概要 Ciscoは、Secure Firewall ASAおよびFTDのリモートアクセスSSL VPN機能に存在するサービス拒否(DoS)の脆弱性(CVE-2026-20349、CVSSスコア8.6)が実際の攻撃で悪用されていることを明らかにした。HTTPリクエスト処理における不十分なエラーチェックが原因で、認証なしに細工したHTTPリクエストを送信するだけで機器を強制的に再起動させ、可用性を損なうことができる。Ciscoは8月初旬にこの悪用を確認し、全ての影響バージョン向けにホットフィックスをリリース済みで、回避策は存在しないため、顧客に修正版ソフトウェアへの早急なアップグレードを強く呼びかけている。 技術的な詳細 脆弱性はASAソフトウェアの9.16、9.18、9.20、9.22、9.23、9.24系列と、FTDソフトウェアの7.0、7.2、7.4、7.6、7.7、10.0系列に影響する。悪用可能なのはリモートアクセスSSL VPNサービスが有効になっている構成で、IKEv2 Remote Access VPN、SSL-VPN、Zero Trust Network Accessなど複数の構成が該当する。攻撃者はSSLリッスンソケットが有効な状態のデバイスに対し、細工したHTTPリクエストを送信することでデバイスをリロードさせ、DoS状態に陥らせることができる。なお、Firewall Management Center(FMC)自体はこの脆弱性の影響を受けない。この問題はCiscoの社内セキュリティテスト中に発見されたほか、研究者のValerio Brussani氏も独立して報告している。 対応状況と背景 CISAは2026年8月11日、CVE-2026-20349をKnown Exploited Vulnerabilities(KEV)カタログに追加し、連邦政府機関に対して8月14日までのパッチ適用を義務付けた。SecurityWeekの報道によれば、これはCiscoの2026年のCVEとして今年12件目のKEV登録となり、SD-WANやUnified CM、FMCといった他のCisco製品に存在した脆弱性と同様のパターンをたどっている。CiscoのファイアウォールやVPN機器はここ数年、国家背景の攻撃者を含む脅威アクターから繰り返し標的にされており、境界防御機器としての重要性の高さが悪用の動機になっているとみられる。回避策が存在しないため、該当するASA/FTD環境を運用する組織は、影響バージョンとリモートアクセスSSL VPNの利用状況を確認し、速やかにホットフィックスを適用することが求められる。

概要 Googleは2026年8月10日、Google Kubernetes Engine(GKE)向けに「ClusterNetworkPolicy(CNP)」のプレビュー提供を開始した。CNPはKubernetes SIG-Network(SIG-Policy Working Group)が策定したオープンソースのAPI仕様で、従来の名前空間単位のNetworkPolicyとは異なり、クラスタ全体を対象にネットワークトラフィックを制御できる。GKE 1.36以降で利用可能。決済処理など機密ワークロードを扱う名前空間の隔離や、kube-dnsのような重要な内部サービスの保護を、開発者側の設定に左右されず一貫して強制できる点が特徴だ。プロプライエタリな独自拡張ではなく、Kubernetesコミュニティおよび実装パートナーであるCiliumコミュニティと協調して設計されており、異なる環境間でもポリシー設定を再利用できるポータビリティを備える。 技術的な詳細 CNPの中核は、Admin Tier(管理者層)・Network Policy Tier(ネットワークポリシー層)・**Baseline Tier(ベースライン層)**という3層構造による階層的なポリシー評価にある。評価はAdmin Tierから順に行われ、最上位のAdmin Tierは他のすべてのポリシーに優先し、バイパス不可能なコンプライアンス・セキュリティ要件をRBACで厳格に強制する。中間のNetwork Policy Tierは従来通り開発者がアプリケーション固有のポリシーを名前空間内で定義する層で、Admin Tierのルールには従属する。最下層のBaseline Tierはクラスタ全体のデフォルト動作(例えばゼロトラストに基づく「Deny All」)を設定し、名前空間スコープのポリシーによって上書き可能となっている。