OCaml Weekly News

こんにちは、

最初のリリース候補 (2.6.0~rc1) が公開されました。問題がなければ、2.6.0 の安定版リリース前の最後のプレリリースになる予定です。 何か問題がありましたらお知らせください。

こんにちは、tiny_httpd 0.22 のリリースをお知らせします。

Tiny_httpd は HTTP 1.1 サーバーで、websocket、SSE の基本的なサポートと、プラガブルな IO/並行処理（ダイレクトスタイルである限り）を備えています。依存関係をなるべく少なくシンプルに保つことを目標としており、それにもかかわらず 2019 年からずっと問題なく動作しています™。このリリースは主にバグ修正です（バグ報告がどこから来たのかについては、意味深な目くばせをするに留めておきます）。

みなさん、こんにちは、

Owebview の最初のリリースを発表できて嬉しいです。これは webview の OCaml バインディングで、OCaml アプリに組み込み Web レンダリングエンジンを埋め込むことができます。opam で利用可能になりました：

opam install owebview

Owebview は OS ネイティブの Web エンジンをバックエンドとするネイティブウィンドウを開きます。macOS では WebKit、Linux では WebKitGTK、Windows では WebView2 を使用し、OCaml から制御できます。Electron も、バンドラーも、パッケージ化されたブラウザも不要です。シングル実行ファイルといくつかの HTML だけです。

なぜ Owebview が OCaml の GUI に最適なソリューションであるかについてのブログ記事もご覧ください。

みなさん、

OCaml ランタイムに関する新しいセキュリティアドバイザリが公開されました。アドバイザリの内容を以下に掲載します。また、 https://github.com/ocaml/security-advisories および https://osv.dev/list?q=&ecosystem=opam でもご確認いただけます。

よろしくお願いします、

Hannes

id: OSEC-2026-18
modified: "2026-09-10T10:00:00Z"
published: "2026-09-10T10:00:00Z"
severity: "CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N"
severity_score: "6.8"
affected: "ocaml" {< "5.5.1"}
events: [
   [
     git "https://github.com/ocaml/ocaml" [
       [fixed "928e7c8a950db8730e8e84105d3be347cae38f5c"]
     ]
   ]
   [
     git "https://github.com/ocaml/ocaml" [
       [fixed "304654884d0c90b2e4ab673ff88caef38b05c714"]
     ]
   ]
   [
     git "https://github.com/ocaml/ocaml" [
       [fixed "428288660cc1f655605347e09e2fbc0b0a404660"]
     ]
   ]
]
credits: [
   [reporter "Akshay M Singh"]
   [remediation_developer "Xavier Leroy"]
   [remediation_reviewer "Nicolás Ojeda Bär"]
   [remediation_reviewer "Antonin Décimo"]
   [coordinator "Hannes Mehnert"]
]
cwe: [ CWE-190 CWE-125 ]
aliases: [ CVE-2026-28364 ]
references: [
   [fix "https://github.com/ocaml/ocaml/pull/15019"]
   [fix "https://github.com/ocaml/ocaml/pull/15030"]
]
related: [ OSEC-2026-01 ]

みなさん、

jose パッケージに関する新しいセキュリティアドバイザリが公開されました。アドバイザリの内容を以下に掲載します。また、 https://github.com/ocaml/security-advisories および https://osv.dev/list?q=&ecosystem=opam でもご確認いただけます。

よろしくお願いします、

Hannes

id: OSEC-2026-19
modified: "2026-09-10T10:00:00Z"
published: "2026-09-10T10:00:00Z"
severity: "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N"
severity_score: "9.1 (Critical)"
affected: "jose" {< "0.11.0"}
events: [
   [
     git "https://github.com/ulrikstrid/ocaml-jose" [
       [fixed "cf17d991ec6a0d1997956b6c7799890f9c28879e"]
     ]
   ]
]
credits: [
   [reporter "Sergey Zhukaev"]
   [coordinator "Hannes Mehnert"]
   [coordinator "Konstantin Olkhovskiy"]
   [remediation_developer "Ulrik Strid"]
]
cwe: [ CWE-347 ]

みなさん、

cstruct パッケージに関する新しいセキュリティアドバイザリが公開されました。アドバイザリの内容を以下に掲載します。また、 https://github.com/ocaml/security-advisories および https://osv.dev/list?q=&ecosystem=opam でもご確認いただけます。

よろしくお願いします、

Hannes

id: OSEC-2026-20
modified: "2026-09-10T10:00:00Z"
published: "2026-09-10T10:00:00Z"
severity: "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L"
severity_score: "7.3 (High)"
affected: "cstruct" {< "6.3.0"}
events: [
   [
     git "https://github.com/mirage/ocaml-cstruct" [
       [fixed "936f1010d3e9914da9c5c8a4739e9278a37e1c3e"]
     ]
   ]
]
credits: [
   [reporter "Anil Madhavapeddy"]
   [remediation_reviewer "Thomas Gazagnaire"]
   [remediation_developer "Anil Madhavapeddy"]
]
references: [
   [fix "https://github.com/mirage/ocaml-cstruct/pull/324"]
]
cwe: [ CWE-682 ]
affected_bindings: [ "Cstruct.filter_map" "Cstruct.tail" "Cstruct.cuts" 
"Cstruct.find" "Cstruct.find_rev" ]

Dune Package Management（DPM）に関する OCaml VSCode Extension の改善をお知らせします。このアップデートにはいくつかのバグ修正と使い勝手の向上が含まれています。 今回のアップデートで、DPM をサンドボックスとして有効化するには：

