteaの公式Dockerイメージに、認証を完全に迂回して任意のユーザー(管理者を含む)になりすませる重大な脆弱性「CVE-2026-20896」(CVSS 9.8)が存在することが明らかになった。2026年6月下旬の脆弱性開示からわずか13日後には、セキュリティ企業Sysdigによって実際の悪用の痕跡が検出されており、パッチ未適用の環境を狙った攻撃が急速に進行していることがわかる。研究者Ali Mustafa氏がこの問題を発見・報告し、Gitea側は1.26.3および1.26.4で修正版を公開済みである。 技術的な詳細 問題の根本原因は、Giteaの公式Dockerイメージがデフォルトでリバースプロキシ認証の信頼済みプロキシ設定をREVERSE_PROXY_TRUSTED_PROXIES = *(ワイルドカード、つまり全IPアドレスを信頼)としていた点にある。本来この設定は127.0.0.0/8,::1/128のようにローカルホストなど限定された送信元のみを信頼するべきものだが、ワイルカード指定によりコンテナのHTTPポートに直接到達できる何者でも、リバースプロキシを経由したかのように振る舞えてしまう状態になっていた。 具体的には、攻撃者はX-WEBAUTH-USERというHTTPヘッダーに任意のユーザー名を設定して送信するだけで、パスワードやトークンなしにそのユーザーとして認証されてしまう。Mustafa氏は「ポートに到達できる者は誰でもX-WEBAUTH-USERヘッダーを送信し、パスワードもトークンも使わずに任意のユーザーとして認証される状態だった」と説明している。さらに自動登録(auto-registration)機能が有効な構成では、既知の管理者ユーザー名になりすますことで、攻撃者が管理者権限まで取得できる危険性があった。影響を受けるのはGitea公式Dockerイメージのバージョン1.26.2以前で、修正版の1.26.3・1.26.4ではこのワイルドカードのデフォルト値が撤廃され、リバースプロキシ認証はオプトイン方式に変更された。 悪用の状況とタイムライン 脆弱性は2026年6月下旬に公開された。Sysdigによれば、最初の実際の悪用行為はその13日後に検出されており、送信元はProtonVPNのIPアドレス(159.26.98[.]241)からのものだった。SysdigのシニアディレクターMichael Clark氏のコメントには報道間で幅があり、SecurityWeekやBleepingComputerでは「開示から2週間足らず後(13日後)に実悪用が始まっていた」とする一方、The Hacker Newsでは「現時点の活動は攻撃者による初期調査(偵察)段階にとどまり、本格的な侵害への進展は確認されていない」とも報じられている。いずれの報道でも、脅威アクターがこの脆弱性に強い関心を寄せ、積極的にプロービングを行っている点では一致している。 Sysdigの調査では、インターネットに公開されているGiteaインスタンスは全世界で約6,200件確認されているが、そのうち実際に脆弱な設定のまま稼働している数までは特定されていない。悪用に成功した場合、攻撃者はプライベートリポジトリのソースコード、誤ってコミットされたAPIキーや認証情報、CI/CD設定、デプロイトークンなど、機密性の高い資産に完全にアクセスできてしまう。シンガポールのサイバーセキュリティ庁(CSA)もこの脆弱性について注意喚起を発行している。 今後の対応 Gitea運用者に対しては、直ちに修正版である1.26.3以降(推奨は1.26.4)へアップグレードすることが強く求められている。何らかの理由で即時のアップグレードが困難な場合は、REVERSE_PROXY_TRUSTED_PROXIES設定を実際に信頼できる特定のIPアドレスやCIDR範囲に限定することで、暫定的にリスクを低減できる。加えて、過去のアクセスログを確認し、不審なX-WEBAUTH-USERヘッダーを伴うリクエストや、身に覚えのない管理者アカウントでのログイン履歴がないか点検することも推奨されている。今回のケースは、公式コンテナイメージのデフォルト設定が誤っていた場合、パッチ公開後もごく短期間で実運用環境への攻撃に直結し得ることを改めて示す事例となった。

