Harry RobertsはpreloadヒントがTBT Windowを静かに拡大してTotal Blocking Timeスコアを膨らませる仕組みを明らかにし、Addy OsmaniはCodexやClaude Codeを使ったloop engineeringには開発者の判断がより少なくではなくより多く求められると主張しました。
Vite、Rolldown、OxcのチームであるVoidZeroがCloudflareに加わり、cross-document View TransitionsがChrome、Edge、Safariに登場し、マルチページアプリで純粋なCSSページアニメーションが実現しました。
6月初旬にnpmサプライチェーン攻撃が相次ぎました。Miasmaワームは新たなPhantom Gyp手法で57パッケージを侵害し、@redhat-cloud-servicesパッケージは自己拡散型クレデンシャルハーベスターを配布していました。
AtlassianのHardik Pandyaはデザインシステムをai-readyにするMarkdown spec・design token・audit scriptの3層アプローチを提示し、NNGはAIが生み出した4つの新しいデザイン職種を整理しました。
Ability Summit 2026でGitHubやDequeのパネリストたちはPR段階でのアクセシビリティ修正はすでに遅すぎると主張しています。新しいAxe Aggregate ReporterツールはPlaywrightのaxe-core結果を一つの共有レポートに集約します。
Express.jsがmultipartyの深刻なDoS脆弱性3件をパッチしました（直ちに4.3.0へアップグレードを）。Astro 6.4はRust製プロセッサーSätteriを含む差し替え可能なMarkdownパイプラインを導入し、ビルド時間を1分以上短縮します。
Chrome 148がJavaScriptなしで順不同なHTMLストリーミングを実現するDeclarative Partial Updatesを実験中で、Google I/O 2026ではWebサイト機能をエージェントから呼び出せるツールAPIとして公開するWeb MCPが発表されました。
CrowdStrikeがVS Code拡張機能をトロイの木馬化して300以上のGitHubリポジトリから開発者の認証情報を盗んでいたサプライチェーン攻撃GlassWormを撲滅しました。DeepSeekはV4-Proの価格を75%引き下げ、AI価格競争をさらに激化させています。
CSS contrast-color()がChrome・Firefox・SafariでBaseline Newly Availableに達し、JavaScriptなしでアクセシブルな自己補正カラーパレットを実現できるようになりました。@scopeとNo-Vary-Searchキャッシング手法も注目です。
Addy Osmaniが並列AIエージェントを制限するシリアルボトルネックとしての人間の判断、「オーケストレーション税」を定義し、Evil MartiansはAIアシスト型ワークフローが知覚される作業量を増大させて開発者のバーンアウトが深刻化していると分析しました。
Deno 2.8が6つの新サブコマンドとNode.js API互換性76%を達成する一方、CVE-2026-23870のパッチにより、ReactのFlightプロトコルデシリアライザーがすべてのNext.js App Routerアプリに未認証DoSエンドポイントを生成することが明らかになりました。
48時間で5件のサプライチェーン攻撃が相次ぎました。@antv数百パッケージを侵害したMini Shai-Hulud npmワームと220万インストールのNx Console VS Code拡張機能への毒入れが含まれ、IDEからCI/CDまで開発パイプライン全体が脆弱であることが露呈しました。