この階層構造により、従来のNetworkPolicyで起こり得た平坦な構造ゆえの設定競合を排除し、決定論的な評価を実現している。 Admin TierのルールはAccept(トラフィックを明示的に許可)、Deny(明示的に拒否)に加え、新たにPassという第3のアクションをサポートする。Passはトラフィックの最終的な許可・拒否の判断を下位層、すなわち開発者の名前空間ポリシーに委譲する仕組みで、セキュリティチームがグローバルルールでトラフィックを検査しつつ、最終決定は開発者側に委ねるといった柔軟な運用を可能にする。APIはpolicy.networking.k8s.io/v1alpha2というAPIグループで提供され、名前空間スコープの標準NetworkPolicy(networking.k8s.io)とは別のリソースとして区別される。マニフェストではtier(Admin/NetworkPolicy/Baseline)、priority(同一層内の優先度)、subject(対象となるPodや名前空間のセレクタ)、ingress/egressルールなどを指定する。 具体的なユースケースとしては、決済処理や規制対象データを扱う名前空間へのアクセスをAdmin Tierで一括してDenyし、開発者側の許可設定では上書きできないようにする「機密ワークロードの隔離」、kube-dnsなど内部運用上重要なサービスへのアクセスをAdmin TierのAcceptルールで維持し、名前空間ポリギーの誤設定の影響を受けないようにする「コアサービスの保護」、そしてIPアドレス範囲(IPv4の0.0.0.0/0やIPv6の::/0など)を用いたegressトラフィックの制御による不正なデータ流出防止が挙げられている。利用にはGKE 1.36以降のクラスタが必要で、現時点ではプレビュー機能として提供されている。

概要 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は8月11日、オンプレミス版Microsoft SharePoint Serverのリモートコード実行脆弱性「CVE-2026-45659」が、ランサムウェア攻撃に悪用され始めたことを新たに確認したと発表した。同脆弱性は7月1日にCISAの「既知の悪用脆弱性（KEV）」カタログへ追加済みで、当初は情報窃取など一般的な不正アクセスでの悪用が確認されていたが、8月10日以降はより深刻なランサムウェア展開への転用が進んでいることが判明した。複数のセキュリティ専門家は、中国と関連するとされる脅威グループ「Storm-2603」の関与を指摘しており、同グループは過去にSharePointを標的とした「ToolShellキャンペーン」で「Warlockランサムウェア」を展開した実績がある。 脆弱性の技術的詳細 CVE-2026-45659は、信頼できないデータの逆シリアル化（デシリアライゼーション）に起因するリモートコード実行の欠陥で、CVSSスコアは8.8（高深刻度）と評価されている。低い攻撃複雑性かつ最小限の権限で悪用可能な点が特徴で、パッチ未適用のSharePointサーバーに対し、攻撃者が任意のコードを実行できてしまう。対象となるのはSharePoint Enterprise Server 2016、SharePoint Server 2019、SharePoint Server Subscription Editionのオンプレミス版で、クラウド版のSharePoint Onlineは対象外とみられる。Shadowserverの調査によれば、インターネットに露出しているSharePointサーバーは8,500台以上に上り、そのうち200台以上が本脆弱性に対して未パッチのままだという。 悪用の経緯とタイムライン Microsoftは5月にこの脆弱性を修正するセキュリティ更新プログラムをリリースしていたが、CISAは7月1日にKEVカタログへ追加し、連邦機関に対して3日以内の対応を義務付けた。その後7月を通じて積極的な悪用が確認され、8月10日にはランサムウェア攻撃への転用がCISAに報告された。CISAは「この種の脆弱性は悪質なサイバー行為者にとって頻繁な攻撃ベクトルであり、連邦企業に多大なリスクをもたらす」とし、攻撃が低い複雑性で繰り返し成功させられる点に警鐘を鳴らしている。 対応策 Microsoftおよび専門家は、5月にリリースされたセキュリティ更新プログラムを未適用の組織に対して直ちに適用するよう推奨している。自動更新が有効になっている環境ではすでに対応済みの可能性が高いが、オンプレミスでSharePoint Serverを運用する組織は個別の確認が必要となる。加えて、Windows Antimalware Scan Interface（AMSI）統合の有効化やMicrosoft Defender Antivirusによる検出機能の活用、サーバーにおける悪用兆候の監視も併せて推奨されている。SharePointは組織内部の文書や権限設定、機密記録を保存する基幹システムであるため、未パッチのまま放置した場合はランサムウェアによる暗号化や情報窃取など重大な被害につながるリスクが高い。

