Programming Languages

概要 Python 3.15.0の2つ目にして最終のリリース候補版rc2が9月1日に公開された。76名の貢献者によりrc1から約144件のバグ修正・ビルド改善・ドキュメント変更が加えられており、このタイミング以降は3.15系でABI(アプリケーションバイナリインタフェース)の変更が発生しないことが明言された。正式リリースは10月1日を予定しており、サードパーティ開発者にはPyPI向けホイールの準備を進めるよう呼びかけられている。 主な新機能 3.15では起動時間短縮を狙った遅延インポート機構(PEP 810)が導入され、モジュールのインポートを実際に必要になるまで遅らせられるようになった。データ構造まわりでは変更不可能な辞書を扱うfrozendict型が組み込みで追加されたほか、型ヒント関連でsentinelおよびTypeForm型が実装された。文字列処理ではデフォルトのテキストエンコーディングがUTF-8に設定され、プラットフォーム依存の挙動によるトラブルを減らす狙いがある。 パフォーマンスとプラットフォーム対応 性能面ではJITコンパイラが大幅に改善され、x86-64で8〜9%、AArch64で12〜13%の速度向上が確認されている。実行系についても、Windows 64ビット版でテイルコーリングを用いた新しいインタプリタ方式が採用され、macOSではフリースレッド(GILなし)対応がデフォルトで提供されるようになった。これらはCPython本体の性能・並行処理能力を底上げする変更であり、3.13以降続くフリースレッド化やJIT導入の取り組みの延長線上にある。 今後の見通し rc2の公開により3.15系の機能セットとABIは事実上確定し、以降のリリース作業は安定化とバグ修正が中心になる。正式版は10月1日にリリースされる予定で、拡張モジュールやパッケージを提供するサードパーティ開発者は、正式リリースに間に合うようPyPIへの3.15対応ホイールの登録を進めることが推奨されている。

Project Stewardの交代 Astroプロジェクトは8月31日公開の月次アップデートで、Project StewardをFred SchottからMatthew Phillipsに交代したことを発表した。Matthew Phillipsは就任にあたり、「このコミュニティがAstroを素晴らしくしている」とコメントし、これまでプロジェクトを率いてきたFredの功績に謝意を示している。Cloudflareに勤務するPhillipsは、GitHub上のissueをゼロ件まで減らす「ソフトウェアファクトリ」的な運用体制を構築したと報告しており、開発体制の効率化にも取り組んでいることがうかがえる。 Astro 7.2の新機能 同時にリリースされたAstro 7.2では、実験的な「インクリメンタル静的ビルド」が追加された。変更のあったページのみを再ビルド対象とすることでビルド性能の向上を狙う機能で、まだ実験的フラグの扱いだが、大規模な静的サイトのビルド時間短縮につながる可能性がある。このほか、astro previewコマンドにバックグラウンドモードが追加され、プレビューサーバーを別プロセスとして起動できるようになったほか、ロガーのエントリーポイントを相対パスで指定できるようになるなど、開発体験まわりの細かな改善も盛り込まれている。 Astro Playgroundの登場 今回の目玉のひとつが、Emanuele Stoppaが開発した新ツール「Astro Playground」だ。ブラウザ上でAstroコンポーネントを試せるツールで、セッションごとに実際のAstro Compilerのインスタンスを独立したDynamic Worker上で起動する設計になっている。これにより、ブラウザ上での実行結果がローカル環境でのビルド結果と完全に一致することを担保しているという。UI自体はSvelteで構築されており、ドキュメント参照やちょっとした検証のために手元でプロジェクトをセットアップする手間を省ける点が特徴だ。 エコシステムの広がり コミュニティ側の動きとしては、ImageKitがAstro向けの画像最適化統合をリリースしたほか、CloudCannonが多言語対応サイト向けのAstroスターターテンプレートを公開するなど、周辺エコシステムの拡充が続いている。また、SEOおよびAEO(Answer Engine Optimization)向けの統合ツールも複数登場しており、Astroが検索エンジン最適化やAI検索対応の分野でも採用が広がっていることを示している。Steward交代という節目を経て、Astroチームは引き続きビルド性能や開発者体験の改善に注力していく方針とみられる。