概要 GitHubは7月9日、GitHub Actionsのホスト型ランナーでジョブの起動遅延が発生する障害を確認した。障害はUTC午前4時34分（日本時間13時34分）に初期報告され、同日13時52分（日本時間22時52分）に復旧が完了するまで、約9時間18分にわたって継続した。GitHubは公式ステータスページで「GitHub-hosted runners上で実行されるGitHub Actionsのジョブのうち約30%が、5分を超える起動遅延を経験している」と発表し、多数の組織のCI/CDパイプラインに影響が及んだ。 影響の推移と範囲 障害の影響は段階的に拡大した。発生当初は全体の約5%のジョブで5分以上の起動遅延が見られる程度だったが、その後悪化が進み、約30%のジョブが5分を超える遅延に見舞われる状態がしばらく続いた。さらに終盤の約20分間には約96%のジョブが起動に失敗する状態にまで悪化した後、回復に転じた。遅延が長引いた一部のジョブは、リトライ回数の上限を超えて最終的に失敗する事態にもつながった。 影響はActionsランナーの起動遅延にとどまらなかった。GitHub Pagesのビルド処理も同じ障害の余波を受けたほか、Copilot Cloud AgentおよびCopilot Code Reviewについても約30分間、起動に失敗する状態が発生した。なお、GitHub Pagesで公開済みのサイト自体は、この間もアクセス可能な状態が維持されていた。 復旧までの対応 GitHubはインフラストラクチャ側の緩和措置に取り組みながら段階的な復旧を進め、最終的にモニタリングを通じて完全な回復を確認したと報告している。障害発生から復旧完了までの詳細な技術的原因については、公式ステータスページ上で個別の根本原因分析は示されていないが、GitHub Actionsのようにビルドやデプロイの中核を担うマネージドサービスで長時間の遅延が発生したことは、CI/CDを日常的に利用する多くの開発チームの作業に直接的な影響を与えたとみられる。

概要 KDDIは、傘下のSTNet、JCOM、中部テレコミュニケーション、NIFTY、BIGLOBEなど複数のISPが提供するメールサービスで発生した情報漏えいについて、最終調査の結果を発表した。それによると、流出したのは1223万3087件のメールアドレスと761万6173件のパスワードで、最大1422万件の顧客(現契約者・元契約者・休眠アカウントを含む)に影響が及ぶ可能性があるとしている。6月に発覚した当初は「最大1422万件の可能性」という速報段階の発表にとどまっていたが、フォレンジック調査が完了したことで、確定的な被害規模として更新された。 経緯と原因 攻撃者は5月16日、メールインフラを支えるサードパーティ製ソフトウェアに存在していたゼロデイ脆弱性を悪用し、システムへの侵入に成功した。KDDIがこの侵害を検知したのは6月17日で、同社は「確認時点で、この脆弱性はソフトウェアベンダー側でも認識されていなかった」と説明している。侵入から発覚までの約1カ月間、複数のISPが影響を受けていたとみられる。侵害の対象となったのはメールインフラ関連のシステムに限られ、KDDIの携帯電話サービスや固定回線インターネットサービス自体は影響を受けていないという。 対応と今後の影響 KDDIは侵害を検知した直後に攻撃者をシステムから排除し、その後の6月23日にはフォレンジック監査によって脆弱性への対処が完了したことを確認した。流出したパスワードの一部はハッシュ化または暗号化された状態で保存されていたとされるが、具体的な暗号化方式や平文のまま流出した件数については明らかにされていない。同社はエンドポイント検知・対応(EDR)ソフトウェアを導入するとともに、影響を受けた全アカウントを対象にパスワードの強制リセットを実施し、個人情報保護委員会および総務省への報告も行った。現時点で追加の不審な活動は確認されていないとしているが、対象となったソフトウェアについては引き続き詳細な調査が進められている。

