Cloud Infrastructure & Platform Engineering / Generative AI / Three Dogs Labs代表 / 韓ドラ好き "We believe in rough consensus and running code." — David Clark
Tokyo, Japan
Joined March 2007
- Tweets11.7K
- Following2.5K
- Followers816
- Likes27.6K
オライリー・ジャパンから『マイクロフロントエンド 第2版』が10月27日に発売される。
著者はDAZNでアーキテクトを務めたLuca Mezzaliraさんで、408ページ、5,060円とのこと。
マイクロフロントエンドの考え方や利点と注意点、導入するかどうかを判断するコツを実践的に解説しているという。
クライアントサイド、エッジサイド、サーバーサイドでの組み立て方や、Next.jsマルチゾーン、モジュールフェデレーション、テストやデプロイの自動化まで扱っている。
Zalando、Netflix、PayPal、BMWなどの導入例も載っていて、サンプルコードはGitHubで公開されているとのこと。
フロントエンドを複数のチームで分けて開発したい人は、自分たちに合う分け方を具体的にイメージしやすくなる。
#マイクロフロントエンド #フロントエンド #オライリー #技術書
oreilly.co.jp/books/97848144…
Cloudflare Connectで、AIでアプリをつくれるLovableが、7,000万本のアプリをCloudflareでどう動かしているかを話したという。
アプリはサーバー側で描画していて、Dynamic Workers、Workers KV、TanStack Startを組み合わせているとのこと。
Dynamic Workersは、実行するときに渡したコードからWorkerをその場で数に制限なく立ち上げ、隔離された環境で動かせる仕組み。
信頼できないコードを安全に動かすための、コンテナより軽い代わりとして案内されていて、AIが生成したアプリやプレビューを動かす用途も挙がっている。
話では、自分たちで自社のサービスを使い込むことの大切さにも触れたという。
ユーザーがつくったアプリを大量に動かすサービスを考えている人には、構成の参考になりそう。
#Cloudflare #CloudflareWorkers #Lovable #TanStack
xitter.cf/CloudflareDev/status/2…
@FabianHedin sharing how @Lovable scaled to 70M apps (rendered server-side) using Dynamic Workers, KV, and TanStack Start + the importance of dogfooding
Xcode 27でSimulator.appがなくなり、Device Hubという新しいアプリに置き換わったことに、Expoが対応した。
これまではnpx expo startで「i」を押しても何も起きず、UDIDを調べて手でシミュレーターを起動する人が多かったという。
今のExpo CLIはDevice Hubを見つけてシミュレーターを起動し、devices://のディープリンクで目当ての端末を前に持ってくるので、前と同じように動くとのこと。
SDK 58では、devicectlに並ぶシミュレーターを実機と取り違えてexpo run:iosが失敗する問題も直っていて、SDK 56と57のCLIにもDevice Hubへの対応が入っている。
あわせて、ブラウザで端末を操作できるexpo-device-hubも登場し、iOSシミュレーターとAndroidエミュレーターの映像を見ながらタップやスワイプ、入力ができる。
起動と終了、アプリが動いている間のCPU・メモリ・通信のグラフ、ダークモードやLiquid Glass、文字サイズの切り替えもブラウザからでき、SDK 57以降で使えるMITライセンスのツールだという。
Xcode 27に上げてシミュレーターが開かなくなった人は、まずSDKやCLIを上げて試してみたい。
#Expo #ReactNative #Xcode #iOS
expo.dev/blog/xcode-27-devic…
Vercel FunctionsのWebSocket対応が、米国時間10/20にGAになった。
6月下旬に公開ベータが始まってから、Vercel CDNはWebSocketの接続を3億回さばき、今は1日に1,500万回の接続を受けているという。
使われ方はAIチャットやストリーミング、リアルタイムで遊ぶマルチプレイヤーのアプリなどで、AI Gatewayのリアルタイム向けモデルの裏でも動いているとのこと。