概要 Node.jsプロジェクトは8月26日、26系（Current）の最新マイナーリリースとなるv26.8.0を公開した。リリースはAntoine du Hamel氏（@aduh95）によるもので、暗号化APIの拡張、zlibモジュールへのZIPファイル操作機能の追加、REPLの構文ハイライト対応など、開発者体験とセキュリティ両面での強化が多数盛り込まれている。 暗号化・SQLite関連の機能強化 目玉となるのがCipher/Decipher APIへのSIV（Synthetic Initialization Vector）およびGCM-SIVモードの追加だ（PR #63411）。これによりノンス誤用に強い認証付き暗号方式が利用可能になる。あわせてRSA-OAEP暗号化でmgf1Hashパラメータの指定に対応し、暗号方式選択の柔軟性が向上した。ルート証明書もNSS 3.126に更新されている。SQLiteモジュールではStatementSync.prototype.close()とSymbol.disposeによる明示的リソース管理（using構文）への対応が追加され（PR #64232）、準備済みステートメントのライフサイクル管理がしやすくなった。 zlibのZIP対応とREPLの構文ハイライト zlibモジュールにはZipEntry・ZipFile・ZipBufferという新クラスが追加され、Node.js標準機能だけでZIPアーカイブの読み書きが可能になった（PR #64339）。中央ディレクトリレコード数の検証、あいまいなアーカイブ終端の拒否、ローカル/中央ヘッダー不一致の防止、FIFOやデバイスファイルの取り扱いなど、セキュリティ面の考慮も同時に組み込まれている。開発者向けにはREPLへの基本的な構文ハイライト機能が追加され（PR #64591）、対話的なコーディング時の可読性が向上した。このほか、例外を投げずにnullを返す非throwのMIMEType.parse()（PR #64965）や、perf_hooksのヒストグラムへの統計的仮説検定機能の追加（PR #65416）など、ユーティリティ・診断系APIの拡充も行われている。 パフォーマンスとセキュリティ修正 パフォーマンス面では、WHATWG URLパーサーとURLSearchParamsの高速化、webstreamsのホットパスにおけるPromise生成の削減、HTTPサーバーでのインタラシブリストやヘッダーペアキャッシュの導入、net.BlockListの処理速度改善など幅広い最適化が行われた。再帰的なreaddirでは全エントリへのstat呼び出しを省略する最適化も加わっている。セキュリティ修正も多岐にわたり、FFI（外部関数インターフェース）でのSharedArrayBufferやデタッチ済みArrayBufferの不正な扱いを拒否する修正、文字列書き込みオフセットのオーバーフロー防止、mkdtempや奇数長ucs2変換における境界外書き込みの修正、TLS/WebCryptoにおけるFIPSモード関連の修正などが含まれる。依存関係ではundiciが8.10.0に、libffiが3.8.0にそれぞれ更新された。なお--enable-staticビルドフラグは非推奨となり、今後は常時有効化される。

概要 JetBrainsは8月26日、Kotlin 2.4.20のリリース候補版となる「2.4.20-RC2」を公開した。今年6月24日のBeta1、7月22日のBeta2、8月12日のRCを経て積み上げてきた機能群を引き継ぎつつ、RC2ではコンパイラやツールチェーンに残っていた不具合を集中的に修正している。正式版のリリースが近づいており、開発の最終段階に入ったことを示す動きだ。 標準ライブラリの新機能 今回の2.4.20系統の目玉の一つが、標準ライブラリへのStackTraceRecoverableインターフェースの導入だ。Beta1で追加されたこの仕組みにより、コルーチンをまたいで例外が伝播する際に失われがちだったスタックトレース情報を、より正確に復元できるようになる。非同期処理のデバッグでは呼び出し元のコンテキストが分かりにくくなる問題が長年指摘されてきており、この改善は実用上のメリットが大きい。 あわせて、コレクション要素の比較を扱う関数群も拡充された。Beta1では複数要素が全て等しいかを一括判定するallEqualがIterableに追加され、続くBeta2では要素が全て異なることを検証するallDistinct()と、キー抽出関数を指定できるallDistinctBy()が追加された。従来は自前でループやSetを使って実装する必要があった等価性・一意性チェックを、標準APIだけで簡潔に書けるようになる。 Kotlin/NativeのSwiftエクスポート拡張 Kotlin/Native向けのSwift Export機能も継続的に強化されている。