CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
公開されたセキュリティ修正と、API変換や証明書出力に関する変更を含むリリースです。依存関係とコンテナイメージも更新され、非推奨となったKafkaUser APIフィールドの設定には移行が必要です。
要対応 (1)
securityhighCVE-2026-27133のセキュリティ修正
CVE-2026-27133に関するセキュリティ上の不具合が修正されました。
事前準備 (1)
deprecated.の非推奨化
.を設定している場合に該当します。
セキュリティ上の問題を修正し、ゲートウェイやデバッグエンドポイント、リソースアノテーションに関する保護を追加しています。TLS、cgoバイナリ、Kubernetesリソースの扱いに関係する環境では、変更内容の確認が必要です。
要対応 (1)
securityhighcgoバイナリへのコード混入を防ぐ修正
GoとC/C++のコメント解析の食い違いによって、生成されるcgoバイナリにコードを紛れ込ませられる問題を修正しました。CVE-2025-61732に対応しています。
影響確認 (4)
securitycriticalTLSセッション再開時の証明書設定検証
Config.で変更を加える場合、またはConfig.を使う場合に適用されます。
securityゲートウェイデプロイメントのリソース検証
ゲートウェイデプロイメントコントローラーが動作している場合に適用されます。
securityリソースアノテーションの文字検証
リソースアノテーションを設定する場合に適用されます。
セキュリティ上の脆弱性に対応しています。利用中の環境では、アップグレードの適用を検討する判断材料となるリリースです。
要対応 (2)
securitycriticalcrypto/tlsのセッション再開処理の修正
crypto/tlsのセッション再開で、初回ハンドシェイク後にClientCAsまたはRootCAsが変更されると、本来は失敗すべき再開ハンドシェイクが成功する問題を修正しました。CVE-2025-68121に対応しています。
securityhighコメント解析の違いによるコード混入の修正
GoとC/C++でコメントの解析方法が異なるため、生成されたcgoバイナリにコードを紛れ込ませられる問題を修正しました。CVE-2025-61732に対応しています。
運用者向けの機能追加と既定値の変更を含むリリースです。明示的な CVE やアドバイザリ識別子は含まれていません。
要対応 (1)
breakingistiod の GOMEMLIMIT 自動設定
メモリ管理が改善され、istiod は automemlimit ライブラリを使ってメモリ上限の 90% を GOMEMLIMIT に自動設定します。OOM による強制終了のリスクを抑えながら、パフォーマンスを維持します。
影響確認 (4)
breakingambient mesh の DNS キャプチャを既定で有効化
ambient mesh のワークロードに適用されます。
breakingデバッグエンドポイント認可の既定有効化
ポート 15014 のデバッグエンドポイントに適用されます。
breakingEnvoy メトリクスの HTTP 圧縮を既定で有効化
Prometheus の stats エンドポイントで、クライアントの Accept-Header に応じた Envoy メトリクスを扱う場合に適用されます。
アップグレードが必要なセキュリティ修正を含み、デバッグエンドポイントの利用制限も適用されます。Helmチャートの設定項目追加と、動作の正確性に関する修正も含まれます。
要対応 (1)
securityリソースアノテーションの文字検証
リソースアノテーションの検証で、改行文字と制御文字を拒否するようになりました。テンプレートのレンダリングによって Pod 仕様へコンテナが注入されることを防ぎます。関連する Issue は #58889 です。
影響確認 (2)
securityゲートウェイデプロイメントコントローラーのリソース検証
gateway deployment controller が動作する場合に適用されます。
breakingデバッグエンドポイントの名前空間単位認可
ポート 15014 のデバッグエンドポイントを利用している場合に適用されます。
運用者向けの機能追加と保守変更を含むリリースです。DNSプロキシ、インストール、設定、API、メトリクス、データパスに関わる変更に加え、データパスとclustermeshの修正、既定値や互換性の見直し、非推奨機能の整理が行われています。依存関係の更新も含まれます。
要対応 (15)
securitygithub. を v1.7.29 に更新
github. が v1.7.29 に更新されました。
securitygithub. を v2.4.0 に更新
github. が v2.4.0 に更新されました。
securitygithub. を v28.3.3+incompatible に更新
github. が v28.3.3+incompatible に更新されました。
securitygolang. を v0.45.0 に更新
golang. が v0.45.0 に更新されました。
securityhelm. を v3.18.4 に更新
helm. が v3.18.4 に更新されました。
securityhelm. を v3.18.5 に更新
helm. が v3.18.5 に更新されました。
breakingplpmtud の既定値を blackhole に変更
plpmtud の既定値が blackhole（blackhole-detected）になりました。
breakingAddressScopeMax の既定値を254に変更
AddressScopeMax の既定値が254（ホストスコープ）に変わり、新しいGKEメタデータサーバーとHCPのユースケースに対応しました。関連する設定は --local-max-addr-scope です。
breakingtls authMode の既定値を migration に変更
tls authMode の既定値が migration になりました。
breakingcni の削除タイムアウトを1.5秒に短縮
cni の削除時のタイムアウトが1.5秒に短縮されました。
breakingpolicy-default-local-cluster を既定で設定
policy-default-local-cluster が既定で設定されるようになりました。
breakinghost firewall bypassを既定で無効化
host firewall bypassが既定で無効になりました。
breakingFQDNのmatchpattern sanitizationを厳密化
FQDNのmatchpattern sanitizationが見直され、条件がより厳密になりました。
breakingcilium_host 経由の暗号化トラフィック転送を削除
暗号化トラフィックを cilium_host 経由で転送しなくなりました。
breakingコンテナイメージへのCNI設定ファイルの同梱を削除
コンテナイメージにCNI設定ファイルをインストールしなくなりました。
影響確認 (30)
breakingネットワークポリシーの既定クラスタをローカルに変更
ネットワークポリシーのセレクターで cluster を設定していない場合に適用されます。
breakingCiliumBGPPeeringPolicy v1 APIのサポートを削除
CiliumBGPPeeringPolicy を使用している場合に適用されます。
breakingMutual Authentication を既定で無効化
Mutual Authentication を有効にしている場合に適用されます。
事前準備 (7)
deprecated--enable-ipsec-encrypted-overlay を非推奨化削除時期は未定
--enable-ipsec-encrypted-overlay を使用している場合に適用されます。
deprecatedToRequires と FromRequires を非推奨化
ToRequires または FromRequires を使用している場合に適用されます。
deprecatedHelm valuesでのTLS証明書とキーの指定を非推奨化
Helm valuesでTLS証明書またはキーを渡している場合に適用されます。
