Cloudflare が Vite と Rolldown の開発元 VoidZero を買収 — JS サプライチェーンの集中リスク

1 社が握る、ビルドツールの未来 #

Cloudflare が JavaScript エコシステムの中核を担うビルドツール群 — Vite (バンドラ) / Rolldown (Rollup の Rust 後継) / Vitest / Oxc などを開発する VoidZero と、Astro を含むまとめての買収を発表した。Vite は React・Vue・Svelte・Nuxt・Astro などほぼ全てのフロントエンドフレームワークの土台で、npm の週間ダウンロードは数千万規模。これが Cloudflare の傘下に入る意味は、単なるニュースとして流せる種類のものではない。

ハッカー視点：サプライチェーンの単一障害点 #

OSS だからオープンだと安心するのは早い。リリース署名鍵・配信 CDN・依存ツールチェーンが 1 社に集約されることは、サプライチェーン上の 新たな攻撃面 を生む。xz-utils バックドア (2024) や event-stream (2018) のように、メンテナの 1 人が静かに乗っ取られるだけで全世界のビルドが汚染された前例がある。買収後、もし Cloudflare のリリース基盤や社内 CI が侵害されれば、影響は「Vite を使う全プロジェクト」= 実質的に現代の Web 開発全体に及ぶ。

加えて Cloudflare は自社プラットフォーム (Workers / Pages) との統合を進めるはずで、開発者は「速い Vite + 自然な Cloudflare デプロイ」の動線に乗りやすくなる。技術的には合理的でも、結果として ビルドツール・CDN・デプロイ先がすべて同じ 1 社 という構造になる。検閲・障害・買収後の方針転換に対するレジリエンスは、確実に下がる。

開発側が今やっておくべきこと #

買収は OSS の財政面ではプラスだ。だが「JavaScript のビルドは 1 社が握る」という構造を、サプライチェーン側の人間が黙って受け入れる理由は無い。