CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
サーバーのデフォルト設定と動作が更新され、正確性に関わる問題も修正されています。公開済みの watch 権限の脆弱性に対処し、gRPC も公開済みのセキュリティアドバイザリに対応するバージョンへ更新されています。
要対応 (3)
securityhighgoogle. の 1.82.1 への更新
google. を 1.82.1 に更新し、GHSA-hrxh-6v49-42gf に対応しました。
breakingsnapshotLimitByte のデフォルト値変更
snapshotLimitByte に妥当な値を設定するよう、デフォルトを変更しました。
breakingclient http. の ReadHeaderTimeout 設定
client http. に ReadHeaderTimeout を設定しました。
影響確認 (1)
securityhigh読み取り権限に応じた watch 応答範囲の修正
適用対象はリリースノートに明記されていません。
セキュリティ修正と依存関係の更新に加え、正確性や動作に関する変更も含まれます。セキュリティ修正と snapshotLimitByte の既定値変更を利用する運用者にはアップグレードが推奨されますが、その他の修正では設定変更は必要ありません。
要対応 (5)
securitycriticalgolang. の更新
golang. を 0. から 0. に更新し、CVE-2026-25681、CVE-2026-27136、CVE-2026-39821、CVE-2026-42502、CVE-2026-25680、CVE-2026-42506 に対応しました。
securityhighキーの watch 応答に関する認可問題の修正
1つのキーへの読み取り権限を付与されたユーザーが、そのキー以降のすべてのキーに関する watch 応答を受け取れていた認可上の問題を修正しました。GHSA-xg4h-6gfc-h4m8 に対応しています。
securityhightlsListener の TLS ハンドシェイクタイムアウト設定
tlsListener に tlsHandshakeTimeout を設定しました。GHSA-6vch-q96h-7gc3 に対応しています。
securityhighgoogle. の更新
google. を 1. に更新し、GHSA-hrxh-6v49-42gf に対応しました。
breakingsnapshotLimitByte の既定値設定
snapshotLimitByte に妥当な既定値を設定しました。
CRIとイメージ配布に関する運用者向けの変更を含みます。CreateContainerの受け付け条件が変わり、sandboxが実行中でない場合は拒否されます。
要対応 (1)
breakingsandbox実行中でない場合のCreateContainer拒否
CRIは、sandboxが実行中でない場合のCreateContainerリクエストを拒否します。
セキュリティ修正に加え、依存関係とツールチェーンの更新、チェックポイントおよびイメージ処理の挙動変更を含むリリースです。アップグレード以外の対応はおおむね必要ありませんが、ユーザーデータベースの読み取り範囲が制限され、これまで受け付けていた入力が拒否される場合があります。
要対応 (2)
securitycriticalCVE-2026-50195の修正
CVE-2026-50195に関するセキュリティ修正が含まれています。
breakingopenUserFileのユーザーデータベースファイル読み取り制限
openUserFileで読み取るユーザーデータベースファイルの範囲が制限されます。
メトリクスの追加とGOMAXPROCS設定フィールドの追加、ランタイムの不具い修正が含まれます。CNIのヘルス監視に関する変更は回帰を受けて取り消され、spdystream の更新で CVE-2026-35469 に対応しています。
要対応 (2)
securityhighspdystream の更新による CVE-2026-35469 対応
依存関係の spdystream を更新し、CVE-2026-35469 を修正しました。
breakingCRI-O CNI monitoring の差し戻し
ノードのブートストラップで回帰が発生していたため、CRI-O CNI monitoring を差し戻しました。
オペレーター向けの機能追加と挙動変更を含むリリースで、依存関係の更新だけではありません。既存環境との互換性を確認する必要がある制約変更と非推奨化に加え、新しい機能やその他の挙動変更も含まれています。
要対応 (1)
breakingOCI hook調整の所有者集約とプラグイン名のカンマ禁止
OCI hookの調整に関する所有者を集約し、プラグイン名にカンマを使用できなくなりました。
事前準備 (1)
deprecatedshim.の非推奨化
shim.を使用している場合に適用されます。
API、設定、CLI のデフォルト、スケジューリング、ランタイム、フィーチャーゲート、メトリクス、依存関係にまたがる変更を含む、運用への影響が広いリリースです。削除や非推奨化、成熟度の移行もあるため、アップグレード前の確認とテストが必要です。セキュリティアドバイザリや、明示的に記載された脆弱性は確認されていません。
要対応 (11)
breakingStrictIPCIDRValidation のデフォルト有効化
kube-apiserver の StrictIPCIDRValidation フィーチャーゲートがデフォルトで有効になりました。
breakingデバッグプロファイルのデフォルト変更
デバッグプロファイルのデフォルトが legacy から general に変更されました。
breakingWatchCacheInitializationPostStartHook のデフォルト有効化
WatchCacheInitializationPostStartHook フィーチャーゲートがデフォルトで有効になりました。
breakingKubeletPSI の GA 移行
KubeletPSI が GA に移行し、デフォルトで有効になりました。
breakingRelaxedServiceNameValidation のベータ移行
RelaxedServiceNameValidation フィーチャーゲートがベータ版に移行し、デフォルトで有効になりました。
breakingRestartAllContainersOnContainerExits のベータ移行
RestartAllContainersOnContainerExits フィーチャーゲートがベータ版に移行し、デフォルトで有効になりました。
breaking中断ジョブ関連フィーチャーゲートのデフォルト有効化
MutablePodResourcesForSuspendedJobs と MutableSchedulingDirectivesForSuspendedJobs がデフォルトで有効になりました。
breakingInformer のストア更新順序変更
Informer のデフォルト動作が変わり、list または relist に含まれるすべてのオブジェクトでストア状態を更新してから、個々の削除、追加、更新に対する OnDelete、OnAdd、OnUpdate を呼び出すようになりました。
breakingInformer の watch イベント処理変更
Informer は、キューに入ったイベントの処理中でも新しい watch イベントをキューに追加できるようになりました。
breakingクライアント CA ローテーション機能のデフォルト有効化
この機能がデフォルトで有効になり、ClientsAllowCARotation フィーチャーゲートで無効にできます。
breakingTLS キャッシュ GC 機能のデフォルト有効化
この機能がデフォルトで有効になり、ClientsAllowTLSCacheGC フィーチャーゲートで制御できるようになりました。
影響確認 (25)
breakingvolume_operation_total_errors メトリクスの名称変更
volume_operation_total_errors を利用している場合に該当します。
breakinggit-repo ボリュームプラグインの無効化
git-repo ボリュームプラグインを利用している場合に該当します。
breakingCredential plugin 許可リストのフィールド名変更
AllowlistEntry. を設定している場合に該当します。
事前準備 (6)
deprecatedService . の非推奨化
Service の . を設定している場合に該当します。
deprecatedmetav1. の直接アクセスを非推奨化
metav1. を利用している場合に該当します。
deprecatedスコア設定フィールドの非推奨化
MinNodeScore または MaxNodeScore を利用している場合に該当します。