WebSocketの接続も、ほかのFunctionの呼び出しと同じ制限と料金で、Active CPUの料金ならメッセージを処理している間だけCPUに課金される。
つなぎっぱなしで待っている時間はCPUの料金がかからないので、チャットのような常時接続のアプリをVercelだけで組みやすい。
#Vercel #WebSocket #Nextjs #開発
vercel.com/changelog/websock…
BuildkiteのMCPサーバーv1.29.0が米国時間10/20に公開され、AIエージェントに渡す権限をより細かく絞れるようになった。
ローカルのサーバーで--minimum-accessを付けると、read_builds、read_pipelines、read_userの範囲で使える読み取り専用のツールだけに絞られるという。
--read-onlyと違い、追加の権限が要る読み取りも外し、HTTPのヘッダーから緩めることもできないとのこと。
新しいretriesのツールセットでは、ビルドやジョブ、ログを調べて失敗したジョブを再実行するところまでを、write_buildsなしでできる。
ビルドの作成やキャンセルなどは見せないので、失敗の調査と再実行だけをエージェントに任せたいときに向いている。
ほかにも、テストの不安定さのスコアを返すようにしたり、失敗の要約でスタックトレースよりエラーメッセージを優先したりと、原因を探しやすくする変更が入っている。
CIをエージェントに触らせるのが不安だった人は、まずminimum-accessで読み取りだけ任せてみると始めやすい。
#Buildkite #MCP #CICD #AIエージェント
github.com/buildkite/buildki…
CircleCIで、米国時間10/20に2つの更新があった。
1つはOIDCトークンの3つ目のバージョン（V3）で、ジョブでは$CIRCLE_OIDC_TOKEN_V3として、これまでのV1、V2と並んで使えるという。
V3のsubには、コードをどこからチェックアウトしたかと、パイプラインの設定がどこから来たかが入り、区切りは「/」ではなく「:」に変わったとのこと。
ブランチ名には「/」を含められるので、ワイルドカードで照合したときになりすましに使われるおそれがあったためだという。
V1とV2はそのままなので今のポリシーは動き続けるが、V3ではpipeline-idの意味がパイプラインの実行からパイプラインの定義に変わるので、切り替える前にポリシーを直す必要がある。
もう1つは、Container RunnerとMachine Runnerを修正済みのGoで作り直し、鍵が漏れたeMudhraとComodo AAAのルート認証局を信頼しないようにしたもの（CVE-2026-111943）で、全員にアップグレードを勧めている。
セルフホストのRunnerを使っている人はまず3.1.14に上げて、OIDCでクラウドに入っている人はV3のsubでブランチの条件を絞れるか見ておくと安心。
#CircleCI #CICD #OIDC #セキュリティ
circleci.com/changelog/oidc-…
GitHubのDependabotまわりで、米国時間10/20に2つの更新があった。
1つは、DependabotアラートのREST APIで、依存関係のdependencyにversion_requirementという項目が加わり、リポジトリで実際に使っているバージョンがわかるようになったこと。
これまでは脆弱なバージョンの範囲しか返らず、手元のバージョンを知るにはlockfileを読んだりGraphQLを別に呼んだりする必要があったという。
lockfileがあれば解決済みのバージョン、なければマニフェストに書いた制約、依存関係の送信APIなら送ったバージョンが入り、Webhookのdependabot_alertにも含まれるとのこと。
もう1つは、npm 12、pnpm 11と12、Bun 1.4に対応したことで、これらに上げてもDependabotの更新を受け取り続けられる。
どちらもgithub.comで使えて、GitHub Enterprise Server 3.24にも入る予定なので、アラートを別のセキュリティツールに同期している人は連携の処理を簡単にできそう。
#GitHub #Dependabot #npm #セキュリティ
github.blog/changelog/2026-1…
GitHubで、リポジトリのブランチ保護ルールをまとめてrulesetsへ移せるようになったと、米国時間10/20に案内があった。
これまでは1つずつ変換する必要があったが、リポジトリのSettingsのRulesetsから「Import branch protection rules」を選べば一度に移せるという。
