セキュリティ Lodashが大規模なセキュリティ刷新を実施 2026年1月 にリリースされたLodash 4.17.23 は、CVE-2025-134655 _.omitおよび_.unsetにおけるプロトタイプ汚染の問題で、バージョン4.0.0 から4.17.22 のすべてで攻撃者がグローバルプロトタイプのプロパティを削除できる状態でした。今回のリリースは数年 ぶりのセキュリティパッチであり、OpenJS Foundation CNAの支援を受けて新設されたTechnical Steering Committeeと専任のセキュリティトリアージチームが脆弱性の報告・審査・開示プロセスを体系化しました。CIパイプラインの再構築、Node.jsバージョン対応の拡張、Bunランタイムサポートの追加、CodeQL 静的解析の統合、Renovate による依存関係の自動更新、Playwright を用いたブラウザテストの再導入など、インフラ全体が刷新されています。今後はネイティブJavaScriptを活用した内部実装の書き直しや、レガシーランタイムサポートを廃止した新メジャーバージョンのリリースが予定されています。
Read Articlearrow_forward Video · ツーリング 46:27
Stack OverflowとFirefoxは終わったのか？ Wes BosとScott Tolinskiが盛りだくさんのウェブ開発ニュースを振り返ります。Stack Overflowの1日 あたりの質問数はCOVID禍のピーク時の約20万件 から収録時点の321件 まで急落しており、両ホストはAIアシスタントが従来の質問・待機ループを置き換えたことを主因として挙げています。また、新CEOがAI中心の機能へと舵を切ったことでAIを望まないコアユーザー層と衝突するFirefoxのアイデンティティ危機、そして日本のモバイルソフトウェア競争法 に基づきAppleがiOSで代替ブラウザエンジンを許可しなければならなくなった件も取り上げます。ただし2024年 のEUによる同様の義務化でも実際の代替エンジンはゼロだったとホストは指摘しています。そのほか、FFmpegの作者Fabrice Bellardが開発した組み込みマイコン向けJavaScriptエンジン「MicroQuickJS」 、V8 アイソレートを使った自己ホスト可能なCloudflare Workersの代替「Open Workers」 、そしてウェブサイトがLAN機器へのサイレントな接続を試みるのをブロックするChromeの新しいローカルネットワークアクセス許可ダイアログについても紹介しています。
AI_INFOGRAPHICopen_in_full close WATCH_VIDEOarrow_forward Article · 買収 READ TIME: 2m
Astroの未来を支える：Cloudflareによる買収とオープンソース資金 The Astro Technology Company がCloudflare に加わり、フルタイムの従業員全員がCloudflareに移籍してAstroの開発を継続します。Astroは引き続き無償・オープンソース・MITライセンスのままです。プロジェクトはこれまでにメンテナーとコミュニティ貢献者に対して合計50万ドル以上 のオープンソーススポンサーシップを配布しており、コアメンテナーの半数以上がコミュニティ貢献者です。スポンサーシップによる資金は、ドキュメントの主導、Starlight ドキュメントフレームワークの開発、フォント最適化の追加、型安全な環境変数の設計、14 言語にわたる翻訳管理、Volar ・Expressive Code ・ESLint統合などの主要なエコシステムプロジェクトの支援に活用されてきました。Cloudflareに所属しないコミュニティメンテナーは、引き続きOpen Collective とGitHub Sponsors を通じて支援を受けます。
READ_FULL_LOGarrow_forward Article · AI READ TIME: 3m
