リリース

Rook v1.20.2は、バグ修正と細かい改善を中心としたルーティンパッチです。mgrのNetworkPolicyをイングレス専用に制限するセキュリティ強化と、Cephのデフォルトバージョンのv20.2.2への更新が主な変更点です。

• securitymgrのNetworkPolicyがイングレス専用に変更

  mgrのNetworkPolicyがイングレス専用に制限されました。mgrを外部からアクセス可能にしている構成では、エグレス方向の通信が遮断されないか確認し、必要に応じてポリシーを調整してください。

Artifact Hub v1.23.0がリリースされましたが、公開されたノートが短く要約できる内容がありません。詳細は元のリリースノートをご確認ください。

Flux v2.9.1は、post-build変数置換がFlux自身のCRDスキーマを壊してしまう不具合を修正したパッチリリースです。あわせてSOPSの.ini復号とdry-run時のstrategic merge patchエラーも修正しています。新規の破壊的変更やCVEはありません。

• breaking変数置換によるCRDスキーマ破損を修正

  post-build変数置換を有効にしたKustomizationで、マニフェスト内の${...}がFlux CRDのスキーマフィールドと一致してしまうと、これまでのバージョンではCRDスキーマが壊れることがありました。v2.9.1ではFlux自身のCRDにkustomize.toolkit.fluxcd.io/substitute: disabledを付与し、置換の対象から除外しています。post-build置換を使っている場合はアップグレードを推奨します。

OpenTelemetry Collector v0.156.0はバグ修正中心のリリースで、オペレータに影響する変更として、memory_limiterプロセッサが連続的な強制GCから指数バックオフに切り替わり、上限を2つの新設定フィールドで制御できるようになりました。otlp_httpの永続エラー処理、レシーバ起動順序、env変数のnil解決、リトライ設定バリデーションの修正も含まれます。

• enhancementmemory_limiter: GCバックオフが新フィールドで設定可能に

  memory_limiterプロセッサは、GCが非効率と判断された場合（ソフトリミット超過かつ回収率5%未満）に指数バックオフでGC呼び出しを抑制するようになりました。バックオフの上限はmax_gc_interval_when_soft_limitedとmax_gc_interval_when_hard_limitedで設定でき、デフォルトはいずれも30sです。GCの積極性を調整している場合は、これら新フィールドを確認してください。

OpenKruise v1.9.1がリリースされましたが、公開されたノートが短く要約できる内容がありません。詳細は元のリリースノートをご確認ください。

Lima v2.1.4は、いくつかの不具合修正とnerdctlの更新、CLI・テンプレートの小さな改善をまとめたルーティンパッチです。破壊的変更やセキュリティ修正、非推奨化はありません。

OPA v1.18.2は`opa fmt`のリグレッション修正のみを含む小規模パッチです。v1.18.0以降、整形済みポリシーに余計な差分が発生していた場合は、このバージョンへ更新することで解消されます。

wasmCloud v2.5.1がリリースされましたが、公開されたノートが短く要約できる内容がありません。詳細は元のリリースノートをご確認ください。

CRI-O v1.35.5は2件のバグ修正のみを含むパッチリリースです。再起動をまたいでImageRefが変化する問題と、gomaxprocs hookのCPU算出ロジックの問題が解消されました。破壊的変更・セキュリティ修正・API変更はありません。

gRPC 1.82.0はCore、PHP、Python、Rubyにわたる細かな修正を積み重ねたルーチンリリースで、セキュリティ問題や破壊的変更はありません。目立つのはxDSの2つのプロトコル追加(A85のORCA-to-LRS、A114の重み付けラウンドロビン)と、細々としたバグ修正の集合です。

Harbor v2.15.2は2.15.0からの修正をバックポートしたメンテナンスパッチです。最も影響が大きいのはキャッシュバックエンドのRedisからValkeyへの置き換えで、既存のデプロイ設定の変更が必要になります。加えてblobマウントのトークン検証強化、暗号処理のクリーンアップ、Angular 21とClarity v18アップグレードに伴う多数のUI修正が含まれています。