概要 Microsoftは8月12日、Visual Studio Codeの月例アップデート「1.133」を公開した。今回の目玉はClaudeセッション中にモデルプロバイダーをターンごとに切り替えられるようになったことで、これまでセッション全体で単一のプロバイダーに固定する必要があった制約が解消された。あわせて、GitHubへのサインインなしでAgentsウィンドウを利用できる仕組み、長い会話でも文脈を見失わないチャットのスティッキースクロール、統合ブラウザでのHTMLファイル自動リロードなど、AIエージェントとの協働をさらに滑らかにする機能が追加された。 Claudeのモデルプロバイダー切り替え これまでチャットセッションでは、AnthropicとCopilotのいずれか一方のモデルグループを選んだら、そのセッション中はプロバイダーを固定して使い続ける必要があった。1.133では、モデルピッカーに両方のグループが同時に表示されるようになり、同一セッション内でもターンごとに異なるプロバイダーのモデルへ切り替えられるようになった。Anthropicのモデルを利用した場合はユーザー自身のAPIキーを通じて課金され、Copilotのモデルを利用した場合は既存のCopilotサブスクリプションが適用される。用途や求める応答特性に応じて、都度最適なモデルを選び分けられる点が改善のポイントとなる。 Agentホストとエディタの改善 Agentsウィンドウについても変更が加わり、設定chat.agentHost.allowSignedOutWhenUsableを有効にすることで、GitHubアカウントへのサインインなしでも利用できるようになった。これはAgentホストの認証がGitHubアカウント全体ではなく個々のエージェントやモデルに紐づく形へと変わったことによるもので、現時点ではClaudeが対応済みであり、CopilotやCodexについても今後のリリースで対応が予定されている。Agentホストは「Agent Host Protocol(AHP)」に基づく専用プロセス上でエージェントハーネスを実行する構成となっており、Copilot SDKとの統合が進められている。 チャット面では、設定chat.stickyScroll.enabledによりスティッキースクロールが導入された。長い会話をスクロールする際、通過済みのプロンプトを画面上部に固定表示できるため、固定されたプロンプトをクリックして該当箇所に戻ったり、ナビゲーションボタンで前後のプロンプト間を移動したりできる。長時間にわたるエージェントとのやり取りでも文脈を追いやすくする狙いがある。 このほか、設定workbench.browser.autoReloadOnFileChangeにより、統合ブラウザで表示しているローカルHTMLファイルがファイル変更時に自動的に再読み込みされるようになった。エージェントによる編集結果をブラウザ操作なしで即座に確認できるようになり、AIとのフィードバックループがより短縮される。 今後の展望 今回のアップデートは、複数のAIプロバイダーやモデルを状況に応じて柔軟に使い分けられるようにするという方向性を明確に示している。Agentホストの認証をエージェント単位へ分離した設計や、スティッキースクロール・自動リロードといった細部の改善は、いずれもエディタとAIエージェントとの境界をさらに曖昧にし、開発者がコーディング作業の合間にAIとの対話を自然に差し込めるようにする狙いがある。今後もこの路線での機能拡張が続くとみられる。

