リリース

要対応 (2)

• breakingService Accountトークンのマウント方式変更

  PodへのService Accountトークンの自動マウントを停止し、トークンはボリューム経由でマウントする方式に変わります。

• breakingServerSideApplyPhase1の恒久的な有効化

  ServerSideApplyPhase1フィーチャーゲートがGA段階に移行し、無効化できない状態で恒久的に有効になります。

要対応 (1)

• breakingディスク同時実行用セマフォを4096スロットに変更

  ディスク同時実行用セマフォのスロット数を、従来のCPUスケール方式から4096に増やしました。

要対応 (11)

• securitygoogle.golang.org/grpc の更新

  セキュリティ更新として google.golang.org/grpc が v1.79.3 に更新されました。

• securitygoogle.golang.org/grpc の更新

  セキュリティ更新として google.golang.org/grpc が v1.82.1 に更新されました。

• securityhelm.sh/helm/v4 の更新

  セキュリティ更新として helm.sh/helm/v4 が v4.1.4 に更新されました。

• securitygithub.com/cloudflare/circl の更新

  セキュリティ更新として github.com/cloudflare/circl が v1.6.3 に更新されました。

• securitygithub.com/go-jose/go-jose/v4 の更新

  セキュリティ更新として github.com/go-jose/go-jose/v4 が v4.1.4 に更新されました。

• securitygithub.com/moby/spdystream の更新

  セキュリティ更新として github.com/moby/spdystream が v0.5.1 に更新されました。

• breakingデフォルト CNI 設定バージョンの更新

  デフォルトの CNI 設定バージョンが 0.3.1 から 1.0.0 に更新されました。

• breakingIPAM メトリクスの削除

  IPAM メトリクス cilium_operator_ipam_ips と cilium_operator_ipam_available_interfaces が削除されました。

• breakingCNI 設定バージョンのデフォルト変更

  デフォルトの CNI 設定バージョンが 0.3.1 から 1.0.0 に変更されました。

• breakingネイティブヒストグラム出力のデフォルト化

  すべてのヒストグラムで、ネイティブヒストグラムがデフォルトで出力されるようになりました。

• breakingエージェント bootstrap メトリクスの削除

  エージェントの bootstrap メトリクスが削除されました。

要対応 (1)

• breaking未定義のサービスポートへのリクエスト拒否

  定義されていないサービスポート宛てのリクエストを拒否するようになりました。

要対応 (12)

• securityhighCVE-2026-47220 のクラッシュを修正

  CVE-2026-47220 に関するクラッシュの不具合が修正されました。

• securityhighCVE-2026-48044 のメモリ枯渇脆弱性を修正

  CVE-2026-48044 に関するメモリ枯渇脆弱性が修正されました。

• securityhighCVE-2026-48042 の JSON 入れ子深度を制限

  CVE-2026-48042 に関して、JSON の入れ子の深さを 1000 に制限しました。

• securitymediumCVE-2026-47692 の不具合を修正

  CVE-2026-47692 に関する不具合が修正されました。

• securitymediumCVE-2026-47205 の use-after-free クラッシュを修正

  CVE-2026-47205 に関する use-after-free によるクラッシュが修正されました。

• securitymediumCVE-2026-48090 の非同期コールバック処理を修正

  CVE-2026-48090 に関して、フィルターの破棄後に非同期トークン変更コールバックが呼び出される不具合が修正されました。

• securitymediumCVE-2026-47778 の SAN 検証を修正

  CVE-2026-47778 に関して、Envoy が Subject Alternative Name（SAN）を検証できない問題が修正されました。

• securitymediumCVE-2026-47204 のクラッシュと use-after-free を修正

  CVE-2026-47204 に関するクラッシュまたは use-after-free が修正されました。

• securitymediumCVE-2026-48497 のクエリ名長検査を修正

  CVE-2026-48497 に関して、クエリ名の長さを検査する処理が修正されました。

• securitymediumCVE-2026-47775 のパディングオラクルに対処

  CVE-2026-47775 に関するパディングオラクルの問題に対処しました。

• securityGHSA-p7c7-7c47-pwch のサービス拒否脆弱性を修正

  GHSA-p7c7-7c47-pwch に関するサービス拒否脆弱性が修正されました。

• breakingメッセージのログレベルを warn に変更

  メッセージのログ出力レベルが warn になりました。

要対応 (1)

• breakingIstioイメージのデフォルトレジストリ変更

  Istioイメージのデフォルトレジストリが registry.istio.io になりました。

要対応 (2)

• securityhigh11件のCVEを修正

  次のCVEを修正しました。CVE-2026-42501、CVE-2026-42499、CVE-2026-39836、CVE-2026-39826、CVE-2026-39825、CVE-2026-39823、CVE-2026-39820、CVE-2026-39819、CVE-2026-39817、CVE-2026-33814、CVE-2026-33811。