• securityblobマウントトークン検証の強化

  blobマウント時のトークン検証が強化され、iatクレームのないトークンとソースプロジェクトの不正な参照が拒否されるようになりました。すべての環境に適用されます。

• breakingキャッシュバックエンドがValkeyに変更

  キャッシュバックエンドがRedisからValkeyに切り替わりました。デプロイメント設定でRedisを参照している場合は、Valkeyへの切り替えが必要です。

CRI-O v1.36.2は、gomaxprocsフックのCPU割り当て計算を修正する通常のパッチリリースです。Goスケジューラがスロットリングされる問題を軽減します。セキュリティ修正や破壊的変更はありません。

CRI-O v1.34.10はバグ修正のみのパッチで、gomaxprocsのCPU注入ロジックの修正と、再起動後のコンテナステータスにおけるImageRef形式のリグレッション修正の2件が含まれます。セキュリティ、API、設定の変更はありません。

etcd v3.6.13は、--listen-client-http-urlsを設定しているクラスタのgRPCリスナーでCRL検証がバイパスされるHIGH深刻度の脆弱性(GHSA-3wh4-j44w-pg92)を修正するセキュリティパッチです。WebSocketのbearerトークン認証の修正と、v2-deprecationフラグへのオプション追加も含まれます。

• securitygRPCリスナーのCRL検証バイパス(GHSA-3wh4-j44w-pg92)を修正

  --listen-client-http-urlsを設定しているクラスタでは、gRPCリスナーで証明書失効リスト(CRL)の検証がスキップされており、失効済みのクライアント証明書でも認証が通ってしまいます。v3.6.13へ更新してください。

etcd v3.5.32は、--listen-client-http-urlsを設定した際にgRPCリスナーでCRLが適用されなかったHIGH深刻度の脆弱性(GHSA-3wh4-j44w-pg92)を修正するセキュリティリリースです。v2-deprecationのバイパスオプション追加やいくつかのバグ修正も含まれます。

• securitygRPCリスナーのCRL適用バイパス(GHSA-3wh4-j44w-pg92)

  --listen-client-http-urlsを設定している場合、gRPCリスナーでCRLが適用されず、失効した証明書が受け入れられる状態でした。mTLSと証明書失効リストを併用している環境では、v3.5.32へ更新してください。

Prometheus v3.13.0はLTSリリースで、HIGH深刻度の認証情報転送の脆弱性(CVE-2025-4673・CVE-2023-45289)とMEDIUM深刻度のXSS(CVE-2026-44990)への対応を筆頭に、ページネーショントークン、パス解決、PromQL期間関数名、ライセンスファイル配布の4つの破壊的変更、さらに多数の新機能とパフォーマンス改善を含みます。

• securityHIGH: クロスホストリダイレクト時に認証情報が転送されなくなった

  リダイレクト先のホストが異なる場合、Authorizationヘッダー・Basic認証・Bearerトークン・OAuth2・カスタムヘッダーなどの認証情報が転送されなくなりました。スクレイプ・リモートread/write・アラート送信・サービスディスカバリのいずれも対象です。CVE-2025-4673とCVE-2023-45289として追跡されており、prometheus/commonのv0.68.xからv0.69.0への更新が起因です。クロスホストリダイレクトに依存するエンドポイントがあれば、認証情報がサイレントに落ちることを確認してください。

• securityMEDIUM: UI依存ライブラリのXSS修正(CVE-2026-44990)

  UIのsanitize-htmlライブラリにXSS脆弱性(CVE-2026-44990)が存在していたため、バージョンを更新して修正しました。設定変更は不要で、v3.13.0へのアップグレードで対処されます。

• breakingページネーショントークンのアルゴリズムがSHA-1からSHA-256に変更

  ルールグループのページネーショントークン生成がSHA-1からSHA-256に変わりました。旧バージョンで取得したトークンを保持・比較しているクライアントやツールは、アップグレード後に値が変わります。