概要 セキュリティ企業Socketの研究者Kush Pandya氏らは、Chromeウェブストア上の40以上の開発者アカウントから、Proton VPN、NordVPN、Surfshark、ExpressVPN、AdGuard VPN、CyberGhost、CloudflareのDNSリゾルバ「1.1.1.1」など66の著名VPN・プライバシーブランドを装った偽拡張機能737個を発見した。累計インストール数は約75,486件に上り、主にロシア語圏で検閲回避を目的にVPNを利用しようとするユーザーが標的となっていた。274個の拡張機能が実在ブランドになりすましていたほか、残りも同様の手口で偽のVPNサービスを装っていたという。 技術的な詳細 これらの拡張機能は、ブラウザの通信セッション全体をポート1082で待ち受ける攻撃者管理下のSOCKS5プロキシ経由でルーティングする仕組みを持っていた。調査対象のバルク検体522個のうち520個が同一のSOCKS5インフラを利用しており、これにより攻撃者は中間者(MITM)の立場からアクセス先ドメイン、送信元IPアドレス、TLSのSNI値、そして平文HTTP通信のリクエスト本文までも観測可能な状態にあった。さらに一部の104個の拡張機能はCloudflareやGoogleが提供するDNS over HTTPS(DoH)を利用し、実際のプロキシ運営者のドメインを隠蔽する手法も確認された。拡張機能は日本、シンガポール、カナダ、オーストラリア、トルコなど各国に存在するとうたう架空のプレミアムサーバーを宣伝し、実際には存在しない有料プランや偽の接続アニメーションを表示するなど、利用者を欺く作り込みがなされていた。 発覚の経緯と実態 コード内には、拡張機能の内部管理用と見られるロシア語の従業員向けマニュアルが含まれていたほか、Chromeウェブストアへの申請時に「データは一切送信しない」という虚偽の申告が行われ、承認後にコードを書き換えるという手口も使われていた。40の公開者アカウントが共通の解析(アナリティクス)用アカウントを共有していたことから、これらは個別の便乗ではなく組織的なキャンペーンであったとみられる。ロシアの納税者番号やWindowsのファイルパスにロシア語のディレクトリ名が含まれていたことなどから、ロシアを拠点とする攻撃者による犯行である可能性が高いとされ、最終的には有料のロシア系VPNサービスへの誘導を狙ったものと推測されている。 Googleの対応と今後の課題 Socketの報告を受け、Googleはこれまでに221個の拡張機能をChromeウェブストアから削除したが、報道時点でなお516個が公開されたままとなっていた。ブラウザ拡張機能はストア審査時と実際の配布後でコードが異なるケースがあり、審査をすり抜けた後に不正な機能を追加する「承認後の書き換え」は依然として有効な回避策となっている。VPNやプライバシー保護をうたう拡張機能はユーザーの全通信を扱う特性上、悪用された際の被害が大きく、インストール前の開発者情報やレビューの精査、公式サイトからの直接ダウンロードなど、利用者側の警戒が引き続き求められる。

概要 Microsoftは8月11日、.NET 11の7番目のプレビュー版となる「.NET 11 Preview 7」を公開した。今回の目玉は、dotnet CLIにおけるNativeAOTのデフォルト有効化だ。NativeAOTはアプリケーションをネイティブコードへ事前コンパイルする仕組みで、これまではオプトインの機能だったが、Preview 7からはCLI経由での利用時に標準で有効になる。あわせてMSBuildサーバーもデフォルトで有効化され、ビルドのパフォーマンス向上が図られている。.NET 11の正式リリースは2026年11月を予定しており、SDKはdotnet.microsoft.comから、あるいはVisual Studio 2026 Insidersをインストールすることで試用できる。 C# 15の新機能 言語面ではC# 15に新しいパターンマッチング機能が加わった。「ユニオンパターン」はユニオン型そのもの、またはその値のいずれにもマッチできる「Try-Both」方式のマッチングアプローチを採用しており、より柔軟な条件分岐の記述が可能になる。また、ラベル付きbreak文とラベル付きcontinue文がサポートされ、ネストしたループの外側から直接抜け出したり、特定のループへ制御を戻したりできるようになった。型パラメータが閉じた型に制限されている場合の網羅性チェックも改善されており、パターンマッチングの安全性が高まっている。 ランタイムとツールチェーンの改善 ランタイム面では、非同期メソッドのコンパイル方式が刷新された。従来「ランタイム非同期」はコンパイル速度を優先したTier 0コードのみで実行されていたが、Preview 7からは段階的コンパイルパイプラインを通じてコンパイルされるようになり、実行時のパフォーマンス向上が期待できる。