確認の画面では、作られるrulesetsを先に見られるほか、既存のrulesetsで済んでいるルールや、元の動きを保つために1つのルールが複数のrulesetsに分かれる場合も確かめられるとのこと。
ActiveやEvaluateなどの適用状態を選んで作り、元のブランチ保護ルールを残すか消すかもその場で決められる。
rulesetsは複数のブランチにパターンでまとめてかけたり、重ねて細かく制御したり、会社やEnterprise単位で管理したりできる。
ブランチ保護が増えて管理が大変になっているリポジトリは、まずEvaluateで動きを確かめてから切り替えると安心。
#GitHub #Git #開発
github.blog/changelog/2026-1…
GitHubのsecret scanningで、監査ログの中身が11/12から変わると、米国時間10/20に案内があった。
secret_scanning_alert.*とsecret_scanning_push_protection.bypassのイベントで、businessの値がEnterpriseの表示名からslugに切り替わるという。
表示名で絞り込んでいる連携は、それより前に両方の形を受け付けるか、business_idを使うように直しておくよう勧めている。
値は文字列のままで、イベント名とbusiness_idの数値は変わらないとのこと。
あわせて、エンコードされたGitHubトークンの失効にも対応し、Base64でエンコードされたPATやOAuthトークンも自動で読み解いて無効にできるようになった（公開プレビュー）。
監査ログをSIEMなどに流してアラートを組んでいる人は、11/12までに条件を見直しておくと止まらずに済む。
#GitHub #セキュリティ #監査ログ
github.blog/changelog/2026-1…
GitHubが、パッケージのファイアウォール機能を米国時間10/20に公開プレビューで提供し始めた。
最近は、パッケージのコードを動かさなくても、インストールした時点でCI/CDの環境や開発者のPCから認証情報を抜き取るマルウェアが増えているという。
ファイアウォールはActionsのランナーやコーディングエージェントと、パッケージの配布元との間に入り、メタデータの問い合わせとダウンロードの両方をポリシーと照らし合わせて調べるとのこと。
管理者は、公開されてからしばらく入れないようにする猶予期間、GitHub Advisory Databaseのマルウェアや脆弱性の情報、署名による証明（attestation）の格下げといったチェックを設定できる。
誤ってブロックされたときは、例外を申請する流れも用意されている。
対象はGitHub Enterprise Cloud（データ所在地を選べるものも含む）で、今はnpmだけに対応し、プレビュー中は無料、GA後はActionsと同じく使った分だけの課金になる予定。
npmのサプライチェーン攻撃が心配な会社は、プレビューのうちにCIやエージェントの通り道へ入れて試しておくと、本番に向けた設定を詰めやすい。
#GitHub #npm #サプライチェーン #セキュリティ
github.blog/changelog/2026-1…
インドの認証局eMudhraの中間証明書8枚で秘密鍵が漏れた件について、GoogleとMozillaがそれぞれ対応をまとめた。
鍵をつくるときの乱数が足りず、どのサイトにもなりすませるHTTPS証明書をつくれる状態だったという。
Chromeは米国時間10/17のうちに対象の鍵をブロックし、更新や再起動なしで守られるようにした。Androidにも10/19（月）に同じ対策を配っているとのこと。
Firefoxも報告から3時間足らずで標準設定の全ユーザーに配り終え、設定によって届かなかった人向けに158.0.1とESRの更新も出している。
さらにChromeは、元になったルート証明書「emSign ECC Root CA - G3」を信頼リストから外し、米国時間10/27の朝（日本時間だと10/28）から全端末に広がる予定だという。
このルートにつながる証明書を使っているサイトはChromeでつながらなくなるので、運営している人は早めに別の認証局の証明書へ切り替えておきたい。
#セキュリティ #証明書 #Chrome #Firefox
blog.google/security/protect…
PHPのセキュリティチームが、緊急のセキュリティリリースを予告した。
公開は10/21の14:00（UTC）予定で、日本時間だと今夜23時にあたる。
直すのは深刻な脆弱性2件で、どちらもCVSS v4.0で9.2とのこと。
影響するバージョンや修正バージョン、詳しい内容は、リリースと同時に公開されるという。
脆弱性の詳細が外に漏れたり、実際の悪用が見つかったりした場合は、予定より早めることもあるとしている。