• まず、サンドボックスリストから「Dune Package Management」を選択します。
• 次に、お使いのコンピューターにインストールされている dune バイナリの一覧が表示されます。dune バイナリを選択すると、プロジェクトで DPM が有効化されます。

DPM が有効化されると、バックグラウンドで ocaml-lsp-server が初期化され、拡張機能は有益な提案を行います（例：DPM をまだ有効化していない場合に「lock」することを提案します）。（DPM の有効化は dune-workspace ファイルで行うか、dune pkg lock を実行することで行えます。） 両方が完了すると、うまく動作するようになります。

注意：

• インストール済み依存関係の一覧表示、パッケージのアップグレードとアンインストールなど、opam サンドボックスでサポートされているその他の機能は、DPM ではまだサポートされていません。
• watch モードで dune を実行したり、長時間実行される dune コマンドを実行したりすると、現在実行中のプロセスが終了するまで dune ビルドディレクトリがロックされるため、VSCode 上の DPM が正常に動作しない場合があります。

プロジェクトボードで行った変更の詳細をご確認いただけます。 この作業は Pixie Dust、Timéo Arnouts、Ulysse Gerard、Sonja Heinze、Shon Feder、Ali Caglayan、Sudha Parimala によって実現されました。

【開示：以下にリンクされているコードとコンテンツの一部は自動化ツールの助けを借りて作成されています。この投稿はそうではありません。】

数年間保留にした末、ついに liquidsoap プロジェクトを OCaml 5 に移行する時が来ました！OCaml 5 の GC ペーシングを制御するための優れた取り組みにより、メモリの問題は過去のものになったという確信が持てました。

私たちにとっての主な動機は、effects のやや型破りな（と私は思っています）使い方です。liquidsoap スクリプトの実行中にローカルで発生する操作の結果をグローバルに収集するためのものです。詳細はこちらで説明されています。

OCaml 5 への切り替えが完了したら、その恩恵を測定する時です！liquidsoap の特殊な立場は、I/O 集約型と CPU 集約型の両方の処理を行う点です。ネットワークやディスク操作の I/O と、メディアのエンコードおよびデコードの CPU です。そのため、両面をテストする良い機会になりました！

最初のブログ記事には、このトピックに関する詳細な情報が多く含まれており、私たちがいかにしてスケジューラー（duppy と名付けています）をマルチコアの利点を最大限に活用できるように改良したかについても書かれています。初期設計（node/libev と非常に似ています）から 10 年後に、I/O ワークフローでその設計が正しかったことが確認されて嬉しかったです。

しかし CPU バウンドのワークフローでは、最初の実験が非常に重い映像処理に集中していたため、主に OCaml の外で行われるメディア計算が支配的で、あまり興味深い結果は得られませんでした。

Liquidsoap はリアルタイムストリーミングループを実行しているため、マルチコアによる超高速処理の利点は、時間を先取りしないために 70% の時間を待機する必要があることでほぼ失われてしまうという面もあります。

しかし、もっとよく考えてみると、良いユースケースは対照的に、1 つのオーディオエンコーディングが複数のソースで共有される状況です。オーディオエンコーディングはすでに計算量がはるかに少なく、共有される場合、OCaml レベルでの並行処理がより関連性を持ってきます。

これは2 番目のブログ記事で確認されました。すべてのクロック（リアルタイムでコンテンツを生成する抽象化）をシステムスレッドから duppy のドメインバックタスクに変換したところ…ついに実際の恩恵を確認できました：

これは、マルチコア OCaml がオーディオストリームをサポートすることで、リアルタイムでデータを生成するには遅くなるまでに 1 プロセスがサポートできるストリーム数を 2 倍にできることを示しています。

もう一つの興味深いグラフは、スレッドとドメイン実装の間のコンテキストスイッチ数です：

詳細：

• https://www.liquidsoap.info/blog/2026-09-04-full-concurrency/
• https://www.liquidsoap.info/blog/2026-09-09-concurrency-revisited/

みなさん、

9 月 15 日（火）14:00 CEST に、公開セキュリティミーティングを開催します。場所は https://meet.bornhack.dk/OCamlSecurityPublicMeeting です。

自己紹介を行い、皆さんが持参したトピックについて喜んで議論します。暫定的なアジェンダ（現在は空です）は https://pad.data.coop/9DSTtGNnQyyehnJY_k-OHA でご確認いただけます。

それではまた、

Hannes & セキュリティチーム

こんにちは、

dead_code_analyzer の 2 つのリリース（opam から利用可能）をお知らせします：

• リリース 1.2.1 はバグ修正のコレクションを含み、セマンティクスを強化します。このリリースは OCaml 5.3 と互換性があります。
• リリース 1.3.0 は 1.2.1 のアップデートで、OCaml 4.14 - 5.5 の範囲までサポートを拡張します。OCaml <= 5.2 と >= 5.3 の間でいくつかの既知の結果不一致があり、この Issue で追跡されています。主にオプション引数のセクションに影響します。 OCaml 4.14 がこのリリース 1.3.0 でサポートされるため、私のフォークで利用可能だった専用ブランチは削除されます。

David Maison、@sim642、@kit-ty-kate、@nojb の貢献、レビュー、フィードバックに感謝します。 資金提供をいただいた LexiFi にも感謝します！

dead_code_analyzer を使用している、または使用したことがある方は、その経験や使い方について聞かせていただければ嬉しいです。こちらに投稿するか、DM を送るか、corentin@fantazio.eu にメールをお送りください。将来の開発の優先順位付けに役立ちますし、フィードバックを記事、プレゼンテーション、またはドキュメントにまとめるかもしれません。

これらのリリースで問題が発生した場合は、GitHub リポジトリに報告してください。 フィードバックと貢献を歓迎します。