AIスロップ報告に溺れたcURL、バグバウンティを終了 cURLの創設者・主任開発者であるDaniel Stenberg は、AI生成の低品質な報告書、いわゆる「AIスラップ」 の氾濫を理由に、2026年1月 末をもってバグバウンティプログラムを終了すると発表しました。The New Stackの取材に対してStenbergは、報告書の品質が「急落」 しており、明らかにAI生成とわからない報告書でもAI補助の疑いが高いと述べ、事実上メンテナーの審査能力がDDoS攻撃を受けている状態だと説明しました。2025年5月 にはHackerOne経由でAIスラップを提出した研究者を即座にBanしており、「AIを使って作成された有効なセキュリティ報告を一件 も受け取っていない」と述べていました。一方で同年9月 、Joshua Rogersによる高品質なAI補助の大量報告は高く評価しており、無差別なAI提出と適切なAI活用によるセキュリティ調査を明確に区別しています。cURLのAI利用規則を遵守した誠実な報告は引き続き歓迎するとも強調しています。
READ_FULL_LOGarrow_forward Article · 買収 READ TIME: 6m
プラットフォーム企業がフロントエンドフレームワークチームを買い続ける理由 Cloudflare によるThe Astro Technology Company の買収は、プラットフォーム企業がフロントエンドフレームワークチームを継続的に取り込んできた流れの最新事例です。2021年 にVercelがSvelteのRich Harrisを採用したのを皮切りに、2022年 にShopifyがRemixを、2023年 にNetlifyがGatsbyを、2025年 にVercelがNuxtLabsを買収するという流れが続いています。CloudflareがAstroに注目した背景には、CDN事業を起点とする高速なウェブ実現の使命があり、Astroのゼロ・JavaScript・バイ・デフォルト方針とアイランドアーキテクチャ が、重厚なReactベースのスタックへの有力な対抗軸となっています。Astroの創業者Fred Schottは、フレームワークがMITライセンスの下で無償かつオープンソースのまま維持されると確認しました。一方、記事はNetlifyによるGatsbyの買収を教訓的な事例 として紹介しており、約束にもかかわらず2023年 末までに共同創業者が相次いで離脱し、Gatsbyは事実上メンテナンスモードへと移行したことを指摘しています。
READ_FULL_LOGarrow_forward Article · セキュリティ READ TIME: 3m
開発者がVS Codeの脆弱性でAIエージェントを再プログラムできると実証 アプリケーションセキュリティ専門家のIsaac Lewis は、Oasis Security が最初に特定し、SANS Technology Institute が報告したVS Code のゼロクリックエクスプロイトを使用することで、開発者のマシン上にあるすべてのコードリポジトリのAIエージェントをサイレントに再プログラムできることを実証しました。この攻撃は悪意のあるtasks.jsonファイルを利用し、フォルダを開くだけで自動実行されます。Lewisは、.cursorディレクトリに保存されているCursorの自然言語AIエージェントのルールを、開発者に何ら気づかれることなく上書きできることを示しました。2025年10月 のSonar調査で企業の31% が使用しているVS CodeフォークのCursorでは、Oasisが推奨する緩和策を適用するとAI機能自体が無効になってしまいます。Lewisはこのエクスプロイトが隣接するリポジトリへ横方向に拡散し、侵害されたAIツールを通じてキーやシークレット、証明書などの機密情報を窃取する「分散型持続的脅威」 を形成し得ると警告しています。現時点での唯一の緩和策は、Workspace Trustを有効にし、VS CodeまたはCursorの外部でtasks.jsonファイルを直接確認することです。
READ_FULL_LOGarrow_forward Article · セキュリティ READ TIME: 9m
JavaScriptのプロトタイプ汚染：CVE-2025-13465徹底解説 CVE-2025-13465 Lodash バージョン4.0.0 〜4.17.22 の_.omitおよび_.unsetにおけるプロトタイプ汚染の脆弱性です。巧妙に細工されたパス文字列によってObject.prototypeなどのグローバルプロトタイプのプロパティが削除され、ランタイムクラッシュやサービス拒否（DoS）を引き起こす可能性があります。従来の__proto__ベースのインジェクションとは異なり、この脆弱性はLodashのパストラバーサルAPIを直接悪用するため、既存のドキュメント化された動作を維持しながら一律のサニタイズ処理を適用することが困難でした。4.17.23 のパッチはコンテキスト対応のパス評価を採用__proto__は対象オブジェクトの直接プロパティである場合のみ許可し、ルートがプリミティブでない場合はconstructor.prototypeの走査をブロックします。記事ではJavaScriptのプロトタイプチェーンの仕組みも解説しており、Lodash 5 では複雑なレガシーパスセマンティクスを廃止することでさらなる簡潔な修正が実現できるとも述べられています。
