VSO、Node.jsの更新とVCP Explorerの検証体制整備を実施
VeritasChain Standards Organization（VSO）は、VCP ExplorerのNode.js更新とビルド検証の修正を実施しました。あわせて、アクセス可能なリポジトリのPHP利用を棚卸しし、実在を確認できないパッケージの導入案内を修正しました。今回の保守対応によるVCP仕様の変更はありません。
実行環境の更新と検証
VCP Explorer APIとGUIの開発・CI環境をNode.js 24.22.1に統一し、GUIのコンテナと開発用イメージも同じ修正バージョンに更新しました。Node.js 18・20はサポート対象外です。APIのTypeScript診断15件とGUIのビルド診断12件を解消し、依存関係を固定して再現可能にしました。CIが失敗を無視する設定を撤廃し、厳格な型チェック、ビルド、API回帰テスト8件、ハッシュ処理のテスト3件の成功を確認しました。GUIはCIでコンテナを構築し、HTTP応答も確認しています。
PHPの棚卸しとホスティングの確認範囲
棚卸し時点でアクセス可能なリポジトリは、従来の把握数28件に対して31件でした。記録した既定ブランチのコミットを対象に、管理対象1,889ファイル（テキスト1,694件、バイナリ195件を計数）を調査し、ソース上のPHP実装・PHP実行設定は検出されませんでした。主サイトはGitHub Pagesで配信されています。一方、その他のホスティング内部や稼働中のExplorer APIサーバーは未確認であり、全ホストの「影響なし」や本番環境への更新完了を意味するものではありません。
パッケージ名の確認と案内の修正
2026年10月22日（日本時間）の確認では、npmの公開エンドポイントで @veritaschain/sdk は404応答でした。PyPIでは veritaschain と veritaschain-sdk が404で、vcp-sdk は別プロジェクトのValue Context Protocolでした。PyPIではnpmの @scope/name 形式は使われません。組織プロフィール、SDK仕様ガイド、適合性ガイドにあった該当の導入案内を削除・修正しました。404応答だけでは、名前の予約、スコープの所有権、非公開パッケージの有無は判断できません。類似名のパッケージを導入する際は、公開者と対応するリポジトリを確認してください。
対応の経緯をVAPに基づいて記録
観測、判断、修正、検証結果、未解決事項を、VAP v1.2 Draft 3に基づく実験的なローカル形式で記録しました。ハッシュチェーン、Ed25519署名、Merkle証明、RFC 3161タイムスタンプを用いています。下記の公開証拠セットには、公開可能な情報を選んだ記録と検証手順を収めています。非公開の運用情報は含めていません。これはフレームワークを実際の保守対応に適用した例であり、登録済み領域プロファイルやVAP適合性の宣言ではありません。署名鍵は記録セッションを識別するもので、独立した機関が認証したVSOの組織IDではありません。
この記録で確認できること
暗号学的検証とタイムスタンプは、記録の完全性と存在時点の確認に役立ちます。観測内容そのものの正しさ、未調査ホストの安全性、侵害がなかったことを保証するものではありません。また、記録はセッションの事後整理であり、人が最初に認識した時刻の証明ではありません。今回のNode.js・ビルド修正の範囲外にある依存パッケージの監査所見は別の残課題として扱っており、すべての依存関係や本番環境の脆弱性解消を宣言する告知ではありません。
公開された変更履歴と証拠
- Node.js — October 2026 security releases
- VCP Explorer API — Node.js baseline (PR #2)
- VCP Explorer API — build and regression checks (PR #3)
- VCP Explorer GUI — Node.js and validation (PR #1)
- VSO profile — package guidance (PR #3)
- VCP SDK guide — package guidance (PR #2)
- VCP conformance guide — package guidance (PR #2)