概要 OpenAIは7月8日、会話型の新音声モデル「GPT-Live-1」および軽量版「GPT-Live-1 mini」を発表した。最大の特徴は、音声の入力と出力を同時に処理できる全二重アーキテクチャを採用した点だ。従来のターン制の音声対話とは異なり、ユーザーが話している最中にモデル側が自然に割り込んだり、逆にユーザーからの割り込みに柔軟に対応したりできるほか、リアルタイム翻訳のような用途にも活用できるという。OpenAIはこれにより、より人間らしい会話体験を実現できるとしている。 技術的な詳細 これまでの音声アシスタントは、音声認識（ユーザーの発話をテキスト化）→言語モデルによる応答生成→音声合成という3段階のパイプラインで処理されるのが一般的だった。GPT-Live-1では、この構成にGPT-5.5をはじめとする最新のテキストモデルを統合し、より知的で文脈に沿った応答を実現しているという。OpenAIによれば、これまでの音声モデルには「ユーザーの発話中に不自然に割り込んでしまう」「質問に対して十分な知性をもって答えられない」といった課題があったが、新モデルは長時間の沈黙にも耐えつつ、会話の文脈を保持できるよう改善されている。製品リードのAtty Eleti氏は、30〜40分程度の会話にも対応できると説明している。 提供状況と課題 ChatGPTの無料ユーザーは軽量版の「GPT-Live-1 mini」を利用でき、有料プラン利用者向けには上位版の「GPT-Live-1」が提供される予定だ。OpenAIによると、同社の音声機能はすでに1億5000万人以上のユーザーに利用されているといい、今回のアップデートはその基盤の上に構築される。一方で発表時のデモでは、ヒンディー語への翻訳においてアメリカ英語訛りや不自然な発音が見られるなど、多言語対応にはなお課題が残ることも指摘されている。

概要 米サイバーセキュリティ・インフラセキュリティ庁(CISA)は2026年7月7日、実際に悪用が確認されている4件の脆弱性を「既知の悪用された脆弱性(KEV)」カタログに追加し、連邦政府機関に対して7月10日までのパッチ適用を義務付けた。対象はAdobe ColdFusion、Joomlaの拡張機能2件(SP Page BuilderおよびPage Builder CK)、そしてAI駆動のワークフローツールLangflowで、いずれもすでに攻撃者による悪用の痕跡が観測されている。 脆弱性の詳細 最も深刻なのはAdobe ColdFusionのパストラバーサル脆弱性(CVE-2026-48282、CVSS 10.0)で、リモート開発サービス(RDS)のファイル/IOハンドラーの欠陥を突き、認証なしの単一HTTPリクエストでウェブシェルを直接書き込める。6月30日のパッチリリースからわずか数時間後にインドのIPアドレス(103.207.14[.]220)からの悪用が記録されており、Suzu LabsのDenis Calderone氏は「RDSが有効化されている環境に限られる」と条件を付けつつも、攻撃開始までの速さを問題視している。 Joomlaでは2つの拡張機能が標的となった。Page Builder CK(CVE-2026-56290、CVSS 10.0)はアクセス制御不備により未認証での任意ファイルアップロードが可能で、6月27日以降ウェブシェル配信に悪用されており、バージョン3.6.0で修正済みだ。JoomShaperのSP Page Builder(CVE-2026-48908、CVSS 10.0)は危険なファイルタイプの無制限アップロードを許し、未認証ユーザーがPHPコードを実行できる。攻撃者は隠れた管理者アカウントを作成し、PHPファイルマネージャー型のバックドアを配備していることが報告されており、バージョン6.6.2以降へのアップデートが推奨されている。 LangflowのCVE-2026-55255は、NVDによればCVSS 3.1で8.4(HIGH)とされる認可バイパス(IDOR)の脆弱性で、/api/v1/responsesエンドポイントにおいて認証済み攻撃者が他ユーザーのフローIDを指定することで、そのユーザーのフローを実行できてしまう。バージョン1.9.1で修正済みだが、報道によってはCVSSスコアが6.1や9.9と記載されるなど情報源間でばらつきが見られる。 Langflowを標的とした悪用キャンペーン セキュリティ企業Sysdigは6月26日、Langflowを狙った持続的な攻撃キャンペーンについて警告を発した。単一のオペレータ(IPアドレス45.207.216[.]55)が6月22日から25日にかけて、ホスト偵察とフローID収集を経てCVE-2026-55255のIDORを悪用し、他テナントのLLMプロバイダーAPIキーやAWSキーを窃取。