• breaking--http.config.fileの相対パス解決先が変更

  --http.config.fileに渡すファイル内の相対パスが、親ディレクトリではなくそのconfigファイル自身のディレクトリを基準に解決されるようになりました。相対パスを使っている場合は、アップグレード後にパスが正しく解決されるか確認してください。

• breaking期間表現関数min()/max()がmin_of()/max_of()に改名

  experimental-duration-exprフィーチャーフラグを有効にしている場合、PromQLの期間表現関数min()とmax()がmin_of()とmax_of()に改名されました。これらを使用しているクエリやルールを更新してください。

• breakingnpm_licenses.tar.bz2を廃止、ライセンスは/assets/third-party-licenses.txtへ移行

  リリースtarballおよびコンテナイメージからnpm_licenses.tar.bz2が削除されました。サードパーティnpmライセンス情報はバイナリに埋め込まれ、/assets/third-party-licenses.txtで提供されます。このアーカイブを展開している自動化処理があれば修正が必要です。

Longhorn v1.11.3は、ボリューム操作・バックアップ・インスタンス管理にまたがる十数件の安定性問題を修正するバグフィックスロールアップです。CSI external provisionerがv6.3.0へ更新されたため、v1.10.xまたはv1.11.0からアップグレードする場合はKubernetes v1.34以降が前提条件となります。

• breakingv1.10.xまたはv1.11.0からのアップグレード時にKubernetes v1.34+が必要

  CSI external provisionerがv6.3.0に更新されたため、Longhorn v1.10.xまたはv1.11.0からアップグレードする場合はKubernetes v1.34以降が必要です。クラスタのKubernetesバージョンを先にv1.34+へ更新してからLonghornをアップグレードしてください。

Istio 1.28.10は単一のバグ修正を含むルーティンパッチです。krtコントローラフレームワークで、Fetchフィルターのキー変更時に古い逆引きインデックスエントリが残り続けるメモリリークを修正しました。

wasmCloud v2.5.0 はフィーチャーリリースです。wasmtime 46 への更新と wasip3 のデフォルト有効化、wasmcloud:keyvalue bucket WIT の破壊的変更、および quinn-proto の MEDIUM セキュリティ修正 (RUST-SEC-2026-0185) が主な変更点です。wasmcloud:keyvalue を利用しているコンポーネントは WIT の対応が必要です。

• securityquinn-proto のセキュリティ修正 (RUST-SEC-2026-0185)

  MEDIUM 深刻度の rust-sec-2026-0185 (quinn-proto) を修正しています。QUIC 通信を利用する環境では v2.5.0 へ更新してください。

• breakingwasmcloud:keyvalue bucket のWIT定義が破壊的変更

  wasmcloud:keyvalue の bucket 型がインターフェースごとのインライン定義から共有 types インターフェース経由の定義に移動しました。wasmcloud:keyvalue WIT を利用するコンポーネントやプロバイダは WIT の修正とリビルドが必要です。

• breakingwasip3 がデフォルト有効化

  wasip3 が v2.5.0 からデフォルトで有効になりました。wasip3 対応外のワークロードで予期しない動作が発生する場合は、設定で明示的に無効化してください。

Flux v2.9.0 は機能拡張リリースです。CLI プラグインシステムやセキュリティ機能の充実など複数の新機能を導入する一方、image.toolkit.fluxcd.io/v1beta2 および notification.toolkit.fluxcd.io/v1beta2 の 2 つの API を廃止します。これらの API を使用しているマニフェストがある場合は、アップグレード前に v1 系への移行が必要です。

• breakingimage.toolkit.fluxcd.io/v1beta2 の廃止

  image.toolkit.fluxcd.io/v1beta2 を使用しているマニフェストまたはカスタムリソースは v2.9.0 では動作しません。v1 系 API へ移行してください。

• breakingnotification.toolkit.fluxcd.io/v1beta2 の廃止

  notification.toolkit.fluxcd.io/v1beta2 を使用しているマニフェストまたはカスタムリソースは v2.9.0 では動作しません。v1 系 API へ移行してください。

Kubescape v4.0.10 is a feature and hardening release: it closes an SSRF gap in the scan-completion webhook, tightens config.json permissions and validation, and removes a dead CRD, alongside a large batch of bug fixes and new capabilities like `operator remediate` and encrypted report decryption. No CVE-tracked vulnerabilities are disclosed in this release.

