今週（8/31〜9/4）のOSSリリースは合計 19件（メジャー1・マイナー4・パッチ9・プレリリース5）でした。週の主役は Next.js。月曜に未認証RCE（Critical 2件）を塞ぐ緊急セキュリティ版 16.3.3 が出て、その修正過程で一時無効化された AVIF画像最適化を復活させる 16.3.4 が水曜以降に続く、という「緊急修正→フォローアップ」の流れが週前半を占めました。週後半は Terraform 1.16.1・Rust 1.98.1・Astro 7.3.1 と、運用中に踏みやすい不具合を潰すバグ修正リリースが立て続けに登場。派手なメジャーアップデートはない一方で、「入れておかないと事故る」タイプの修正が多い一週間でした。
週間サマリーテーブル
| 指標 | 月 | 火 | 水 | 木 | 金 | 週合計 |
|---|---|---|---|---|---|---|
| Major | 0 | 0 | 0 | 1 | 0 | 1件 |
| Minor | 1 | 0 | 1 | 1 | 1 | 4件 |
| Patch | 2 | 1 | 2 | 1 | 3 | 9件 |
| Prerelease | 0 | 0 | 0 | 2 | 3 | 5件 |
| 合計 | 3 | 1 | 3 | 5 | 7 | 19件 |
ℹ️ 上記は各日報の掲載件数を合算したものです。Next.js 16.3.4 や Terraform 1.16.1 のように複数日にまたがって掲載されたリリースは重複して計上されています。個別のリリース実体としては、Next.js（16.3.3 / 16.3.4）・Terraform 1.16.1・Rust 1.98.1・Astro 7.3.1・Laravel（13.30.0 / 13.30.1）・Svelte 5.57.0・Docker 29.7.2・@astrojs/react 6.0.5・create-vite 9.2.0・Angular 22.1.5 が今週の主な対象です。releaseType のタグ揺れ（同一リリースが日により patch / prerelease / major と表記される）は取得元 dist-tag の状況によるもので、本記事では内容ベースで解説しています。
注目リリース TOP5
Next.js v16.3.3 — 未認証RCE（Critical 2件）を塞ぐ緊急セキュリティ版
リリースタイプ: patch（security） / 掲載日: 8/31（月）・9/1（火）
今週最重要のリリースです。Next.js v16.3.3 は、いずれも 認証不要（unauthenticated）で悪用可能なリモートコード実行 の Critical アドバイザリ2件を修正しました。
- Windowsホスト環境での未認証RCE（GHSA-p293-qw3h-jr36）
- 画像最適化API（AVIFファイル利用時）の未認証RCE（GHSA-2xp9-vwfh-vxw4）
とくに「Windows上でNext.jsサーバーをセルフホスト」または「next/image の画像最適化でAVIFを扱っている」構成は影響が大きいため、系列を問わず最優先での適用が推奨されます。セキュリティ修正のみで破壊的変更はなく、同じ 16.3 系のパッチとして取り込めます。
Next.js v16.3.4 — 16.3.3で止まったAVIF最適化を再有効化
リリースタイプ: patch / 掲載日: 9/2（水）・9/3（木）・9/4（金）
Next.js v16.3.4 は 16.3.3 のフォローアップです。16.3.3 はRCE修正の過程で AVIF 画像最適化を一時的に無効化しており、16.3.4 はセキュリティ修正を維持したまま AVIF最適化を安全に復帰（#97949）させています。あわせて testmode の passthrough fetch 無限再帰修正（#97691）、TypeScript エイリアス時のビルドエラー修正（#97997）、Turbopack マニフェストの crossOrigin 未設定修正（#97930）もバックポート。16.3.3を適用済みでAVIF最適化を使うチームは、最適化が止まったままの可能性があるため、16.3.4 への追随がおすすめです。
Terraform v1.16.1 — import時のpanicと取りこぼしを修正
リリースタイプ: minor / 掲載日: 9/3（木）・9/4（金）
Terraform v1.16.1 は 1.16 系初のバグ修正リリース。for_each/count を使った設定で複数の import が異なるインスタンスを対象にすると import ブロックが無視される不具合（#39068）、sensitive value 参照時や state show への属性パス指定時の panic（#39013・#39087）、run task 失敗後にCLIが無限停止する不具合（#38751）などを修正しています。IaC運用で踏みやすい落とし穴が多く、1.16系利用者は早めの追随が安心です。
Rust 1.98.1 — vtable生成のミスコンパイルを修正
リリースタイプ: patch / 掲載日: 9/4（金）