また、CoreCLRのWebAssembly対応も進展しており、Preview 6での起動成功に続き、Preview 7ではCoreCLRライブラリのテストスイートをエンドツーエンドで実行できるようになったと報告されている。 ツールチェーン面では、dotnet testコマンドに--timeoutと--maximum-failed-testsオプションが追加され、CI環境などでテスト実行を柔軟に制御できるようになった。MAUI、Android、iOS向けのテスト機能拡張や、Blazorアナライザーの5種類の追加、HTTPコンテンツの圧縮ラッパー(GZip、Brotli、Zstandard)対応なども盛り込まれている。このほか、ライブラリではIEEE 754準拠の10進浮動小数点型がサポートされ、ASP.NET CoreのBlazorでは回路の自動一時停止機能が、Entity Framework Coreではクエリ変換の改善が、Windows Formsでは視覚スタイルの改善が行われている。 今後の見通し .NET 11は2026年11月の正式リリースに向けて開発が進んでおり、今回のPreview 7はその重要なマイルストーンの一つとなる。NativeAOTのCLIデフォルト化は、起動速度やデプロイサイズを重視する開発者にとって特に注目される変更であり、正式版までにさらなる安定化や対応範囲の拡大が見込まれる。C# 15の新パターンマッチング機能についても、正式リリースまでにフィードバックを踏まえた調整が加えられる可能性がある。

概要 GoogleのCEOサンダー・ピチャイ氏は8月11日、AIアシスタント「Gemini」アプリの月間アクティブユーザー数(MAU)が10億人を突破し、Google史上最も急速に成長した製品になったと発表した。2025年5月時点の4億人から15カ月で6億人増加した計算になり、直近の決算で報告されていた9億5000万人からもさらに伸びている。GeminiはGoogleの14番目のプロダクトとしてこのマイルストーンに到達した。 利用状況の詳細 ブログ投稿では、ユーザーの利用実態を示す具体的な数値も公開された。ユーザーの63%が音声機能を利用しており、特に忙しい子育て世代は日常タスクでの音声利用率が43%高いという。マルチモーダル機能への対応も進んでおり、Gemini Liveでのやり取りの5件に1件はライブカメラ映像や画面共有を伴っており、DIY愛好者や学生がリアルタイムの問題解決に活用している。学生からのリクエストの38%には添付ファイルが含まれるという。画像生成機能も人気で、1日あたり1億5000万枚以上の画像が生成されており、中小企業経営者からの需要も大きい。プラットフォーム別では、Androidでは40以上のアプリを横断した配車予約やレストラン予約などの自動化機能が提供される一方、iOSでも1億人以上のアクティブユーザーを抱え、macOSのパワーユーザーは他プラットフォームの2倍のペースでプロンプトを送信しているという。 競合との比較 Geminiの今回の成果は、AIチャットボット市場の競争が激化する中でのものだ。OpenAIのChatGPTは2026年に入って早い段階で同じく月間アクティブユーザー10億人の大台に到達しており、GeminiはこれをChatGPTに次いで達成した形となる。一方、AnthropicのClaudeは月間アクティブユーザー数では両社に大きく水をあけられているものの、前年同期比640%増となる5600万人にまで成長しており、急激な勢いを見せている。なお、この発表を受けてAlphabetの株価は当日3.4%下落したが、年初来では9.6%高を維持している。 今後の展望 Googleは声明で、Geminiを「最もパーソナルでプロアクティブ、かつパワフルなアシスタント」として位置づけ、次の10億人ユーザー獲得に向けてさらなる展開を進める方針を示した。すでにコーディングや自律的なAIエージェントタスク向けに設計された新モデル「Gemini 3.5 Flash」も投入されており、今後開催予定の「Made by Google」イベントではPixelデバイス向けのGemini新機能が発表される見込みだ。