• securitySSRF hardening on scan-completion webhook

  The scan-completion webhook callback now hardens against SSRF. Applies to users of the webhook callback feature; upgrade if you rely on it to avoid outbound requests being abused via crafted callback URLs.

• breakingconfig.json permissions restricted to owner-only

  config.json is now written with owner-only permissions instead of broader access. Applies unconditionally; review any tooling or automation that reads this file as a different user, since it may now fail to access it.

• breakingRemoval of orphan SecurityException CRD

  The orphan SecurityException CRD, which was never installable, has been removed. Applies only if you had references to this CRD in manifests or docs; it has no functional impact since it never worked.

• enhancementStricter validation on --format and VAP controls

  The --format flag now rejects invalid values before a scan starts, and VAP configurable controls now require params. Applies if you script scans with an unchecked --format value or run VAP controls without required params; these calls will now fail fast instead of proceeding silently.

Karmada v1.18.1 was released, but the published notes are too brief to summarize. See the original release notes for details.

Karmada v1.17.4 was released, but the published notes are too brief to summarize. See the original release notes for details.

Karmada v1.16.7 was released, but the published notes are too brief to summarize. See the original release notes for details.

KubeVela v1.10.9 was released, but the published notes are too brief to summarize. See the original release notes for details.

KubeVela v1.9.14 was released, but the published notes are too brief to summarize. See the original release notes for details.

v1.18.1 is a routine patch that fixes CIDR matching behavior and serialization determinism while extending an experimental flag to BatchCheck. No breaking changes or CVEs are reported, though the in_cidr fix does change matching behavior for IPv4-mapped IPv6 addresses.

• breakingin_cidr now matches IPv4-mapped IPv6 addresses against IPv4 CIDRs

  Applies unconditionally: the in_cidr condition now normalizes IPv4-mapped IPv6 addresses (e.g. ::ffff:192.168.1.1) to their IPv4 form before matching, so they can now match IPv4 CIDRs like 192.168.1.0/24. Review any authorization models relying on in_cidr if you expect these addresses to be excluded from IPv4 ranges.

NATS server v2.14.3 is a maintenance release dominated by JetStream, MQTT and clustering bug fixes, with two MQTT fixes closing pre-auth memory exhaustion and panic conditions and one breaking change: JSONP monitoring support has been removed.

• securityMQTT memory exhaustion and panic fixes

  Applies to servers exposing MQTT. Fixed in v2.14.3: malformed partial CONNECT packets could exhaust pre-auth memory, and a PUBLISH remaining-length underflow could panic the server. Upgrade if you run MQTT, especially with untrusted or public clients.

• breakingJSONP monitoring support removed

  Applies to deployments relying on JSONP callbacks against monitoring endpoints (e.g. /varz, /connz via callback= param). This is removed in v2.14.3; switch dashboards or scripts to plain JSON polling before upgrading.

• breakingPermission checks tightened for leaf trace destination and NoAuthUser

  Applies to leaf node setups using Nats-Trace-Dest, and to accounts using NoAuthUser. Fixed in v2.14.3: leaf connections could bypass Nats-Trace-Dest publish permission checks, and NoAuthUser did not enforce connection restrictions. Review permission and NoAuthUser configs after upgrading, since previously permitted traffic may now be denied as intended.

v2.12.12 is a bugfix and hardening release for nats-server, centered on numerous JetStream/Raft data-integrity and panic fixes plus removal of JSONP support from monitoring endpoints. No CVEs are disclosed, but several fixes close memory-exhaustion and panic paths reachable via malformed MQTT input that operators should treat as security-relevant.

