2.45億
サプライチェーン攻撃を受けたarrayrefクレートの累計DL数
$12.2B
GoogleがMarvell株を取得できる購入オプションの上限額
7時間47分
GitHub 8月17日障害の継続時間
📊 今週のキーワード
Rust書き換えラッシュ
AIエージェントの権限管理
サプライチェーン攻撃の連鎖
今週はBunがついにRust全面書き換えの正式版1.4をリリースする一方、arrayrefクレートのサプライチェーン攻撃やGitea・SAP Commerce Cloud・N-ableの認証バイパス実悪用が相次ぎ、Rustエコシステムの拡大とその足元を突く攻撃が同時進行した。もう一つの通奏低音はAIエージェントの権限設計で、AWS鍵を渡さない代理署名、Claudeに機密データを見せない5層防御、AGENTS.mdの同期バグなど、エージェントに何を渡し何を隠すかという設計論が各所で語られた週だった。
🔥 Top Stories
JavaScriptランタイムBunは8月20日、バージョン1.4を正式リリースした。7月に明らかになったZigからRustへの全面書き換えは今回が初の本番リリースで、「Bun is now written in Rust」という一文が過去1年続いた移行作業の到達点を示す。移行の副産物として、HTTPサーバーのピークメモリ使用量が13〜48%削減され、起動時間はWindowsで2.5倍・Linuxで2倍高速化、アイドル時CPU使用率も5分の1に下がった。新機能面では、これまでnpmパッケージに頼っていた領域を`Bun.Image`(画像処理)、`Bun.WebView`(ヘッドレスブラウザ操作)、`Bun.markdown`、`Bun.cron()`、`Bun.Terminal`として標準搭載し、`fetch()`とサーバー双方で実験的HTTP/3対応も追加した。パッケージマネージャには`bun audit fix`・`bun dedupe`・`bun prune`・`bun pm diff`が加わっている。Node.js互換性の検証にはNode本家のテストスイートから1,517件を移植し、`node:http`や`node:fs`など複数モジュールで97〜100%のパス率を達成した。Claude Codeはすでにこのバージョンを本番投入しており、Prismaも新サービス「Compute」の基盤に採用したという。一方で前日までのDev欄では、Rust移行に伴い未マージPRが5,000件を超えたことへの懸念が報じられたばかりで、今回の正式リリースはその移行が実用段階に入ったことを示す一つの区切りになる。
🧠 メモリ・起動時間の改善幅は独自ベンチマークの数値であり、実運用でのGCプロファイルやRust化によるビルド時間の変化はまだ外部検証されていない。ただしClaude CodeやPrismaが早期に本番採用したという事実は、少なくとも社内ドッグフーディングの段階では実用に耐える品質に達したと読める。未マージPR急増という「開発プロセスの荒さ」への懸念と、今回の「機能・性能面の実利」は別軸の話であり、両方が同時に真でありうる点には留意したい。
- HTTPサーバーのピークメモリ使用量を13〜48%削減、起動時間はWindows2.5倍・Linux2倍高速化、アイドルCPU使用率は24%から10%(p99)へ低下
- `Bun.Image`・`Bun.WebView`・`Bun.markdown`・`Bun.cron()`・`Bun.Terminal`を標準搭載、`fetch()`とサーバー双方で実験的HTTP/3に対応
- Node.js本家テストスイートから1,517件を移植し`node:http`等で97〜100%パス、URL解析4.6倍・markdown用正規表現138倍・bot検知200倍高速化
💡 メモリ制約のあるコンテナ環境やコールドスタートを気にするサーバーレス用途では、既存のBunプロジェクトをこのバージョンに上げるだけで実測できる改善が見込める。
Bun Blog
⏱ 5 min read
2026-08-20
🔖 22
Rust Security Response Teamは8月20日、人気クレート「arrayref」がサプライチェーン攻撃を受けたと発表した。メンテナのアカウントが侵害され、`proc-macro1`など偽装クレートに依存する悪意あるバージョンがcrates.ioへ公開された。ペイロードはビルドスクリプトとして実行され、プロジェクトをコンパイルするだけで起動する。サーバーアドレスはbase64で分割エンコードされビルド時にのみ復元される難読化が施され、Linux/Windows/macOS(x86_64・ARM64)向けにプラットフォーム別バイナリを配信、Windows版はVBScript経由でCargoのジョブオブジェクトから離脱しビルド終了後も常駐する。arrayref@0.3.10はUTC7時15分から8時41分まで86分間、append-only-vec@0.1.9は107分間、internment@0.8.7は90分間それぞれ公開状態にあった。arrayrefは累計約2.45億ダウンロードを記録し、egui・eframe・icedなど主要GUIフレームワークの間接依存先になっていた。Nextron Systems GmbHの調査チームが発見・報告し、Rustチームは悪意あるバージョンの削除とアカウントのロックで対応した。
- arrayref@0.3.10(86分)・append-only-vec@0.1.9(107分)・internment@0.8.7(90分)の3クレートが偽装依存経由で汚染、コンパイルするだけでペイロードが起動
- arrayrefは累計約2.45億DL(0.3.9単体で約1.52億)、egui/eframe/icedなど主要GUIフレームワークの間接依存先だった
Rust Blog
⏱ 4 min read
2026-08-20
