今週（7/27〜7/31）は監視対象で合計 26件 のリリースが確認されました。目立ったのは 実行基盤（ランタイム・コンテナ・フレームワーク）のセキュリティ緊急修正が週の中盤以降に集中 したことです。Nuxt 4.5.1（サーバーサイドRCE）、Docker 29.6.2（BuildKitのコマンドインジェクション）、Node.js 26.5.1（CVE 10件）が立て続けに公開され、稼働中の環境ほど早急な対応が求められる週でした。加えて Nuxt 3 が7月31日でEOL（サポート終了）に到達 し、移行判断のタイムリミットを迎えた点も見逃せません。
週間サマリーテーブル
| 指標 | 月(7/27) | 火(7/28) | 水(7/29) | 木(7/30) | 金(7/31) | 週合計 |
|---|---|---|---|---|---|---|
| Major | 0 | 2 | 3 | 3 | 3 | 11件 |
| Minor | 1 | 1 | 1 | 1 | 1 | 5件 |
| Patch | 1 | 1 | 2 | 1 | 0 | 5件 |
| Prerelease | 1 | 1 | 0 | 0 | 3 | 3+2件 |
| 新規リリース | 3 | 5 | 6 | 5 | 7 | 26件 |
ℹ️ 「Major」件数は取得元（GitHub API）の
releaseType分類に基づく集計値です。実際には Nuxt 4.5.1 / Docker 29.6.2 / Node.js 26.5.1 / 各Astroアダプターなど、多くは既存バージョン系列内のセキュリティ・バグ修正リリースです。番号上のメジャー刷新ではない点にご注意ください。
注目リリース TOP5
Nuxt v4.5.1（緊急セキュリティ）
major扱い frontend — 掲載: 7/28・7/29
「セキュリティリリース」として公開された緊急アップデートです。サーバーサイドRCE、server island の props 経由での不正なコンポーネントインスタンス化、route rule の認可バイパス、server component の DoS、キャッシュ済みページからのクロスユーザーな情報漏洩、開発サーバーでのパス情報開示が修正されています。npx nuxt upgrade --dedupe での即時アップグレードが推奨されます。ロックファイル更新で @nuxt/devtools@3.3.1 も取り込まれ、開発環境限定の別のクリティカルなRCEが修正されます。以前 route rule のアドバイザリ（CVE-2026-53721）向けに更新済みでも、そのリグレッション対処のため本リリースは必須です。cache / swr / isr の route rule 利用時は、アップグレード後に CDN・エッジのキャッシュをパージ してください。
Node.js v26.5.1（緊急セキュリティ）
security language — 掲載: 7/30・7/31
Node.js 26系（Current）に対する緊急セキュリティリリースで、10件のCVE をまとめて修正します。うち High が2件：CVE-2026-56848（http2：スコープ内のRSTストリーム処理）と CVE-2026-58043（permission：radix split ノードへの権限付与回避）。ほか Medium 5件（https のPFX/セッション再利用、sqlite、dns、zlib）、Low 3件（permission / http）を含みます。依存する llhttp も 9.4.3 に更新。26.x を本番運用している場合は速やかに v26.5.1 へ更新してください。
Docker v29.6.2（緊急セキュリティ）
security infra — 掲載: 7/29・7/30
Docker Engine（BuildKit）の複数の脆弱性を修正するリリースです。CVE-2026-15793（バンドルファイルからのGitソースチェックアウトがコマンドインジェクションにつながる恐れ）、CVE-2026-15792（フロントエンドからの不正パラメータで panic）、CVE-2026-15791（LLBのファイル操作の悪用で /tmp の内容が削除される恐れ）が対象。CI/CD で docker build（BuildKit）を多用する環境ほど影響を受けやすく、早めの更新が安心です。
Rails v8.1.3.1（画像処理の破壊的変更）
backend — 掲載: 7/30・7/31
Active Record などコアには変更がなく、Active Storage の画像処理に破壊的変更 が入ったセキュリティ寄りのリリースです。libvips が「unfuzzed（信頼できないコンテンツ専用）」とみなすローダー/セイバーを、起動時に Vips.block_untrusted(true) で無効化します。その結果、BMP・ICO・PSD のバリアント変換や、SVG・JPEG XL・JPEG 2000・Netpbm などの解析が Vips::Error を送出 するようになります。これらの形式を扱うアプリはイニシャライザで個別に再有効化が必要です。更新前に添付ファイルの処理対象形式を確認してください。
Laravel v13.22.0 → v13.23.0（定期マイナー）
backend — 掲載: 7/27（13.22.0）・7/28・7/29（13.23.0）