今の最新は8.5.11、8.4.26、8.3.35、8.2.34なので、PHPを使っているサーバーは、今夜すぐ上げられるように手順と担当を決めておくと慌てずに済む。
#PHP #セキュリティ #脆弱性
php.net/
AWSが米国時間10/20に、オープンソースの個人向けAIエージェントKiro Crewの脆弱性CVE-2026-112380を公表した。
Kiro CrewはWebのダッシュボードやCLI、WhatsAppなどから呼び出せて、運用している人のマシンでツールを動かすエージェントだという。
WhatsAppのグループを許可リストに入れていたり、DMの設定をopenにしていたりすると、そのグループのメンバーが別のセッションのサブエージェントに指示を送れたとのこと。
指示はそのセッションの承認設定のまま運用者のマシンで実行され、監査ログも実際の送り主ではなく運用者のものとして残っていたという。
既定の設定（グループは空、DMはself）なら影響はなく、影響するのは0.4.0以上0.7.2未満で、0.7.2で修正されている。
すぐ上げられない場合は、whatsapp.groupsを空にしてdm_policyをselfに戻すか、WhatsAppのチャネルを止めておくと防げる。
#AWS #Kiro #AIエージェント #セキュリティ
aws.amazon.com/security/secu…
AWSが米国時間10/20に、サンプルアプリCICD-toolchain-for-serverless-applicationsの脆弱性CVE-2026-112407を公表した。
AWS Serverless Application Repositoryからサーバーレスアプリ用のCI/CDパイプラインを用意するサンプルで、IAMポリシーの権限の割り当てに不備があったという。
アプリのソースリポジトリにpushできるユーザーなら、パイプラインがデプロイするテンプレートを通じて権限を広げ、同じAWSアカウント内でアプリのスタック外のリソースまで見たり変えたりできるとのこと。
影響するのは1.0.7から1.0.10までで、1.0.11で修正されていて、回避策はない。
既存のツールチェーンのスタックを1.0.11以降に上げ、フォークや派生したコードにも修正を取り込むよう勧めている。
サンプルをもとに自前のパイプラインを組んだ人は、IAMポリシーが同じ形のまま残っていないか見直しておきたい。
#AWS #セキュリティ #脆弱性 #CICD
aws.amazon.com/security/secu…
Chrome 156が米国時間10/20に安定版になり、Windows、Mac、Linux向けに数日から数週間かけて配信されるという。
バージョンはLinuxが156.0.8078.47、WindowsとMacが156.0.8078.47/.48で、セキュリティの修正は353件と多い。
そのうちCriticalは6件で、Skia、アクセシビリティ、CSS、描画、WebRTCでのメモリ破損や解放後使用が並ぶ。
報告者には、Claudeの支援を受けたAnthropicの研究者やOpenAI Codex Securityの名前もあり、AIを使った脆弱性探しが成果を上げているのが見て取れる。
発表では悪用が確認されたとの記載はないが、件数が多いので、自動更新を待たずにChromeを再起動して更新しておきたい。
#Chrome #セキュリティ #脆弱性
chromereleases.googleblog.co…
FBI、CISA、米シークレットサービスに、ドイツと英国の捜査機関も加わって、ランサムウェアグループSafePayについての共同勧告（AA26-293A）を出した。
SafePayは2024年8月から活動していて、北米、南米、欧州、オーストラリアで少なくとも600の被害者が出ており、2026年に最も活発なグループの一つだったという。
侵入はパスワードの漏えいや総当たり、フィッシングで奪ったアカウントでVPNに入る手口が中心で、境界機器の既知の脆弱性5件（CVE-2020-3259、CVE-2023-20269、CVE-2023-27532、CVE-2024-40711、CVE-2024-40766）も使われているとのこと。
中に入るとアカウントを作ったり乗っ取ったりし、正規のツールで横に広がり、防御を止めてから暗号化して暗号資産で身代金を求めるという。
勧告では、ファイアウォールなど境界機器のパッチ、管理ツールと権限の絞り込み、多要素認証を優先するよう呼びかけていて、侵害の痕跡（IOC）もSTIX形式で配っている。
VPNや境界機器を自社で運用している会社は、挙がったCVEに当てはまる機器がないかを先に確かめておくと安心。
#セキュリティ #ランサムウェア #CISA #StopRansomware
cisa.gov/news-events/cyberse…