Beta2ではsealedクラスのサポートが加わり、プロパティやインターフェース実装を含むクロスランゲージ継承にも対応した。これによりKotlinで定義したより複雑な型階層を、Swift側からより自然な形で扱えるようになる。Beta1からRCにかけては、ジェネリック型の上限境界解決の失敗、プロトコルメンバーへの不正な可用性(unavailability)情報の伝播、ファクトリ関数名とクラス名の衝突といった細かな不具合も順次修正されており、iOSやmacOSアプリ開発でKotlin Multiplatformを利用するチームにとって実用性が着実に高まっている。 RC2での修正点と今後の見通し RC2自体は新機能よりも安定化に重点を置いた更新で、ネストしたループ内で2つのnull許容ローカル変数を相互に代入した際にKotlin/NativeのコンパイラがStackOverflowErrorを起こす問題、Compose compilerでwhen式内のラムダから非ローカルリターンが実行されない不具合、@Serializableが付与されたenumをKotlin/JSでコンパイルする際に発生するIllegalStateException、Gradle for Wasmでユーザー定義のwebpack設定の適用順序がずれる問題などを修正した。目立った新機能追加のないRC2という位置づけからも、Kotlin 2.4.20の正式リリースが目前に迫っていることがうかがえる。

概要 PHPプロジェクトは8月27日、PHP 8.5.10および8.4.25を公開した。両バージョンともセキュリティ修正を含むリリースであり、公式には可能な限り早期のアップデートが推奨されている。PHP 8.5系は「Latest」ステータスにあり、2027年12月31日までサポートが継続される。 修正されたセキュリティ脆弱性 今回のリリースでは、Exif拡張のexif_read_data()においてHEIF形式のメタボックスに対し元ファイルサイズを超えるメモリを割り当ててしまう問題が修正された。なお、ext-pgsqlのSQLインジェクション（CVE-2026-17543）やbcmath拡張bccomp()のバッファオーバーフロー（CVE-2026-17544）、libgd由来の脆弱性（CVE-2026-9672）、pharアーカイブの循環シンボリックリンクによるクラッシュ（GHSA-vc5h-9ppw-p5f3）は、いずれも今回の8.5.10・8.4.25ではなく、7月30日リリースのPHP 8.5.9・8.4.24で修正済みの項目である。 スタック枯渇問題への対応 もう一つの大きな柱が、深くネストしたデータ構造を処理する際のスタック枯渇（スタックオーバーフロー）対策である。配列同士の深いネスト比較や、DOM拡張でのドキュメント正規化・比較処理で発生し得るスタックオーバーフローが修正されたほか、array_walk_recursive()、array_replace_recursive()、compact()といった再帰的に処理を行う関数にスタック上限チェックが新たに追加された。これらは、悪意を持って極端に深いネスト構造を持つ入力を与えることでサービス拒否（クラッシュ)を引き起こし得る問題であり、外部入力を扱うアプリケーションにとっては地味ながら重要な修正といえる。 その他の修正点とアップデート方法 このほかにも、DOM拡張でDTD宣言に由来する属性のデフォルト値をsetAttribute()が正しく扱えていなかった問題、MBString拡張のmb_strrpos()における負のオフセット処理の不具合、PDO ODBCでのNULL値処理、PDO PostgreSQLの遅延フェッチ（レイジーフェッチ）に関する欠陥、Reflectionの例外メッセージにおけるnullバイトの扱い、SimpleXMLで発生していたセグメンテーション違反など、安定性に関わる多数の修正が含まれる。ソースコードはGitHubリポジトリから、Windows向けにはNTS/TS版の32bit・64bitバイナリが、コンテナ環境向けにはCLI・FPM・Apache用のDockerイメージがそれぞれ提供されている。セキュリティ修正が含まれることから、本番環境を運用する開発者は速やかなアップデート適用が望ましい。