破壊的変更のない定期マイナーが週前半に続きました。13.22.0 は Str::ucfirst/Str::lcfirst の PHP 8.4 ネイティブ関数最適化、JobReleasedAfterException への例外オブジェクト追加など。13.23.0 は月次ログドライバの追加、Arr::last() の null 処理修正、ImageManager の fromStorage が enum を受け付けるように、SES v2 トランスポートのテナント対応などを含みます。いずれも通常のアップデートサイクルで取り込めば十分です。
EOL / サポート期限情報
- ⚠️ Nuxt 3 — 2026年7月31日にEOL到達：今週最大のEOLトピック。3系（latest 3.21.10）は以降サポート対象外となり、セキュリティ修正も提供されません。Nuxt 4（最新 4.5.1）への移行計画を早急に確定してください。今週のNuxt 4.5.1セキュリティ修正は、3系のままでは受けられない点にも注意です。
- Next.js 15 — EOL 2026年10月21日（残り約3ヶ月）：16系がLTSライン（最新 16.2.12）。TypeScript 7対応も16系に入るため、更新の好機です。
- Kubernetes 1.34 — EOL 2026年10月27日（残り約3ヶ月）：1.35 / 1.36 系が利用可能です。
- 既にEOL済み：Angular 19（2026-05-19）、Node.js 25（2026-06-01）、Django 4.2 LTS（2026-04-07）、Docker 28（2026-05-13）、Rust 1.96（2026-07-09）、Spring Boot 3.5（2026-06-30）など。特に Node.js 25 は今週のセキュリティ修正の対象外のため、26（Current）または 24 / 22（LTS）への移行が必要です。
週間トレンド分析
- 実行基盤のセキュリティ修正が集中：今週は「実行環境そのもの」（Node.jsランタイム、Dockerコンテナ、Nuxtサーバー）の脆弱性修正が中盤〜後半に固まりました。アプリ依存ライブラリより優先度が高く、影響範囲も広いため、稼働環境の棚卸しから着手するのが定石です。
- RCE・コマンドインジェクション系が目立つ：NuxtのサーバーサイドRCE、DockerのBuildKitコマンドインジェクションと、コード実行につながる脆弱性が複数。CI/CDや外部リクエストを受けるサーバーは特に優先度を上げるべき週でした。
- 「major」表示は実態と乖離：チャート上のMajor 11件は多くがAPI分類上の値で、実体はセキュリティ・バグ修正の系列内更新です。番号上のメジャー刷新（例：Next.js 16.0級）は今週ありませんでした。破壊的変更として実務影響が大きいのはむしろ Rails 8.1.3.1（画像処理）です。
- TypeScript 7 普及の助走：Next.js 16.2.12 がTS 7対応をバックポート。エコシステムでは TS
latestが 7.0.2、nextに 7.1.0-dev 系が進行しており、来月以降のTS 7移行を見据えた保守が続いています。
日別ダイジェスト
- 7/27（月）: 3件 — 静かな保守日。Next.js 16.2.12がTypeScript 7対応をバックポート、Nuxt 3のEOLが4日後に接近
- 7/28（火）: 5件 — Nuxt 4.5.1がサーバーサイドRCE含む複数脆弱性を緊急修正
- 7/29（水）: 6件 — NuxtとDockerが同時にセキュリティリリース、BuildKitのコマンドインジェクション対応
- 7/30（木）: 5件 — Node.js 26.5.1がCVE 10件を修正、Rails 8.1.3.1に画像処理の破壊的変更
- 7/31（金）: 7件 — Node.js 26.5.1の解説とNuxt 3が本日EOL到達、Angular 22.1.0など7件
まとめ・来週の注目ポイント
今週の最優先アクションは、実行基盤3点（Node.js 26.5.1 / Docker 29.6.2 / Nuxt 4.5.1）のセキュリティ更新 です。いずれもRCEやコマンドインジェクション、High深刻度のCVEを含み、稼働環境への影響が直接的です。CI/CDでの docker build 利用環境、Node.js 26（Current）本番運用、Nuxtで cache/swr/isr を使うサイトは、まず自環境の該当有無を確認し、Nuxtはアップグレード後のCDN/エッジキャッシュのパージまでをワンセットで実施してください。Rails 8.1.3.1 は破壊的変更のため、Active Storageで画像を扱うアプリはテスト環境での検証を先行させましょう。
来週以降は、Nuxt 3からの移行 が引き続き最大の宿題です（EOL到達済みでセキュリティ修正が止まるため、放置は避けたい）。また Next.js 15 と Kubernetes 1.34 が約3ヶ月後にEOLを控えており、四半期の移行計画に組み込むタイミングです。エコシステムでは Vue 3.6 系のRC進行、TypeScript 7.1 系の開発、Angular 22 系の機能追加が続いており、次期マイナーの動向にも注目です。
データソース: GitHub Releases API, endoflife.date, npm Registry, PyPI AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。