TODAY’S ISSUE 2026年6月18日 · 木曜日 WEB FRONTLINE

Web Dev Digest: 2026‑06‑18

2026年6月18日

Top 20

Announcing TypeScript 7.0 RC

Source: TypeScript Blog | Published: 2026-06-18 23:31 JST

コンパイラを Go に完全移植した TypeScript 7.0 の Release Candidate を公開し、6.0 比で約 10 倍速い型チェックを実現したと発表
安定版は RC から「次の 1 ヶ月以内」を予定、プログラマティック API は 7.1 までの数ヶ月間は提供されず利用不可
並列度を制御する --checkers フラグ（デフォルト 4）と、プロジェクト参照ビルド用の --builders フラグが新設された
既に Bloomberg / Figma / Google / Vercel など大規模コードベースで検証済みで、6.0 と構造的に同一の型チェック動作を保証
非推奨オプション（target: es5 など）はハードエラー化、ファイルウォッチャは Parcel 実装を Go に移植して大規模プロジェクトのリソース消費を改善

Vercel Ship 2026 recap

Source: Vercel Changelog | Published: 2026-06-18 01:00 JST

2,500 人超が参加した Vercel 初の米国外大規模カンファレンスで、エージェント運用に振り切った「Agent Stack」構想を発表
構成は AI SDK / AI Gateway / Workflow SDK / Vercel Sandbox / Chat SDK に Vercel Connect を追加した 6 製品体系
オープンソースのエージェントフレームワーク eve を公開、数分で本番対応エージェントを構築できる位置付け
自社サポートエージェント Vertex はチケットの 91% を自動化し月 5,000 時間のエンジニア工数を削減したと公表
同時発表の Vercel Connect は OIDC ベースで長期保存トークンを排除、Slack / GitHub / Linear など外部 SaaS への短命トークン発行を担う

Celebrating 12 years of Project Galileo

Source: Cloudflare Blog | Published: 2026-06-18 22:00 JST

Cloudflare の Project Galileo が 12 年で 120 か国・3,400 以上の人権 / ジャーナリズム / NPO サイトに無料サイバー防御を提供する規模に到達
市民社会組織を狙うウェブ脆弱性悪用試行は他の Cloudflare 顧客の 7 倍以上で発生していると年次レポートで報告
攻撃の主流は DDoS で、数日から数週間続く長期攻撃が確認されている
亡命中ジャーナリストへの悪意トラフィックは「報道機関全体の約 4 倍」のペースで観測される深刻さ
新規参加団体として国際ジャーナリスト中心 (ICFJ)、ノルウェーメディアクラスター、NGO-ISAC の 3 組織を追加

Cloud Network Insights: end-to-end observability for the Cross-Cloud Network

Source: Google Cloud Blog | Published: 2026-06-18 04:30 JST

Google Cloud がマルチクラウド / ハイブリッド網の可観測性を統合した Cloud Network Insights を一般提供開始
Broadcom AppNeta との協業で実現、Network Intelligence Center と Cloud Observability スイートに統合される
対応範囲は Google Cloud / AWS / Azure / オンプレ DC に加え ISP・ラストマイル・インターネットアプリまでエンドツーエンド
計測は RTT / パケットロス / ジッターを追う Network Performance Monitoring と、Selenium ブラウザモード対応の Digital Experience Monitoring の 2 系統
Gemini Cloud Assist 統合で自然言語でテレメトリ分析でき、自動ベースラインによるプロアクティブアラートで MTTR 削減を狙う

Node.js 26.3.1 (Current)

Source: Node.js Blog | Published: 2026-06-18 13:38 JST

Current 系の Node.js 26.3.1 を緊急セキュリティリリースとして公開、計 10 件の CVE を一括修正
High 2 件は TLS のホスト名正規化 (CVE-2026-48618) と WebCrypto 暗号出力長ガード (CVE-2026-48933)
Medium 5 件は HTTP/2 originSet メモリ増加抑止、SNI 大文字小文字、DNS NUL バイト拒否、TLS セッション認証ホスト束縛など
Low 3 件は Permission Model 周辺の writereport / FileHandle utimes / Unix ドメインソケットの抜け穴を塞ぐ修正
依存も llhttp 9.4.2、OpenSSL 3.5.7、undici 8.5.0 / 8.4.0 まで更新、コミット 16 本