概要 JavaScript向けパッケージマネージャーpnpmは8月26日、コア実装をRustで全面的に書き直したバージョン12.0を正式にリリースした。8月上旬に公開されていたリリース候補版が、大きな問題報告なく正式版へと昇格した形となる。開発チームは今回の刷新について「意図的に移行ではない」と位置づけており、コマンド体系や設定ファイル、ロックファイル形式はpnpm 11との互換性を保ったまま、内部実装のみを刷新している。既存プロジェクトはコマンドや設定を変更することなく、そのままアップグレードできる設計だ。 パフォーマンスとアーキテクチャの改善 Rust化による最大の恩恵は、依存関係解決処理の高速化である。大規模な循環依存を含むワークスペースにおいて、ピア依存関係の解決速度が2〜3倍向上し、メモリ使用量は約25%削減されたという。あわせてロックファイルのサイズも大幅に縮小された。Linux環境向けには、packageImportMethod: auto設定時にハードリンクを優先的に採用する変更も加えられており、btrfsなどのファイルシステム上ではインストール時のnode_modules具体化に要する時間がおよそ半分に短縮されるとしている。 互換性への配慮と新機能 破壊的変更としては、Gitへの依存関係がHTTPS URLに正規化される点、pnpm-workspace.yaml内の未認識設定が警告として報告されるようになり、プロジェクトがピン留めしたpnpmバージョンと一致する場合はエラーになる点、engineStrictの挙動が厳密化された点などが挙げられる。一方で新機能も複数追加されており、Node.js・Deno・Bunがプロジェクトのピン留めバージョンに従う「プロジェクト認識グローバルバイナリ」、npmやYarn各種、Bunといった他のパッケージマネージャーそのものをプロビジョニングできる機能、脆弱性対応の代替パッケージに差し替える「レジストリリビジョン」、段階的公開の一括承認機能、そして試験的なリモート副作用キャッシュなどが盛り込まれた。pnpm init実行時に最新版のpnpmを自動的にピン留めする改善も行われている。 導入方法と今後の展望 現時点ではpnpmコマンドのlatestタグは引き続きpnpm 11系を指しているため、12系を試すにはpnpm self-update next-12で専用タグを指定してインストールする必要がある。互換性を保ちながら内部実装をRustに置き換えるという方針は、Node.jsエコシステムで広がるネイティブ実装への回帰の流れとも軌を一にしており、今後latestタグへの昇格が進めば、大規模モノレポを扱う開発者を中心に恩恵が広がりそうだ。

概要 Microsoftは8月26日、Visual Studio Codeの月例アップデート「バージョン1.135」を公開した。今回のリリースはAIエージェント機能の強化が中心で、他のアプリケーションで開始したCopilotやClaudeのエージェントセッションをVS Code側から引き継いで作業を継続できる機能や、あるモデルの作業内容を別のモデルにレビューさせる実験的機能「Rubber Duck」が新たに追加された。 外部エージェントセッションの引き継ぎ 新設定chat.agentSessions.showExternalを有効にすると、VS Codeは最近更新された外部セッションを最大2件まで表示し、セッションリストの「External」サブメニューから表示対象を選べるようになる。ターミナルやブラウザなど別環境で始めたエージェントとの対話をそのままVS Code上に呼び出して継続作業できるのが狙いで、エージェントは新しい「エージェントホストプロトコル(AHP)」に基づく専用プロセスとして実行される仕組みに刷新された。これにより複数のVS Codeウィンドウから同一セッションへ同時に接続することも可能になっている。なお、Copilotエージェントの挙動はCopilot SDKによってCopilot CLIなど他のCopilot製品と統一されている。 検証機能「Rubber Duck」 実験的機能として追加された「Rubber Duck」は、Copilotのエージェントホストセッション内で/rubber-duckコマンドを実行することで利用できる。あるモデルが行った作業を、性質の異なる補完的なモデルに検証させ、見落としがちな詳細やエッジケースを洗い出す「第二意見」を得るための仕組みだ。単一モデルの出力をそのまま信頼するのではなく、モデル間のクロスチェックによって品質を担保するアプローチで、AIエージェントの活用が進む中での検証手段の一つとして位置づけられる。 そのほかの変更点 エージェント関連ではセッション表示のレイアウトも整理され、設定sessions.layout.singlePaneDetailPanelによりシングルペインレイアウトがデフォルトとなったほか、セッション情報の表示も簡潔化・再配置された。チャット機能では、エディタのようにスクロール時に見出しを固定表示する「スティッキースクロール」が実験的機能として加わり、chat.stickyScroll.enabledなどの設定で有効化できる。またチャットの使用量表示がモデルごとの入力・キャッシュ入力・出力トークン数の内訳を確認できる形に詳細化された。このほか、ローカルのエージェント実行環境をサンドボックス化する機能がオプトイン方式に変更されている。 一連の変更は、外部ツールとの連携やマルチモデルによる相互検証など、開発者がエージェントをより実務的に使いこなすための土台整備という色合いが強い。今後のリリースでも、エージェントホストプロトコルを軸にした機能拡張が続くとみられる。

