🔥 Top Stories
Node.jsやDenoなどのJavaScriptランタイムは、V8などのエンジン一式を同梱するため実行ファイルが数十MB単位に膨らみ、サーバーレス環境ではコールドスタートの遅延やメモリ消費の増大を招いてきた。この構造的な重さに対し、JavaScript/TypeScriptのコードを直接C言語に変換し、そこからネイティブバイナリやWebAssemblyを生成するコンパイラ「porffor」が、2026年8月にアルファ版へ到達した。作者のOliver Medhurst氏は「実際の依存関係が動き始める新しい段階」と位置づけている。porfforはJavaScriptランタイムを同梱せず、コンパイル時に必要な処理だけをCコードへ落とし込む。この方式により生成バイナリはNode.jsのバンドル実行ファイルに比べて最大50倍小さくなり、1GBのメモリを持つサーバー上で実行できるアプリケーション数はNode.jsの28個に対しporfforでは1,000個以上に達する。起動処理も軽量化され、コールドスタート時間は100マイクロ秒台まで短縮された。次期バージョンではクロージャの実行が65%高速化し、メモリ使用量も30%削減される見込みだという。現時点での最大の制約はNode.js APIとの互換性で、既存のnpmパッケージ資産をそのまま動かせるかどうかが実運用への普及を左右する。アルファ版はこの互換性の壁に本格的に取り組み始めた段階であり、プロダクション導入はまだ先の話になる。
🧠 サーバーレス実行環境のコスト構造は起動時間とメモリ密度で決まるため、50倍のバイナリ縮小と28倍のアプリケーション密度が実測値なら、エッジコンピューティング分野への影響は小さくない。ただし互換性の壁を越えられるかは未知数で、既存のNode.jsエコシステムに依存する資産をどこまで動かせるかは、アルファ版の段階ではまだ検証されていない。
- 生成バイナリはバンドル済みNode.js実行ファイルに比べ最大50倍小さく、1GBメモリのサーバーで動かせるアプリ数はNode.jsの28個に対し1,000個以上
- コールドスタート時間はサブミリ秒(約100マイクロ秒)まで短縮、次期バージョンではクロージャ処理が65%高速化しメモリ使用量も30%削減予定
- 現状の最大のボトルネックはNode.js API互換性で、既存npmパッケージの実行可否がプロダクション導入の分かれ目になる
💡 サーバーレスやエッジ環境でNode.jsベースの関数を運用しているなら、コールドスタートとメモリコストを削減できる可能性があるが、依存パッケージの互換性検証なしに移行するのはまだ早い。
Publickey
⏱ 4 min read
2026-09-07
PaperCutの印刷管理サーバーに存在する2つの脆弱性——アクセス制御不備のCVE-2026-81578と、Javaバイトコードを任意実行できる安全でない動的クラスロードのCVE-2026-82078——を連鎖させる攻撃が、米国と欧州のK-12から大学までの教育機関を狙って観測されている。攻撃には認証情報が一切不要で、対象のIPアドレスかホスト名さえ分かれば足りる。Huntress社は最初のパッチへのバイパス手法まで確認しており、CISAは両CVEを既知悪用脆弱性(KEV)カタログに追加した。攻撃者は特権アカウントの作成やレジストリ情報の収集、Meterpreterペイロードの展開など、侵入後の偵察・永続化活動を行っている。
- CVE-2026-81578(アクセス制御不備)とCVE-2026-82078(安全でない動的クラスロード)を連鎖させ、認証不要でJavaバイトコードを任意実行
- Huntress社が最初の緊急パッチのバイパス経路を確認、CISAがKEVカタログに追加し米連邦機関に対応を義務付け
💡 PaperCutを運用している教育機関や企業は、最新パッチが最初の修正のバイパスに対応済みかを確認し、外部公開している管理画面のアクセス制限を見直す必要がある。
The Hacker News
⏱ 4 min read
2026-09-05
Twitter/Xの投稿を広告・ログインなしで閲覧できる非公式ビューアー「Nitter」とそのインスタンス「XCancel」は、2026年8月29日に一度サービスを停止していた。X Corp.は8月24日付で、Nitterインスタンスとリポジトリの恒久的な停止を求める停止通告書を送付していたためだ。9月6日、プロジェクトのリポジトリに「法的助言を受けてNitterプロジェクトは継続する」との更新がコミットされ、サービス再開が明らかになった。具体的な法的根拠の詳細は今後発表するとしており、コミットではREADMEの寄付案内の位置も見直された。
- X Corp.が8月24日付でNitter/XCancelの恒久停止とリポジトリ削除を要求する停止通告書を送付していた
- 一度は8月29日に停止したが、9月6日のコミットで弁護士の助言を得て継続することが明らかに、詳細は追って公表予定