さらに別のリモートコード実行の脆弱性であるCVE-2026-33017と組み合わせることで、二段階のダウンローダーペイロードを展開していたことが確認された。専門家はボットネット構築や暗号通貨マイニングを目的とした金銭動機の攻撃である可能性を指摘する一方、AI基盤を標的とした攻撃の増加を懸念する声もあり、一部ではJADEPUFFERランサムウェア事件との関連にも言及されている。 今後の対応と専門家の見解 連邦機関は連邦民間行政機関(FCEB)向けの拘束的運用指令(BOD 26-04)に基づき、7月10日までに4件すべてへの対応が求められる。HadrianのMatan Shavit氏は「CVSSスコアだけで深刻度を判断するのではなく、システムが実際にどれだけ公開されているか、認証要件がどうなっているかという文脈を踏まえて優先順位を決めるべきだ」と指摘しており、企業や組織にも同様の観点からの迅速な対応が求められている。

概要 マイクロソフトは7月8日、コンパイラをGoで全面的に書き直したTypeScript 7.0を正式リリースした。従来JavaScriptで実装されていたコンパイラをネイティブコードに移植したことで、マイクロソフトは「10倍高速なネイティブ移植版」と位置づけている。6月18日にリリース候補(RC)版が公開されてから約3週間でのGA(一般提供)到達となった。既存の型チェックの挙動やコマンドライン操作との互換性は維持されており、npm install -D typescript@rcでRC版を試していた開発者は、正式版へ問題なく移行できる。 パフォーマンスの詳細 実プロジェクトでのベンチマークでは劇的な速度向上が確認されている。VS Codeのビルドは125.7秒から10.6秒(11.9倍)、Sentryは139.8秒から15.7秒(8.9倍)、Playwrightは12.8秒から1.47秒(8.7倍)に短縮された。メモリ使用量も6〜26%削減され、VS Codeの場合は5.2GBから4.2GBに減少している。エディタ体験も改善し、VS Codeでファイルを開いてからエラー検出が完了するまでの時間は17.5秒から1.3秒へと大幅に短縮された。この高速化は、解析・型チェック・出力など多くの処理段階を並列実行できるアーキテクチャによるもので、ファイル間の処理をほぼ独立させることで大規模コードベースでのスケーラビリティを高めている。並列化を制御する--checkers(デフォルトでワーカー4つ)や、プロジェクト参照のビルドを並列化する--buildersといった新フラグも導入されたほか、デバッグや資源制約環境向けに--singleThreadedフラグも用意された。ファイル監視機能もParcelのウォッチャーをGoに移植する形で刷新されている。 破壊的変更と設定のデフォルト変更 7.0では設定のデフォルト値が大きく変わっている。strictモードがデフォルトで有効になったほか、moduleのデフォルトはesnext、typesは(従来の自動スキャンから)空配列[]、rootDirは./となった。また非推奨とされていた機能は明確なエラーを返すようになり、ES5ターゲットの廃止、AMD/UMDモジュールの非対応、classicモジュール解決の撤廃、baseUrlの非サポートなどが該当する。細かな仕様変更としては、テンプレートリテラル型がUnicodeのコードポイントを自然な形で保持するようになった点も挙げられ、例えば"😀abc"はUTF-16のサロゲートペアではなく["😀", "abc"]として分割される。 エコシステムへの影響と今後の展望 一方で、Vue、Svelte、Astro、MDX、Angularのテンプレートなど、プログラマティックAPIを必要とするフレームワークは現時点でTypeScript 7を利用できない。これは安定したプログラマティックAPIがまだ提供されておらず、7.1で導入予定であるためだ。当面の回避策として、TypeScript 7のCLIとTypeScript 6.0を併用し、エディタ側のサポートを6.0で担う運用が推奨されている。typescript-eslintのようなツール向けには、@typescript/typescript6パッケージがtsc6実行ファイルを提供し、名前空間の衝突を避けつつTypeScript 6.0のAPIに並行アクセスできるようにしている。実運用での検証も進んでおり、Slackはマージキューの待ち時間を40%削減しCIの型チェックを7.5分から1.25分に短縮、Vantaは大規模プロジェクトで9倍の高速化、マイクロソフトのニュースサービス部門はCIビルドで月400時間の削減、Canvaはエラー検出時間を58秒から4.8秒に短縮したと報告している。マイクロソフトは7.0リリース後に機能開発を再開し、3〜4か月ごとに新版を出す方針で、次のTypeScript 7.1ではエンベデッドフレームワーク向けの新しいプログラマティックAPIが導入される見込みだ。