概要 Next.jsチームは8月25日、Active LTS系列のv16.3.3とMaintenance LTS系列のv15.5.24をリリースし、深刻度「Critical」の脆弱性を2件修正した。1件目は画像最適化APIがAVIF画像を処理する際に、内部で利用するsharpライブラリの依存先であるlibheifの脆弱性（GHSA-g89c-p67h-r497）を突かれることで、未認証のリモートコード実行が可能になるというもの（Next.js側の識別子はGHSA-2xp9-vwfh-vxw4）。2件目はPages RouterとApp Routerを併用し、かつCache Componentsを使用していないアプリケーションをWindows上のファイルシステムでホストしている場合に、未認証のRCEが成立するというもの（CVE-2026-75604 / GHSA-p293-qw3h-jr36）。後者はLinuxおよびmacOS環境では発生せず、既知の回避策も存在しないため、該当するWindows環境のユーザーは早急なアップデートが求められる。 Next.jsチームは5日前の8月20日に今回のリリース予告を行っていたが、公開当日に追加のCritical脆弱性を新たに特定したことを受けてリリース時期を前倒ししたと説明している。 技術的な詳細 AVIF関連の脆弱性は、Next.jsの画像最適化APIが攻撃者の制御下にあるAVIF画像を処理する過程で、依存ライブラリsharpが利用するlibheifのデコード処理に起因する欠陥を突かれることで発生する。上流のlibheif側での修正が完全に行き渡るまでの措置として、パッチ適用版のNext.jsではAVIF画像の最適化処理自体を無効化する対応が取られている。つまり、AVIF画像はそのままの形で配信され、脆弱性のある処理経路を通過しなくなる。 Windows関連の脆弱性は、Pages RouterとApp Routerの両方を組み合わせて使用し、かつCache Componentsを有効化していない構成のアプリケーションが対象となる。Next.jsサーバーがWindowsのファイルシステム上で動作している場合にRCEへとつながる可能性があり、Linux・macOS環境は影響を受けない。回避策が存在しないため、該当環境の運用者はアップデート以外に有効な対処手段がない。 修正版へのアップデートは以下のコマンドで行える。 npm install next@15.5.24 # 15.5系の場合 npm install next@16.3.3 # 16.3系の場合 Vercelでのホスティングへの影響 Vercelは自社プラットフォーム上にホストされているNext.jsアプリケーションについて、両脆弱性から既に保護されていると発表した。同社によれば、ユーザー側でのアップグレードや設定変更、再デプロイは一切不要だという。AVIF関連の脆弱性については、Vercelの画像最適化サービス全体でAVIF最適化処理をあらかじめ無効化しており、悪意のあるAVIFファイルが送られてきても脆弱な処理経路を通らずそのまま配信される。Windows関連の脆弱性についても、Vercelのランタイムは元々Linux上で稼働しているため影響を受けない。一方で自前でホスティングしている運用者は、この保護の恩恵を受けられないため、速やかにNext.js 15.5.24または16.3.3へのアップグレードが必要となる。 Next.jsチームは、こうした脆弱性の発見と対応がVercelのオープンソースバグバウンティプログラムを通じた研究者との協力によるものだとしており、セキュリティ体制の強化を継続する姿勢を示している。