READ_FULL_LOGarrow_forward summarize Digest_Summary
今週最も緊急性の高い話題はセキュリティです。Lodash がバージョン4.17.23 でCVE-2025-134655 この脆弱性は_.omitと_.unsetのプロトタイプ汚染問題で、バージョン4.0.0 から4.17.22 の全バージョンに影響し、攻撃者がObject.prototypeを含むグローバルプロトタイプのプロパティを削除してランタイムクラッシュやサービス拒否を引き起こすことができました。Ulises Gascón の詳細な解析は、なぜ修正が一律のサニタイズではなくコンテキスト対応のパス評価を必要としたかを説明しています。__proto__の走査を完全にブロックすると、文書化された正常な動作が壊れるためです。構造的にLodashには今後、Technical Steering Committee、OpenJS Foundation CNAの支援を受けた専任のセキュリティトリアージグループ、再構築されたCIパイプライン、CodeQL 静的解析、Playwright ブラウザテストが整備されています。Lodash 4.0.0 〜4.17.22 を使用中のプロジェクトは直ちに4.17.23 へアップグレードする必要があります。
オープンソースエコシステムへのセキュリティ圧力はさらに広がっています。Daniel Stenberg は、AI生成の低品質な報告書「AIスラップ」 がメンテナーのレビュー能力を事実上DDoS攻撃する状況になったとして、cURL が2026年1月 末にHackerOneのバグバウンティプログラムを終了すると発表しました。Stenbergは無差別なAI提出と高品質なAI補助の研究（2025年9月 のJoshua Rogersの報告を高く評価）を明確に区別しています。一方、セキュリティ研究者のIsaac Lewis は、フォルダを開くだけで自動実行される悪意のあるtasks.jsonを利用したVS Code のゼロクリックエクスプロイトを実証しました。このエクスプロイトは.cursorディレクトリに保存されたAIエージェントのルールをサイレントに上書きし、マシン上の全リポジトリへの横方向拡散リスクを持ちます。
先週初めて報告されたCloudflare–Astroの買収は引き続き分析を生み出しています。The New Stack はこれをプラットフォーム企業によるフレームワークチーム買収というパターン — Vercel/Svelte（2021 ）、Shopify/Remix（2022 ）、Netlify/Gatsby（2023 ）、Vercel/NuxtLabs（2025 ） — の文脈で位置づけています。Gatsby買収は教訓的な事例です。初期の約束にもかかわらず両共同創業者が2023年 末に相次いで離脱し、プロジェクトはメンテナンスモードへと移行しました。Syntax ポッドキャストは、Stack Overflowの1日 あたり質問数がCOVID禍のピーク時の約20万件 から収録時の321件 へ急落した事実、新AI重視CEOによるFirefoxのアイデンティティ危機、日本のモバイルソフトウェア競争法に基づきAppleがiOSで代替ブラウザエンジンを許可しなければならなくなった件を、パノラマのように取り上げています。
Key Takeaways Lodash 4.17.23 がCVE-2025-134655 のプロトタイプ汚染脆弱性を修正しました。バージョン4.0.0 〜4.17.22 を使用しているプロジェクトは直ちにアップグレードが必要です。 cURLのバグバウンティプログラム終了とVS Codeのtasks.jsonエクスプロイトは、AIがオープンソースのセキュリティレビューパイプライン全体に新たな攻撃面を生み出していることを同時に浮き彫りにしています。 Cloudflare/Astroの買収はプラットフォーム統合の流れをさらに深め、Gatsbyの前例はコーポレートによる買収後もオープンソースの約束を継続的に検証する必要があることを具体的に示しています。 
