[Update] MBC CQRS サーバーレス フレームワーク v1.6.0 をリリース
Technology
Nov 03, 2026
MBC CQRS サーバーレス フレームワーク v1.6.0 をリリースしました。今回のリリースでは、Node.js に同梱されている Brotli デコーダーのリモートコード実行の脆弱性 CVE-2026-111497（Node2Shell）への対応として、すべてのパッケージで Node.js 22 以降が必須になりました。あわせて、本番依存関係の High / Critical の脆弱性を解消しています。アプリケーションの公開 API（クラスやメソッドのシグネチャ）に変更はありません。
主な変更点
破壊的変更
- Node.js 22 以降が必須に: Node.js 18 と 20 はサポートが終了しており、Node2Shell の修正が提供されません。修正は Node.js 22.23.4、24.22.1、26.12.1 で提供されているため、すべての
@mbc-cqrs-serverless/*パッケージでengines.nodeを>=22にしました。アプリケーション、Lambda 関数、Docker イメージ、CI を Node.js 22.23.4 以降で実行してください。Node.js 18 / 20 ではnpm install時にEBADENGINEの警告が表示され、engine-strictを有効にしている場合はインストールに失敗します。 - core（nodemailer 10）: nodemailer を 10 に更新しました。nodemailer 10 は型定義を同梱し、デフォルトエクスポートが名前空間ではなくなったため、
nodemailer.SendMailOptionsなどの型参照はコンパイルできなくなります。nodemailerを直接 import しているコードは、型を名前付きで import するように変更し、@types/nodemailerを削除してください。EmailServiceだけを使っている場合は変更不要です。 - cli（新規プロジェクト）:
mbc newで作成するプロジェクトは Node.js 22 を使用します。Lambda 関数とレイヤーはNODEJS_22_X、Docker イメージはnode:22-bookworm-slim（Prisma 用にopensslをインストール）、ローカル環境のイメージはnode:22-alpine、serverless.ymlはnodejs22.xになりました。CDK パイプラインの CodeBuild も Node.js 22 に固定しています。既存のプロジェクトは自動では変更されないため、移行ガイドに沿って同じ箇所を更新してください。
セキュリティ
- 本番依存関係の High / Critical の脆弱性を解消しました（proxy-addr 2.0.8、body-parser 1.20.9 / 2.4.0、multer 2.5.0、nodemailer 10.3.1、@modelcontextprotocol/sdk 1.32.2、zod 4.6.7）。
- cli:
mbc newで作成するプロジェクトのテンプレートにも同じ対策（overrides）を反映しました。新しく作成したプロジェクトの本番依存関係に High / Critical の脆弱性は含まれません。既存のプロジェクトには反映されないため、必要に応じて同じ overrides を追加してください。
ドキュメント
- mcp-server:
mbc-migrateスキルに v1.5.0 → v1.6.0 の移行ガイド（Node.js 22、Lambda ランタイム、Docker と Prisma のopenssl、nodemailer 10 の型）を追加し、互換性マトリックスに Node.js 22 を追加しました。 - ドキュメントサイトに v1.6.0 移行ガイドを追加し、インストール手順などの Node.js のバージョン表記を 22 に更新しました。
アップグレード方法
まず、ローカル環境、CI、Lambda、Docker イメージを Node.js 22.23.4 以降に更新してから、パッケージを更新してください。
npm install @mbc-cqrs-serverless/core@1.6.0新しいプロジェクトは npm i -g @mbc-cqrs-serverless/cli@1.6.0 でインストールした CLI の mbc new で作成できます。既存プロジェクトの移行手順（Lambda ランタイム、Docker イメージ、CDK パイプライン、nodemailer の型）は、ドキュメントサイトの「移行ガイド: v1.6.0」をご覧ください。