概要 DuckDB Labsは開発コード名「Cyanoptera」ことDuckDB v2.0のプレビューを公開した。バージョン1.5以降、1万を超えるコミットを積み重ねた大型アップデートで、組み込み型（インプロセス）データベースとして知られてきたDuckDBを、ネットワーク接続やリモート運用を前提とした分散アーキテクチャへと拡張する内容となっている。正式なGA（一般提供）リリースは2026年秋を予定している。 最大の目玉は、新しい「quack」プロトコル拡張と新設のSQL文CONNECTによって実現されるクライアント/サーバーモードの導入だ。これによりDuckDBのインスタンスをネットワークデーモンとして起動し、リモートからの接続を受け付けられるようになる。さらにPostgreSQLやMySQLといった外部データベースをアタッチし、クエリのプッシュダウン最適化を効かせた連携も可能になる。組み込み用途に特化してきたDuckDBが、サーバー型のワークロードにも対応範囲を広げる格好だ。 技術的な詳細 拡張機能（エクステンション）エコシステムも刷新される。従来課題とされてきた移植性の問題に対応するため、YAMLで明示的に定義されたバージョン管理付きC APIが導入され、安定したABI（Application Binary Interface）保証が提供される。これにより組織は独自の拡張機能リポジトリを暗号学的ピン留め付きでセルフホストできるようになり、C++以外の言語バインディングを持つ開発者にとっても恩恵が大きいとみられる。 データ型まわりでは、半構造化データの検出やJSONのカラム表現へのシュレッディング（分解格納）に対応するVARIANT型が本格的に成熟した。SQLパーサーもPostgreSQL由来のものから、カスタム構文の登録に対応する独自のPEGベース文法へと置き換えられる。ストレージ・パフォーマンス面では、クラウドオブジェクトストレージ全体にわたる非同期I/O、パーティションを意識したクエリプランニング、DICT_FSST辞書をデフォルトとした文字列圧縮の最適化、ICU依存を排したIANAベースのタイムゾーン・照合順序サブシステムへの刷新など、多岐にわたる改善が加えられている。 反響と今後の見通し Hacker Newsでは、コンシューマー向けハードウェア上でもアウトオブコア（メモリに収まらないデータ）の分析ワークロードを実行できることで、クラウドインフラのコストを大幅に削減できる点が評価されている。Redditでの議論では、DuckDBがPostgreSQLのようなOLTP（トランザクション処理）の代替ではなく、あくまでOLAP（分析処理)ツールとして独自の立ち位置を保っている点が強調され、C ABIの安定性向上がC++以外の言語バインディングにもたらすメリットについても評価の声が上がっている。GAリリースが予定される2026年秋に向けて、組み込み型データベースの定番であったDuckDBが分散環境でどこまで存在感を発揮できるか注目される。

概要 Vercelは2026年8月3日、Reactフレームワーク「Next.js」の最新版となる16.3を正式リリースした。今回のリリースはパフォーマンス改善に主眼が置かれており、バンドラ「Turbopack」のメモリ使用量を最大90%削減したほか、サーバサイドレンダリング（SSR）を最大22%高速化、さらにGo言語に移植された「TypeScript 7」の採用によりビルド時の型チェック処理も高速化された。加えて、SPA（Single Page Application）並みの画面遷移を実現する新機能「Instant Navigations」も追加されている。 Turbopackのメモリ削減とビルド高速化 Turbopackでは、ファイルシステムキャッシュの改善とキャッシュのメモリ解放機能の最適化により、開発時のメモリ使用量を最大90%削減した。この最適化の副次効果として、再ビルド処理も最大5.5倍高速化されており、大規模プロジェクトでの開発体験が大きく改善される見込みだ。 SSR高速化とTypeScript 7による型チェックの高速化 SSRについては、これまでNode.jsのWeb Streams APIを経由していた処理を、Node.jsネイティブなStream APIへと置き換えた。WHATWG標準APIとの間で発生していた内部変換処理を削除したことで、高負荷時のレンダリング性能が最大22%向上している。 また、ビルド時の型チェックには、Go言語に移植された次世代の「TypeScript 7」が採用された。トランスパイラの実行速度が向上したことで、型チェックにかかる時間が短縮されている。 Instant NavigationsとInstant Insights 新機能「Instant Navigations」は、SPAに匹敵する応答性の高い画面遷移を実現するもので、（1）ローディングUIを即座に表示した上で残りのUIをストリーミング配信する、（2）過去にレンダリング済みのUIをキャッシュして再利用する、という2つの実装パターンを組み合わせて実現している。あわせて、パフォーマンス上のボトルネックを検知できる開発ツール「Instant Insights」も搭載された。 このほか、AIエージェント向けの開発ツールの改善や、カスタムエラーバウンダリー機能の追加も行われており、開発体験とアプリケーションの安定性の両面で強化が図られている。