💡 Nitter/XCancelを組み込みで使っているサービスやブックマークレットは、停止・再開が繰り返される前提でフォールバックを用意しておいた方がよい。
GitHub
⏱ 3 min read
2026-09-06
▲ 351
⚡ Dev & Engineering
Debianの全ソースコードを横断検索できる「Debian Code Search」の開発者Michael Stapelberg氏は、転置インデックスの整数圧縮に使っていたcgo経由のTurboPFor(C言語製)を、Go 1.26の実験的SIMDパッケージ`simd/archsimd`によるネイティブGo実装に置き換えた。ビット幅特化とSIMD化でcgo版と同等の速度に到達し、positional popcount最適化でさらに2倍高速化した。
- SIMD化とビット幅特化でcgo(C言語)版と同等のエンコード速度に到達、positional popcount最適化でさらに2倍高速化
- デコード性能はdebian-mixデータセットで773Mval/sから858Mval/sへ向上(アロケーション削減で約11%改善)、IPCは理論最大8に対し7を達成
Michael Stapelbergブログ
⏱ 5 min read
2026-09-06
▲ 44
GNU coreutilsをRustで再実装する「uutils coreutils」の0.11.0が、Rustコンパイラのような「キャレットで問題箇所を指す」エラー表示を追加した。標準エラー出力が端末に接続されている場合のみ発動し、スクリプトやパイプ実行時は従来通り1行のメッセージを返すため互換性を壊さない。
- 端末接続時のみキャレット付き診断を表示し、パイプ・スクリプト実行時は従来の1行メッセージを維持して後方互換性を確保
- `tr 'qw[y-b]' x`のような逆順レンジ指定に「b-yのつもりでは?」と提案するなど、chmod/sort/cutなど28コマンドの引数エラーに対応、`UUTILS_DIAG`環境変数で動作を強制指定可能
uutils.orgブログ
⏱ 4 min read
2026-08-28
Nixパッケージマネージャのパッケージを、ローカルにインストールせずブラウザタブ内だけで起動できる実験的サービス「TryNix」が公開された。nixpkgsの履歴から31万件超のパッケージバージョンを検索し、QEMUベースのx86_64 Linuxカーネルをwasmにコンパイルしてブラウザ内で動かす。バックエンドサーバーは持たず、公開バイナリキャッシュから直接パッケージを取得する静的構成だ。
- nixpkgs履歴の31万件超のパッケージバージョンを対象に、QEMUベースのLinuxカーネルをWebAssembly化してブラウザタブ内で実行、バックエンドサーバー不要の静的構成
- VMスナップショットとJITトランスレーションキャッシュをブラウザに保存することで、初回起動は約7.5秒、再訪時は主要パッケージで4.3秒までシェル到達時間を短縮
fzakaria.comブログ
⏱ 4 min read
2026-09-04
▲ 41
Apple SiliconにネイティブLinuxを移植するAsahi Linuxプロジェクトが、M3シリーズ搭載Mac(MacBook・iMac)向けのサポートをインストーラーに統合し、正式サポート対象に加えた。ウェブカメラ・USB・AV1デコード・Wi-Fi/BluetoothなどM1/M2シリーズの機能はほぼそのまま動作する。
- ウェブカメラ・USB 3.0(10Gbps)・AV1ハードウェアデコード・Wi-Fi/Bluetoothなど、M1/M2で動いていた機能の大半がM3でもそのまま動作
- スリープ機能はファームウェア制約で無効化、HDMI出力とGPUアクセラレーションは未対応、Mac Studio(M3 Ultra)は非対応でMacBook/iMacのみサポート対象
Asahi Linux Blog
⏱ 3 min read
2026-09-06
▲ 283
Broadcomが7月29日に公開したvCenter ServerのSyslogサーバーにおけるディレクトリトラバーサル脆弱性CVE-2026-59310(CVSS 9.8)は、認証不要でネットワーク到達可能な攻撃者が細工したリクエストを送るだけでコード実行が成立する。開示からわずか5日で悪用が確認され、これまでに47ヶ国361件のIPアドレスで侵害が判明した。侵入後はオープンソースのリバースSSHツールで永続化し、ESXiホスト上に直接Babuk派生ランサムウェアを展開する手口が確認された。
- CVSS 9.8のディレクトリトラバーサル(CVE-2026-59310)、認証不要でSyslogサービス経由のリモートコード実行が成立し、開示から5日で悪用開始
- 47ヶ国361件のIPアドレスが侵害され、リバースSSHツールで永続化後にESXiホスト上へBabuk派生ランサムウェアを直接展開、ワークアラウンドは存在せずパッチ適用のみが対策
BleepingComputer
⏱ 5 min read
2026-08-17