半導体大手Marvellは、Googleとのカスタムチップ契約に関連し、Googleに自社株最大約5,897万株(1株206.58ドル)を購入できるオプションを付与したと発表した。行使上限額は約122億ドルに達する。対象はTPU(Tensor Processing Unit)本体だけでなく、AIモデルを実行するプロセッサやデータストレージ、ネットワーク機器まで含む幅広い技術群。Googleの調達額が5億ドル分積み上がるごとに段階的にオプションが権利確定する仕組みで、2033会計年度までの目標達成時にはMarvellにとって約1,200億ドル規模の売上になるという。発表を受けMarvell株は一時8%近く上昇した一方、既存の主要サプライヤーだったBroadcomは5%超下落した。
- Googleは最大約5,897万株(1株206.58ドル)・上限122億ドル分の購入オプションを取得、調達額5億ドルごとに段階的に権利確定
- 2033年度までの目標達成でMarvellに約1,200億ドル規模の売上、発表後Marvell株8%高・Broadcom株5%超安
Yahoo Finance
⏱ 3 min read
2026-08-19
⚡ Dev & Engineering
GoogleはFlutter 3.47を正式リリースした。従来SDK本体に同梱されていたMaterial・CupertinoなどのUIライブラリを独立パッケージへ分離し、Flutter SDK自体のリリースを待たずに単独でアップデートできるようにした。Web向けビルドではWebAssembly出力をデフォルトにする方向性も示されている。
- UIライブラリ(Material/Cupertino等)をSDK本体から分離し独立パッケージ化、SDKリリースを待たずに更新可能に
- Web向けビルド出力をWebAssemblyへデフォルト移行する方針を明示
Publickey
⏱ 3 min read
2026-08-20
GitHubは8月17日に発生した7時間47分の大規模障害について、原因と再発防止策を公表した。米中部データセンターの重要インフラコンポーネントが想定を超えるトラフィックでスケールに失敗し、認証系を中心に障害が連鎖した。復旧作業中にはCopilotのクライアント側リトライループがさらにトラフィックを増やし、収束を長引かせる要因になったという。月間コミット数は4月の14億件から8月には29億件へと倍増しており、インフラへの継続的な負荷が背景にある。今月2件目の大規模インシデントで、8月6日にもActionsの障害が発生していた。
- 米中部データセンターのインフラがスケール失敗、復旧中のCopilotリトライループがトラフィックを増やし収束を遅延させた
- 月間コミット数は4月の14億件から8月に29億件へ倍増、対策としてCPU300万コア超・ストレージ120PB追加とAzureへの移行加速(5月12%→現在58%)を計画
GitHub Blog
⏱ 4 min read
2026-08-19
▲ 79
WordPressプラグインElementor ProのFormsモジュールにあるファイルアップロード機能に、未認証で悪用可能なRCE脆弱性CVE-2026-32475が見つかった。拡張子検証ループは空のファイルエントリで`return`により処理を打ち切るのに対し、実際の移動処理ループは`continue`で次へ進む仕様の食い違いを突く。空のファイルパートに続けて`.php`ペイロードを送ると、拡張子ブロックリストは2件目をスキップしつつ移動処理だけは実行され、公開ディレクトリにPHPファイルが書き込まれる。7月16日の報告から8月19日のv4.2.2リリースまで1ヶ月強を要した。
- 空ファイル+`.php`ペイロードの2パート送信で拡張子ブロックリストを回避、公開の`wp-content/uploads/elementor/forms/`配下にPHPが書き込まれる
- 影響はv4.2.1以下、ファイルはuniqid()由来のファイル名で時刻ベースのブルートフォースにより特定可能。v4.2.2で修正済み
Patchstack
⏱ 4 min read
2026-08-19
Linux 7.2が8月19日にリリースされた。開発サイクルの長さは歴代最長の6.7に次ぐ規模となり、CPU/GPUスケジューリングまわりの改善が目立つ。キャッシュを考慮したCPUスケジューリング、MGLRU(多世代LRU)メモリ管理の改善、sched_ext向けサブスケジューラの導入に加え、Igaliaが実装したGPUリソース共有向けのフェアスケジューリングポリシーも入った。直前のリグレッションによりデフォルト無効のオプトイン扱いとなり、従来のFIFOスケジューラが引き続きデフォルトとなる。Raspberry Pi 4/5のGPU向けランタイム電源管理も追加され、アイドル時にGPUの電源を落とせるようになった。
- キャッシュ考慮型CPUスケジューリング・sched_extサブスケジューラを追加、Igalia実装のGPUフェアスケジューリングはリグレッションによりオプトイン扱い
- 16年物のrobust futexバグを修正、Raspberry Pi 4/5 GPUにランタイム電源管理を追加しアイドル時の電力消費を削減
Igalia Blog
⏱ 3 min read
2026-08-19
▲ 152
7年間Rustを書いてきた著者が、比較のため同じJSONPathパーサをZigで再実装した。Rustの`Data`のような`map`・`flat_map`を持つモナド的な型はZigには存在せず、明示的なループとその場での変更に置き換わり、可読性は主観的に低下したと感じたという。一方でZigの「インポート摩擦」は深いフォルダ階層を避けさせ、Rust版の`src/parser/`のようなネスト構造がZig版では5ファイルのフラットな構成に収まった。`TestAllocator`はメモリ安全性の穴を4種(deinit忘れ・エラー経路でのスキップ・二重解放・迷子アロケーション)検出したが、これらはRustなら`Drop`とムーブセマンティクスで自動的に防げるものだった。
- Rust版はネストしたフォルダ構成、Zig版は「インポート摩擦」により5ファイルのフラット構成に収束
- `TestAllocator`がdeinit忘れ・エラー経路でのスキップ・二重解放・迷子アロケーションの4種のメモリ安全性バグを検出、RustならDrop/ムーブセマンティクスで自動回避できる種類
besok.github.io
⏱ 4 min read
2026-08-20