Rust 1.98.1 は 1.98 系のポイントリリースで、rustc における vtable 生成時のミスコンパイル修正が唯一かつ最大の変更点です（rust-lang/rust#161441）。vtable はトレイトオブジェクト（dyn Trait）の動的ディスパッチに使われるため、生成に問題があると実行時に想定と異なる関数が呼ばれるなど追跡困難な不具合につながり得ます。新機能・破壊的変更はなく、1.98.0 でビルドしているプロジェクトは念のため 1.98.1 でリリースビルドを取り直しておくのがおすすめです。
Astro 7.3.1 — astro:assetsの起動/ビルド不能を修正
リリースタイプ: patch / 掲載日: 9/4（金）
Astro 7.3.1 は、astro:assets を使うプロジェクトが起動・ビルドできなくなる不具合を修正したパッチです（withastro/astro#17899）。astro:assets は画像最適化まわりで広く使われるため、7.3.0 で astro dev や astro build が止まってしまったチームに直接効きます。破壊的変更はなく、通常のパッチ適用として取り込めます。
EOL / サポート期限情報
今週の日報で複数回言及された、サポート期限まわりの情報を集約します。
3ヶ月以内にEOLを迎える主要バージョン（要移行計画）:
| 製品 | バージョン | EOL日 |
|---|---|---|
| Next.js | 15 | 2026-10-21 |
| Kubernetes | 1.34 | 2026-10-27 |
| Python | 3.10 | 2026-10-31 |
| PostgreSQL | 14 | 2026-11-12 |
| Angular | 20 | 2026-11-28 |
とくに Next.js 15 は約1ヶ月半後にEOL。今週の 16.3.3 セキュリティ修正の適用とあわせて、16系への移行計画を意識したいタイミングです。
直近ですでにEOLを迎えたバージョン:
- Nuxt 3（2026-07-31）／ Go 1.25（2026-08-19）／ Rust 1.97（2026-08-20）／ Terraform 1.14（2026-08-26）
今週リリースのあった Rust・Terraform は、いずれも旧安定版（1.97 / 1.14）が直近でEOL済みです。該当バージョンで運用中なら、後続の安定版（Rust 1.98系、Terraform 1.15/1.16系、Go 1.26/1.27、Nuxt 4）への移行を検討してください。
日別ダイジェスト
- 8/31（月）: 3件 — Next.js 16.3.3 Critical RCE 2件を修正した緊急セキュリティ版が目玉（ほか Svelte 5.57.0 の新機能、Docker 29.7.2 のリグレッション修正）
- 9/1（火）: 1件 — Next.js 16.3.3 の未認証RCE修正を影響条件つきで詳報
- 9/2（水）: 3件 — Next.js 16.3.4 でAVIF画像最適化が復活、Laravel 13.30.0（@astrojs/react 6.0.5 は依存更新のみ）
- 9/3（木）: 5件 — Terraform 1.16.1 でimport時のpanic・取りこぼしを修正（Laravel 13.30.1、create-vite 9.2.0 ほか）
- 9/4（金）: 7件 — Rust 1.98.1 のvtableミスコンパイル修正、Astro 7.3.1 のビルド不能修正（Angular 22.1.5、Next.js 16.3.4 ほか）
まとめ・来週の注目ポイント
今週を一言でまとめると、「緊急セキュリティ修正から始まり、地味だが実務に効くバグ修正で締めくくった週」 でした。最優先はやはり Next.js 16.3.3 の未認証RCE対応で、Windowsセルフホストや next/image のAVIF最適化に該当する環境はまだ未対応なら早急に。その際、16.3.3 単体だとAVIF最適化が止まったままになる点に注意し、16.3.4 までセットで適用するとフォローアップの取りこぼしを防げます。週後半の Terraform 1.16.1・Rust 1.98.1・Astro 7.3.1 は、いずれも「該当構成で運用していると事故につながりやすい」修正が中心のため、対象のスタックを使っているチームは通常のアップデートサイクルの中で早めに取り込んでおくと安心です。
来週は、Next.js の canary が 16.4系で進行中である点、Prisma 8 系がRC段階（8.0.0-rc.12）で latest 昇格待ちである点が動きどころです。あわせて、10月下旬に迫る Next.js 15・Kubernetes 1.34・Python 3.10 のEOLに向けて、移行対象の棚卸しを進めておくとよいでしょう。
データソース: GitHub Releases API, endoflife.date, npm Registry, PyPI AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。