概要 Ubiquitiは、UniFi Connect、UniFi Talk、UniFi Access、UniFi Protect、UniFi OSにまたがる合計7件の重大な脆弱性を修正するセキュリティアップデートを公開した。中でも最も深刻なのはUniFi Connect Applicationに存在するCVE-2026-50746で、CVSSスコアは最大値の10.0。ネットワークにアクセスできる攻撃者が認証なしにホストデバイス上で任意のコマンドを実行できるというもので、UniFi Connectは照明やEV充電器といったビル設備の管理にも利用されているため、影響は物理的なインフラにまで及びうる。セキュリティ調査企業Censysの追跡によれば、インターネットに露出しているUniFi OSインスタンスは10万件以上(うち米国内だけで約5万件)にのぼり、今回のアップデートは広範なデバイス群に関わる。現時点でこれら新規脆弱性が実際の攻撃で悪用されたという報告はないが、Ubiquitiはセキュリティアドバイザリ「Bulletin 066」を通じて全ユーザーに速やかなアップデートを呼びかけている。 脆弱性の詳細 修正された7件はいずれもCVSSスコア9.0以上の重大な脆弱性で、脆弱性の種類は多岐にわたる。最大深刻度のCVE-2026-50746(CVSS 10.0、UniFi Connect Application v3.4.16以前)は前述の通り未認証コマンドインジェクションだ。UniFi Talk(v5.1.2以前)にはSQLインジェクションによる権限昇格を許すCVE-2026-50747(CVSS 9.9)が存在する。UniFi Access(v4.2.28以前)には入力値検証の不備であるCVE-2026-50748(CVSS 9.9)と、アクセス制御不備のCVE-2026-54400(CVSS 9.1)の2件が確認された。残るUniFi OS/Protect関連では、SSRF(サーバーサイドリクエストフォージェリ)やCORS設定不備に類する脆弱性としてCVE-2026-54402(CVSS 9.9)とCVE-2026-55115(CVSS 9.9)、そしてアクセス制御不備のCVE-2026-55116(CVSS 9.0)が報告されている(これら2件の技術的な性質については報道により表現に差異がある)。Ubiquitiは各製品について、UniFi Connect 3.4.20、UniFi Talk 5.2.2、UniFi Access 4.2.29、UniFi Protect 7.1.83、UniFi OS 5.1.19以降への更新でこれらの脆弱性に対応している。 背景と今後の見通し Ubiquiti製品を巡っては過去にも深刻なセキュリティ事案が繰り返されてきた。2024年2月にはFBIがロシア関連のボットネット「Moobot」によるUbiquiti Edge OSルーターの悪用を摘発しており、ロシア国家支援の攻撃者がUbiquiti製ルーターをボットネットに組み込んでいたとの報告もある。さらに直近の2026年6月には、米CISAがUniFi OSに関する既知の3件の重大脆弱性を「実際の攻撃で悪用されている」として既知悪用脆弱性(KEV)カタログに追加したばかりだった。このように、UniFi OS関連製品は攻撃者にとって継続的に狙われやすいターゲットとなっている。今回の7件については現時点で実悪用の確認はないものの、コマンドインジェクションやSQLインジェクションといった深刻度の高い脆弱性が短期間に相次いで発見されている状況を踏まえ、UniFi製品を利用する組織や個人は速やかにパッチ適用済みバージョンへアップデートすることが強く推奨される。

