Kubescape
v4.0.11Security2026年7月22日
Kubescape v4.0.11は、CEL制御実行とVAPバンドルベンダリング、MCP サーバー機能拡張を導入する機能リリースです。エアギャップモード、例外フラグ処理、出力フォーマットの動作修正により、オフライン環境と例外管理の信頼性が向上しました。
breakingエアギャップモードの動作修正
オフラインモード使用時、明示的なオフラインフラグがポリシーゲッターに渡されるようになりました。これまでnilに依存していた実装を修正し、エアギャップ環境での信頼性が向上します。オフラインモードを利用している環境が対象です。
breakingフラグ指定によるエアギャップモード誤発動の修正
--exceptions、--controls-config、--attack-tracksフラグの指定時に、意図せずエアギャップモードが有効になる問題を修正しました。これらのフラグ単独の使用はオフライン動作を引き起こさなくなります。これらのフラグを使用している環境が対象です。
breaking出力フォーマットの重大度ベース例外フィルタリング修正
JSON、SARIF、patchフォーマット出力において、イメージ例外フィルタリングがFilteredMatchesを使用するようになりました。これまでRemainingMatchesを参照していた実装を修正し、重大度ベースの例外適用が正確になります。これらのフォーマット出力を利用している環境が対象です。
主な変更 (7)
- CEL(Common Expression Language)制御の実行をスキャンパイプラインに統合、コンパイル済みCELプログラムをキャッシュして性能最適化
- VAP(Validating Admission Policy)バンドルをベンダリング、deploy-libraryが--from-releaseでの配布に対応
- PostureExceptionPolicy.ObjectSelectorがobjectSelector.matchExpressionsを尊重するよう改善
- MCP サーバー向けヘッドレスOPAProcessor追加でNetwork PolicyとRBACスキャンの低遅延化
- AWS ECRコンテナイメージ脆弱性(CIV)アダプター実装追加
- remediate CLIコマンドにquarantineアクション追加、patch コマンドがOCI/Local エクスポート対応、GitLab SAST出力形式追加
- メトリクスハンドラ のパニック復旧、SARIF出力のエラーハンドリング改善、ローカルコントロールキャッシュの修正など複数の安定性向上
Kubescapeをスタックに追加
対応が必要なリリースが出たときに、週次メールでお知らせします。 今回の破壊的変更も、その一例です。