概要 PHP開発チームは8月11日、次期メジャーバージョンとなるPHP 8.6.0のBeta 1をJoe Ferguson氏名義でタグ付け・公開した。PHP 8.5.0のリリースからおよそ9カ月というこれまで通りのリリースサイクルに沿ったもので、目玉となるのは部分関数適用(Partial Function Application)、ストリーム多重化を刷新するネイティブポーリングAPI「Io\Poll」、そしてナノ秒精度の時間間隔を扱うTime\\Durationクラスの3つの新機能だ。これに加えて、標準ライブラリ全体でエラー処理を厳格化する変更が数多く盛り込まれており、記事は今回のリリースを「PHPの厳格化時代の到来」と表現している。 主な新機能 部分関数適用は、引数の一部を?というプレースホルダーで残し、...で残余引数をまとめて受け取れるようにする機能で、部分的に適用した関数オブジェクトを生成できる。型ヒントや戻り値の型はリフレクションを通じて保持される仕組みで、対応するRFCは33対0という圧倒的多数で可決された。 Io\\Pollは、長らく使われてきたstream_select()を置き換えるネイティブI/O APIで、LinuxのepollやmacOS/BSDのkqueue、Solarisのevent ports、WindowsのWSAPollといった各プラットフォーム固有の仕組みを内部で使い分けて最適化を図る。あくまで「ポーリング機構であり、完全なイベントループではない」点が特徴だが、ReactPHPやAmpHP、Revoltといった非同期処理ライブラリがバックエンドとして採用していくとみられている。 もう一つの目玉であるTime\\Durationは、finalかつreadonlyなクラスとしてナノ秒精度の時間間隔を扱えるようにするもので、ISO 8601形式のパースに対応し、sleep()とも直接連携できる。 エラー処理の厳格化と非推奨機能 PHP 8.6では、これまで黙って処理を続けてきた挙動の多くが例外を投げるように変更される。たとえば文字列引数中のNULバイトはこれまで暗黙に切り詰められていたが、今後はValueErrorが送出される。array_filter()は不正なモード指定を拒否するようになり、pathinfo()やscandir()も失敗時に静かに処理を続けず明示的にエラーを出すようになった。sleep()やusleep()もプラットフォームの上限値でクランプされる。 セキュリティ関連のデフォルト設定も変更され、session.use_strict_mode、session.cookie_httponlyはいずれもデフォルトで1に、session.cookie_samesiteはデフォルトでLaxになる。このほか、戻り値を無視すると問題が起きうる関数に付与する#[\\NoDiscard]属性、スタンドアロン関数としてのclone()、クラス定数やenumケースにも対応した#[\\Override]属性の拡張、コンストラクタプロモートプロパティへのfinal修飾子の適用、参照返しに対応したパイプ演算子の強化なども追加される。 非推奨化の対象としては、MbregexおよびOnigurumaバックエンド、metaphone()、is_double()、doubleval()、spl_classes()やspl_object_hash()などのSPL関数が挙げられているほか、GMP演算子は暗黙の切り捨て挙動を失う。今回のBeta 1でAPIや挙動の変更点は概ね出そろった形であり、今後のリリース候補(RC)を経て正式版のリリースに向けて安定化が進む見通しだ。

概要 SpaceXAIは8月12日、新しいフラッグシップモデル「Grok 4.6」を発表した。長時間稼働するエージェントタスクや、より野心的な対話・視覚処理向けに設計されており、複数ステップにわたる研究、コード分析、アプリケーション開発といった用途に対応する。Artificial Analysis Intelligence Indexでは61ポイントを記録し、Kimi K3を上回るとともに、OpenAIのGPT-5.6 Sol(最大推論レベル)とほぼ並ぶ、世界3位相当の性能を主張している。同スコアはAnthropicのClaude Fable 5 Maxよりわずか1ポイント低い水準にとどまっており、トップ集団に肉薄する結果となった。 ベンチマークと性能 SpaceXAIによると、Grok 4.6はコーディング関連のベンチマークであるDeepSWE v1.1で65.9%のスコアを獲得した。また前モデルのGrok 4.5と比較して、CursorBench、FrontierCode、APEX-Agents、Terminal-Benchのすべての評価項目でスコアが向上したという。