Node.js 24.17.0 (LTS)

Source: Node.js Blog | Published: 2026-06-18 13:38 JST

24.17.0 LTS で High 2 件・Medium 5 件・Low 3 件の計 11 件 CVE を修正するセキュリティリリース
nghttp2 を 1.69.0 まで上げる SEMVER-MAJOR 更新を含み、OpenSSL も 3.5.7、undici は 7.28.0 に追従
High は CVE-2026-48618（TLS ホスト名正規化）と CVE-2026-48933（WebCrypto 出力長ガード）
Medium に TLS SNI 大文字小文字修正、DNS/NET 埋込 NUL バイト拒否、HTTP/2 originSet 上限、TLS セッション再利用の認証ホスト束縛が含まれる
24 系の現行 LTS 本番ラインに直接効く修正であり、即時アップデート推奨と公式が明記している

Node.js 22.23.0 (LTS)

Source: Node.js Blog | Published: 2026-06-18 13:38 JST

22.23.0 ‘Jod’ LTS で計 11 件の CVE を修正、HTTP/2 優先度シグナルサポート削除を含む SEMVER-MAJOR の挙動変更あり
High は同じく TLS ホスト名正規化と WebCrypto 出力長ガード
22 系固有の Medium として CVE-2026-48937（nghttp2 統合の問題）を追加で修正
nghttp2 1.69.0、OpenSSL 3.5.7、llhttp 9.4.2、undici 6.27.0 に依存を更新
旧 LTS 利用者も TLS / 暗号 / DNS の脆弱性回避のため当バージョン以降への更新が前提となる

Thursday, June 18, 2026 Security Releases

Source: Node.js Blog | Published: 2026-06-18 13:00 JST

26.x / 24.x / 22.x の全サポートラインを横断する Node.js セキュリティリリースを 6/18 に同時公開
最高深刻度 High は CVE-2026-48933（WebCrypto AES 整数オーバーフロー、入力が 2GiB の倍数でクラッシュ）と CVE-2026-48618（TLS の Unicode dot 分離子によるワイルドカード認証バイパス）
HTTP/2 系は CVE-2026-48619（ORIGIN frame による無限メモリ増加）と CVE-2026-48937（GOAWAY 後のクリーンアップ失敗）
Permission Model 関連は CVE-2026-48617 / 48935 / 48936、特に 26.x のみ Unix ドメインソケットで --permission 制限が回避される問題を含む
共通依存として llhttp 9.4.2 / nghttp2 1.69.0 / openssl 3.5.7 / undici を更新

AWS DevOps Agent adds release management capability (preview)

Source: AWS What’s New | Published: 2026-06-18 00:00 JST

AWS DevOps Agent にプレビューでリリース管理機能が追加、本番デプロイ前に自律的なレビューとテストを挟めるようになった
リリース準備レビューでは内部標準からのドリフト、依存影響、アクセス制御変更を確認し、リポジトリ横断の依存グラフから破壊的変更を検出
Web / API アプリ向けに回帰テスト・UI 問題・統合障害を狙ったテスト計画を自動生成して実行
プレビューは us-east-1（バージニア北部）のみで提供、プレビュー期間中は追加料金なし
利用には AWS DevOps Agent space にリポジトリとパイプラインを接続する必要がある

エージェントリソース検索のためのオープンな標準仕様「Agentic Resource Discovery」発表

Source: gihyo.jp | Published: 2026-06-18 12:57 JST

Google / Microsoft / GitHub / Cisco / NVIDIA など 11 社が AI エージェント向けの公開仕様 Agentic Resource Discovery (ARD) を発表
MCP サーバー、エージェントスキル、API といったリソースの「公開・検索・検証」を一本化する目的
構造はドメイン所有者が運用する「カタログ」と、それをクロール / インデックス化する「レジストリ」の二層モデル
公開側はドメインに ai-catalog.json を配置し、提供リソースの概要と機能を記述するだけで載せられる
GitHub Copilot は早速 ARD 準拠の agent finder を全プランで提供開始し、自然文の依頼から必要な MCP / スキルを自動検出する