概要 xAI（SpaceXAI）は新モデル「Grok 4.5」を一般公開した。イーロン・マスク氏はこのモデルについて「Opus級モデルだが、より高速で、トークン効率が高く、コストが低い」と述べ、内部評価では「Anthropic Opus 4.7とほぼ同等の性能でありながら、はるかに高速」だと主張している。今回のリリースは、OpenAIによるGPT 5.6の発表とほぼ同時期に行われており、生成AIモデルをめぐる競争が一段と激化している状況を映し出している。SpaceXAIは直近でIPOを実施したばかりで、今回のモデル公開は市場での存在感を示す意味合いも大きい。 技術的な詳細 Grok 4.5は、1.5兆パラメータ規模の新基盤モデル「V9」をベースに、コーディング支援ツールCursorのコーディングデータを用いて追加学習したモデルとされる。xAIは、コーディングや事務作業、リサーチ、文章作成といった標準的な知的労働のタスクをこなせるモデルと位置づけている。ベンチマーク測定では、競合モデルと比較して十分競争力のある結果を示しているものの、必ずしも各分野で最高水準（ベストインクラス）には達していないとも報じられている。 価格面では、Grok 4.5は入力トークン100万あたり2ドル、出力トークン100万あたり6ドルに設定されている。これに対し、比較対象とされたAnthropicのOpus 4.7は入力100万あたり5ドル、出力100万あたり25ドルであり、Grok 4.5は大幅に低価格である。xAI（SpaceXAI）は公式発表で、他の主要モデルと比べて「トークン効率が2倍」高いと強調しており、これが低価格を支える要因になっているとしている。 業界への影響 今回のGrok 4.5の投入は、OpenAIのGPT 5.6発表と時期が重なったことで、主要AI企業間のハイエンドモデル競争がさらに激しさを増していることを示している。性能面で最高峰に必ずしも届かないとの指摘があるにもかかわらず、大幅な低価格設定を打ち出すことで、コスト重視のユーザー層や企業導入を狙う狙いがあるとみられる。SpaceXAIにとっては、IPO後の企業価値を裏付ける重要なプロダクト発表としても注目される。

概要 ルクセンブルクに拠点を置くEU一般裁判所は、アップルが欧州のデジタル市場法(DMA)に基づく「ゲートキーパー」指定を不服として起こしていた控訴を全面的に却下した。これにより、App StoreとiOSは引き続きDMA上のゲートキーパーサービスとして扱われることが確定した。アップルはiOS、App Store、iMessageの3つのサービスについてゲートキーパー指定の取り消しを求めていたが、裁判所はApp StoreとiOSに関する訴えを棄却し、iMessageに関する訴え自体を不適切(却下対象外)と判断した。 判決の理由とDMAの位置づけ DMAにおけるゲートキーパーとは、市場において圧倒的な支配力を持ち、他の事業者に対して不公正な条件を強制しうる立場にある巨大テック企業を指す規制上のカテゴリーである。アップルのケースでは、外部の開発者がiOS向けアプリ市場にアクセスする手段が事実上アップル独占のApp Storeに限られている点が問題視されており、裁判所はこの構造がゲートキーパーとしての要件を満たすと判断した。ゲートキーパー指定を受けた企業は、自社サービスの優遇禁止やサードパーティとの相互運用性確保など、DMAが定める一連の義務を負うことになる。 アップルの反応と今後の展開 アップルは声明で、DMAに基づく当局の権限行使が「違法かつ均衡を欠いており、利用者のプライバシーとセキュリティ保護を脅かす」と主張し、規制への反発姿勢を崩していない。今回の一般裁判所判決を受けて、同社は欧州最高裁にあたる欧州司法裁判所(CJEU)への最終上訴を検討しているとみられる。今回の敗訴は、App Store運営や相互運用性義務をめぐって欧州委員会と対立を続けてきたアップルにとって大きな打撃となる。 今後の影響 この判決はアップル単体の問題にとどまらず、同様にゲートキーパー指定を受けているGoogleなど他の大手テック企業にとっても、今後のDMA執行や自社の異議申し立て戦略を占う重要な先例となる可能性がある。欧州委員会は今回の判決を追い風に、ゲートキーパー各社への義務履行の監視・執行を一段と強めていくとみられ、DMA体制の実効性を巡る攻防は今後も続く見通しだ。