これらのベンチマークはいずれもエージェント的なコーディングタスクや長時間の作業遂行能力を測るもので、今回のアップデートが単純な知識・対話性能だけでなく、実務的なタスク遂行能力の底上げを狙ったものであることがうかがえる。 技術的な改善 性能向上の要因としてSpaceXAIは、モデル生成データと高品質なエンジニアリングデータを用いた補強訓練、改善されたオプティマイザーの採用、そして「自己テストと検証」機能の強化を挙げている。9to5macの報道でも、より長い補強学習の実行、強化されたエンジニアリングデータ、コーディングおよび知識作業向けに拡張された強化学習が改善のポイントとして紹介されており、両者の説明は一致している。 価格と提供方法 Grok 4.6の価格は前モデルのGrok 4.5と同水準に据え置かれ、入力トークンは100万トークンあたり2ドル、出力トークンは100万トークンあたり6ドルから利用できる。高速(fast)バージョンはこの2倍の価格設定となる。提供チャネルはCursor、Grok Build、SpaceXAIのAPIに加え、OpenRouter、Vercel、Cloudflareなど複数のプラットフォームに広がっており、発表から最初の1週間は2倍のトークン使用量が無料で含まれるキャンペーンも実施される。性能を据え置き価格で引き上げたことで、GPT-5.6 SolやClaude Fable 5と競合するハイエンド市場での価格競争力をさらに強めた形だ。

概要 Node.js向けパッケージマネージャー「pnpm」の開発チームは8月9日、Rustによる全面リライト版となる「pnpm 12」のリリース候補版v12.0.0-rc.3を公開した。pnpm 12は2026年8月5日にRC0が公開されて以降、rc.1、rc.2と短い間隔で改善が重ねられており、rc.3では「シェバングを持たないバイナリやインタープリタなしで実行されるターゲット（マネージドNode.jsランタイムなど)に対し、コマンドシムがwaitではなくexecするよう修正され、SIGKILLなどのシグナルで終了したプロセスが誤った終了コード(137など)として報告される問題」が修正された。 技術的な詳細 pnpm 12はTypeScriptで書かれてきた従来のpnpmの内部実装をRustで刷新するプロジェクトで、コード名「Pacquet」として開発が進められてきた。メンテナーのzkochan氏によれば、v12における破壊的変更は最小限に抑えられており、v11と基本的に同じ挙動を維持しつつ、最大の変更点は内部実装のRustへの全面書き換えである点だとしている。実際、公式ブログ「What’s different in pnpm 12」でも、コマンド・フラグ・設定・ロックファイル形式はv11から引き継がれ、既存ドキュメントがそのまま両バージョンに適用できるとされている。 もっとも、いくつかの挙動の違いも明記されている。まず、グローバルにインストールされたNode・Deno・Bunを実行する際、常にグローバル版が使われるのではなく、プロジェクトがpin留めしたバージョンのランタイムが優先して使われるようになった。また、GitHubなどでホストされたGit依存関係の解決方法が変更され、指定子が単なる「選択肢」ではなく一意の「アイデンティティ」として扱われるようになった。さらに、pnpm install --resolution-onlyフラグは廃止され、代わりに新設されたpnpm peers checkコマンドを使う必要がある。開発チームの説明によれば、Rustエンジン(Pacquet)への切り替えにより、パッケージのフェッチとリンク処理などの内部処理がネイティブコードで実行されるようになり、体感速度の大幅な向上が見込まれている。 背景と今後の展望 pnpmは効率的なディスク容量管理とシンボリックリンクベースのnode_modules構造で知られ、npmやYarnと並ぶ主要なJavaScriptパッケージマネージャーの一つとして広く使われてきた。今回のRustリライトは、既存のCLI体験やロックファイル互換性を保ったまま、内部処理をよりパフォーマンスの高い言語基盤に置き換える試みであり、単なるメジャーバージョンアップというより実装基盤の刷新に近い。開発は8月上旬にベータ版からRC版へと移行しており、rc.3ではプロセス終了コードの報告に関する細かな不具合修正が中心となっている。互換性維持を優先する方針が明言されていることから、既存のpnpm 11ユーザーにとっては大きな移行コストなしに恩恵を受けられる可能性が高く、今後のRC版を経て正式版のリリースが待たれる。