Google WorkspaceのGeminiアプリ、個別チャットの削除と一時チャット機能を追加へ

Source: gihyo.jp | Published: 2026-06-18 10:22 JST

Google Workspace 版 Gemini アプリに個別チャット削除と「履歴に保存されない一時チャット」を追加すると Google が発表
追加料金なしで全 Google Workspace 顧客が対象、対象プラン制限はなし
管理者はドメイン / 組織部門 (OU) / グループ単位でオン・オフを切り替えられ、既定はオン
ロールアウトは管理者向け設定が 6/15 開始、ユーザー向けは 6/21 開始、全顧客への配信完了は 6/28
Google Vault の保持ルールが優先される設計のため、コンプライアンス要件下では一時チャット / 削除が制限される

GA4を設置したのに「データはまだありません」が3週間。犯人はAstroの is:inline だった

Source: Zenn | Published: 2026-06-18 16:07 JST

Astro で GA4 が 3 週間ノーデータだった原因が is:inline ディレクティブと JSX テンプレートリテラルの組合せだったとする実体験レポート
HTML 上はタグが見えるのに {...} 部分が文字列として出力され、GA 初期化コードがテンプレ内に閉じ込められ実行されていなかった
修正は is:inline をやめて set:html を使い、バッククォートと波括弧の混在を切り離して素の JS として注入する
構文エラーが出ないため気付きにくく、カスタムイベントも静かに無効化されてしまうのが厄介
デプロイ後はブラウザコンソールで typeof window.gtag と /g/collect の送信を必ず確認するワークフローを推奨

npm view gitHead と time で「GitHubでは修正済みだがnpmには未リリース」を確認する

Source: Qiita | Published: 2026-06-18 21:03 JST

npm audit の警告に対し、GitHub では修正済みだが npm 公開版に未反映というラグを 4 コマンドで検証する手順を解説
npm view <pkg>@<ver> gitHead で公開パッケージ由来のコミットハッシュを取得、リポジトリと突き合わせる
例として @yao-pkg/pkg v6.20.0 の gitHead が 546bbf02... で、esbuild は GitHub では ^0.28.1 に上がっていたが npm 配布は ^0.27.3 のままと判明
npm view <pkg> time --json | jq で各バージョンの公開タイムスタンプを確認し、放置されているかどうかを判定
「最新版バージョン → gitHead → 依存パッケージ → 公開日時」の 4 ステップで npm パッケージの状態を診断できると整理

Epic Gamesが大容量バイナリ対応のバージョン管理システム「Lore」を公開

Source: GIGAZINE | Published: 2026-06-18 16:05 JST

Epic Games がゲーム / エンタメ制作向けのオープンソース VCS 「Lore」を MIT ライセンスで公開
Git LFS なしで画像 / 音声 / 3D モデルなど巨大素材を管理できる「コードと素材の両立」を前提とした設計
ファイルを細分化して保存し変更前後の共通部分を再利用、数 GB ファイルの微修正でも全体再保存と転送を回避
C / C++ / C# / Rust / Go / Python / JavaScript の API / SDK を備え、Windows / macOS / Linux に対応
集中型 VCS のアクセス制御と Git 風ハッシュ識別を融合した混成方式、現状は v0.x のプレ安定版で API / プロトコル変更の可能性あり

iOSのBlink駆動ChromiumブラウザがSafariを30％上回るパフォーマンス

Source: GIGAZINE | Published: 2026-06-18 12:05 JST

Microsoft Edge Web Platform チームが iOS 上で Blink エンジンを動かす試作 Chromium のベンチマーク結果を公開
Speedometer 3.1 で 49.27 対 38.3 と Safari (WebKit) を 28.6% 上回り、JetStream 3 で 13.1%、MotionMark 1.3.1 で 2.1% リード
EU の DMA で 2024 年 3 月から BrowserEngineKit による代替エンジン搭載が許可されたものの、2 年経過しても主要ブラウザの商用版は未登場
BrowserEngineKit 側に技術課題が残っているとされ、開発企業の対応プロセスも重く商用公開を阻んでいる
Google や Mozilla 側も同様に試作段階にとどまり、ユーザーが実機で使える時期は未定