• breakingconfig.linkerd.io/proxy-enable-native-sidecar の既定動作を変更

  サイドカーの既定モードを変更し、config.linkerd.io/proxy-enable-native-sidecar で指定されるモードがデフォルトになります。

要対応 (2)

• securitygithub.com/moby/spdystream を v0.5.1 に更新

  セキュリティ関連の更新として、依存モジュール github.com/moby/spdystream を v0.5.1 に更新しました。

• breakingloadbalancer/reflectors の EndpointSlice 監視をサービスラベルで絞り込み

  loadbalancer/reflectors が監視する EndpointSlice を、サービスラベルで絞り込むようになりました。

要対応 (2)

• breakingUseConnectBuildWithBuildah をデフォルトで有効化

  UseConnectBuildWithBuildah フィーチャーゲートがベータ段階に移行し、デフォルトで有効になりました。

• breakingHTTP Bridge の /metrics エンドポイントを管理インターフェースへ移動

  HTTP Bridge の /metrics エンドポイントは、通常の HTTP インターフェース（デフォルトではポート 8080）では利用できなくなりました。現在は HTTP 管理インターフェースの 8081 で利用できます。

要対応 (1)

• breakingWASMバイナリの展開後サイズ制限

  HTTP経由で取得するWASMバイナリについて、gzip展開後のサイズ制限が適用されるようになりました。

要対応 (1)

• breakingJWTのサイズ上限を1MBに変更

  JWTのサイズ上限を1MBに設定しました。#7960に対応しています。

要対応 (1)

• breakingJWTのサイズ上限を1MBに変更

  JWTのサイズ上限を1MBに設定しました。

要対応 (2)

• securityhigh公表済み脆弱性への対応

  公表済みの脆弱性2件に対応しました。対象は CVE-2026-27133、CVE-2026-27134、GHSA-2qwx-rq6j-8r6j、GHSA-6x85-j2f7-4xc5 です。

• breakingServerSideApplyPhase1を既定で有効化

  ServerSideApplyPhase1 feature gateがベータに移行し、既定で有効になりました。

要対応 (1)

• breakingistiod の GOMEMLIMIT 自動設定

  メモリ管理が改善され、istiod は automemlimit ライブラリを使ってメモリ上限の 90% を GOMEMLIMIT に自動設定します。OOM による強制終了のリスクを抑えながら、パフォーマンスを維持します。

要対応 (1)

• breakingtopology.kubernetes.io ラベルの既定の除外

  topology.kubernetes.io ラベルは、既定ではセキュリティラベルから除外されます。

要対応 (15)

• securitygithub.com/containerd/containerd を v1.7.29 に更新

  github.com/containerd/containerd が v1.7.29 に更新されました。

• securitygithub.com/go-viper/mapstructure/v2 を v2.4.0 に更新

  github.com/go-viper/mapstructure/v2 が v2.4.0 に更新されました。

• securitygithub.com/docker/docker を v28.3.3+incompatible に更新

  github.com/docker/docker が v28.3.3+incompatible に更新されました。

• securitygolang.org/x/crypto を v0.45.0 に更新

  golang.org/x/crypto が v0.45.0 に更新されました。

• securityhelm.sh/helm/v3 を v3.18.4 に更新

  helm.sh/helm/v3 が v3.18.4 に更新されました。

• securityhelm.sh/helm/v3 を v3.18.5 に更新

  helm.sh/helm/v3 が v3.18.5 に更新されました。

• breakingplpmtud の既定値を blackhole に変更

  plpmtud の既定値が blackhole（blackhole-detected）になりました。

• breakingAddressScopeMax の既定値を254に変更

  AddressScopeMax の既定値が254（ホストスコープ）に変わり、新しいGKEメタデータサーバーとHCPのユースケースに対応しました。関連する設定は --local-max-addr-scope です。

• breakingtls authMode の既定値を migration に変更

  tls authMode の既定値が migration になりました。

• breakingcni の削除タイムアウトを1.5秒に短縮

  cni の削除時のタイムアウトが1.5秒に短縮されました。

• breakingpolicy-default-local-cluster を既定で設定

  policy-default-local-cluster が既定で設定されるようになりました。

• breakinghost firewall bypassを既定で無効化

  host firewall bypassが既定で無効になりました。

• breakingFQDNのmatchpattern sanitizationを厳密化

  FQDNのmatchpattern sanitizationが見直され、条件がより厳密になりました。

• breakingcilium_host 経由の暗号化トラフィック転送を削除

  暗号化トラフィックを cilium_host 経由で転送しなくなりました。

• breakingコンテナイメージへのCNI設定ファイルの同梱を削除

  コンテナイメージにCNI設定ファイルをインストールしなくなりました。

要対応 (1)

• breakingCilium Preflight のチェック対象を見直し

  Cilium Preflight のチェック対象から Envoy Configmaps が外れました。チェックを正しく実行しやすくなっています。

要対応 (1)

• breakingランタイムガードとレガシーコードパスの削除

  複数のランタイムガードとレガシーコードパスが削除されました。