• securityMQTT partial-CONNECT and PUBLISH-underflow crash/DoS fixes

  If you run MQTT, upgrade to fix two memory-exhaustion/panic paths: partial CONNECT packets could exhaust pre-authentication memory, and PUBLISH remaining-length underflow could panic the server. Both are exploitable by unauthenticated clients sending malformed input.

• securityInteger-overflow panics fixed in monitoring and JetStream usage tracking

  CONNZ/SUBSZ pagination previously could panic on integer overflow, and JetStream remote usage updates could panic on length integer overflow. Operators with large clusters or heavy monitoring polling should upgrade to remove these panic-inducing edge cases.

• breakingJSONP support removed from monitoring endpoints

  JSONP callback support has been removed from monitoring endpoints in v2.12.12, unconditionally. Any tooling or dashboards that rely on JSONP callbacks against /varz, /connz, or similar endpoints will break and must switch to plain JSON requests.

Open Policy Agent (OPA) v1.18.1 was released, but the published notes are too brief to summarize. See the original release notes for details.

Strimzi 1.1.0 is a feature release adding Kafka 4.3.0 and 4.2.1 support while dropping Kafka 4.1.x, along with several capability additions. Operators should act on two breaking changes before upgrading: the entity-operator healthcheck port renames and the TLS truststore format switch in KafkaBridge and KafkaMirrorMaker2.

• breakingEntity-operator healthcheck ports renamed

  The entity-operator healthcheck port `healthcheck` has been renamed to `healthcheck-to` (topic-operator) and `healthcheck-uo` (user-operator). Any custom PodMonitor, ServiceMonitor, NetworkPolicy, or similar resources that reference the old port name must be updated before or immediately after upgrading.

• breakingKafka 4.1.x support removed

  Kafka 4.1.x is no longer supported in 1.1.0. Clusters running Kafka 4.1.x must be upgraded to 4.2.1 or 4.3.0 before moving to this Strimzi version.

• breakingTLS truststore format changed to PEM for KafkaBridge and KafkaMirrorMaker2

  KafkaBridge and KafkaMirrorMaker2 now use PEM files instead of P12/JKS for TLS authentication and truststore. Review any tooling or external systems that expect P12/JKS formats from these components.

• breakingCRD v1 only — older API versions unsupported

  CRD API versions v1beta2, v1beta1, and v1alpha1 are not supported since 1.0.0. If you have not already converted your resources to v1, do so before upgrading to 1.1.0.

Volcano v1.14.3 is a routine patch release consisting entirely of backported scheduler bug fixes. No new features, deprecations, or security changes are included.

Keycloak 26.6.4 is a security release fixing eight CVEs, including two critical issues (privilege escalation and JWT authentication bypass) and four high-severity authorization bypasses. Operators should upgrade promptly; the release also bumps Quarkus to 3.33.2.1.

• securityTwo critical vulnerabilities: group-admin escalation and JWT auth bypass

  CVE-2026-9099 lets a group admin escalate to realm-admin, and CVE-2026-11800 allows authentication bypass via JWT algorithm confusion. Both are rated critical. Upgrade to 26.6.4 as soon as possible.

• securityFour high-severity authorization and access-control bypasses

  CVE-2026-9705 (client takeover via registration access token), CVE-2026-9795 (privilege escalation via scope mapping), CVE-2026-9799 (UMA permission ticket bypass), and CVE-2026-9800 (policy enforcer authorization bypass via incorrect URI comparison) are all rated high. If you use UMA authorization, fine-grained scope mappings, or the Policy Enforcer, prioritize this upgrade.

• securityTwo medium-severity issues: info disclosure and XSS

  CVE-2026-9083 (filesystem path probing) and CVE-2026-9086 (XSS via case-insensitive URI validation bypass) are rated medium and round out the fix set.

Operator Framework v1.42.3 was released, but the published notes are too brief to summarize. See the original release notes for details.

Backstage v1.52.1 was released, but the published notes are too brief to summarize. See the original release notes for details.

metal3-io v0.13.1 was released, but the published notes are too brief to summarize. See the original release notes for details.

v1.18.0 is a bugfix rollup with one operator-facing behavior change: the outbound User-Agent header is now hyphenated to conform to RFC 9110. The remaining changes are runtime improvements, formatter and coverage tool fixes, and a Go toolchain bump.

• breakingUser-Agent header format changed (RFC 9110 conformance)

  The outbound User-Agent header OPA sends on HTTP requests changed from 'Open Policy Agent/<version> (<os>, <arch>)' to 'Open-Policy-Agent/<version> (<os>, <arch>)' (hyphen added between 'Open' and 'Policy'). Any server-side log filters, WAF rules, or access policies that exact-match the old string must be updated after upgrading to v1.18.0.

This is a routine patch release for OpenCost, dominated by bug fixes for GPU pricing, data races, and Azure Windows pricing, plus a new STACKIT provider integration. There are no breaking changes, deprecations, or CVE fixes in this release.

v1.19.6 is a security patch fixing a HIGH severity RBAC privilege escalation in the cert-manager-edit ClusterRole that let users create ACME Challenge and Order resources directly, plus a Go toolchain update closing three CVEs. The RBAC fix includes a documented breaking permission change.

• securityRBAC privilege escalation via ACME Challenge/Order creation

  Applies to v1.19.6: the default cert-manager-edit aggregate ClusterRole previously let namespace users create ACME Challenge and Order resources directly, bypassing Issuer solver selectors. This is fixed by removing create for challenges.acme.cert-manager.io and create/patch/update for orders.acme.cert-manager.io from that role. Upgrade to v1.19.6 to close this HIGH severity RBAC gap (GHSA-8rvj-mm4h-c258).

• securityGo toolchain updated to 1.25.11 for three CVEs

  Applies unconditionally in v1.19.6: Go is updated to 1.25.11, fixing CVE-2026-27145, CVE-2026-42504, and CVE-2026-42507. No action needed beyond upgrading.

• breakingcert-manager-edit ClusterRole loses Challenge/Order create permissions

  If any tooling or workflow creates Challenge or Order resources directly, outside the normal Certificate to CertificateRequest to Order to Challenge flow, it will lose that access after upgrading and needs those permissions granted explicitly.

v1.20.3 is a security release primarily addressing a HIGH-severity RBAC over-permission (GHSA-8rvj-mm4h-c258) in the cert-manager-edit ClusterRole, and updating Go to v1.26.4 for three CVEs. Operators should audit any workflows that create Challenge or Order resources directly before upgrading, as those permissions are now removed.

• securityRBAC over-permission in cert-manager-edit ClusterRole (GHSA-8rvj-mm4h-c258)

  GHSA-8rvj-mm4h-c258 (HIGH): the cert-manager-edit aggregate ClusterRole previously allowed namespace users to create Challenge and Order resources directly, bypassing Issuer solver selectors. Fixed in v1.20.3. Upgrade immediately if untrusted namespace users exist in your cluster.

• securityGo runtime updated to v1.26.4 (3 CVEs)

  Go updated to v1.26.4, patching CVE-2026-27145, CVE-2026-42504, and CVE-2026-42507. No additional configuration is required; upgrading cert-manager picks up the fix.

• breakingBreaking RBAC change: direct Challenge and Order creation removed from cert-manager-edit

  cert-manager-edit no longer grants create on challenges.acme.cert-manager.io, or create/patch/update on orders.acme.cert-manager.io. If any tooling or CI workflow creates Challenge or Order objects directly (outside the normal Certificate → CertificateRequest → Order → Challenge flow), those calls will fail after upgrading. Review and update any such automation before rolling out v1.20.3.