CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
依存関係の更新とサンプルマニフェストの変更を含むリリースです。Kubernetes 1.31から1.33でテストされており、運用者向けに単独の変更を伴わない見出しもあります。
要対応 (2)
securitycriticalgoogle.をv1.に更新
google.をv1.に更新します。この更新はCVE-2026-33186に対処していますが、Contourは影響を受けません。
securityEnvoyをv1.に更新
Envoyをv1.に更新し、セキュリティ上の脆弱性に対処するとともに安定性を改善します。
影響確認 (1)
breakingサンプルマニフェストのhostPort: 8002を削除
hostPort: 8002をサンプルマニフェストで設定している場合に適用されます。
依存関係の更新と、example manifestsの設定変更を含むリリースです。Kubernetes 1.30から1.32までの範囲でテストされています。
要対応 (2)
securitycriticalgoogle.のv1.への更新
google.をv1.へ更新します。この更新にはCVE-2026-33186への対応が含まれますが、Contourは影響を受けません。
securityEnvoyのv1.への更新
Envoyをv1.へ更新します。
影響確認 (1)
breakingexample manifestsからのEnvoyメトリクス設定削除
example manifestsでhostPort: 8002を使用している場合に適用されます。
Kubernetesの対応範囲を絞り、今後削除される機能を告知したリリースです。Kafka 3.をサポートし、依存関係のセキュリティ修正も含みます。リリース概要や成果物一覧には、個別の運用者向け変更に当たらない記載もあります。
要対応 (8)
securityhighGRPC Netty ShadedのCVE-2025-55163対応
GRPC Netty Shaded を更新し、CVE-2025-55163 に対応しました。
securitymediumZookeeperのCVE-2024-47554対応
Zookeeper を更新し、CVE-2024-47554 に対応しました。
securitymediumNimbus Jose JWT 10.0.2への更新
Nimbus Jose JWT を 10. に更新し、CVE-2025-53864 に対応しました。
securitymediumNetty 4.1.130.Finalへの更新
Netty を 4. に更新し、CVE-2025-67735 に対応しました。
securitymediumApache Log4J 2.25.3への更新
Apache Log4J を 2. に更新し、CVE-2025-68161 に対応しました。
securitymediumVertx 4.5.24への更新
Vertx を 4. に更新し、CVE-2026-1002 に対応しました。
securitymediumJacksonのGHSA-72hv-8253-57qq対応
Jackson を更新し、GHSA-72hv-8253-57qq に対応しました。
securityVert.とNettyのCVE対応
0.45.xブランチで、Vert. と Netty が更新され、CVEへの対応が行われました。
影響確認 (1)
breakingKubernetesの対応範囲を1.25以降に変更
Kubernetes 1. または Kubernetes 1. を使用している場合に該当します。
事前準備 (3)
breakingStrimzi MirrorMaker 2 Extensionsの削除予定0.28.0から · 0.46で削除予定
Strimzi MirrorMaker 2 Extensions を使用している場合に該当します。
breakingStrimzi EnvVar Configuration Providerの削除予定0.38.0から · 0.46で削除予定
Strimzi EnvVar Configuration Provider を使用している場合に該当します。
deprecatedZooKeeperベースのKafkaクラスタとMirrorMaker 1のサポート終了予定0.46で削除予定
ZooKeeper-based Apache Kafka clusters または MirrorMaker 1 deployments を使用している場合に該当します。
アップグレードを要するセキュリティ修正が含まれています。通常の不具合修正に加え、公開アーティファクトと動的モジュールの互換性に関する変更もあります。
要対応 (3)
securitymediumスコープ付き IPv6 アドレスのクラッシュ修正
スコープ付き IPv6 アドレスで getAddressWithPort() が呼び出された際のクラッシュを修正しました。対象の識別子は CVE-2026-26310 と GHSA-3cw6-2j68-868p です。
securitymediumJSON の文字列終端処理の修正
境界を 1 つ超えて書き込む処理を修正し、文字列の null 終端文字が破損する問題に対応しました。対象の識別子は CVE-2026-26309 と GHSA-56cj-wgg3-x943 です。
securitymedium下流側リセット後の decode* メソッド実行制御
下流側でリセットされた後に decode* メソッドが実行されないよう修正しました。対象の識別子は CVE-2026-26311 と GHSA-84xm-r438-86px です。
影響確認 (2)
securityhighrbac の複数値ヘッダーによるバイパス修正
rbac サブシステムを使用している場合に適用されます。
securitymediumレスポンスフェーズの制限処理におけるクラッシュ修正
ratelimit サブシステムを使用している場合に適用されます。
アップグレード対応が必要なセキュリティ修正に加え、通常のバグ修正と依存関係およびイメージの更新を含みます。残りの項目は見出しのみで、運用者向けの変更内容は記載されていません。
要対応 (3)
securitymediumスコープ付きIPv6アドレス処理のクラッシュ修正
CVE-2026-26310（GHSA-3cw6-2j68-868p）に対応し、スコープ付きIPv6アドレスを渡して getAddressWithPort() を呼び出した際のクラッシュを修正しました。
securitymediumjson のオフバイワン書き込み修正
CVE-2026-26309（GHSA-56cj-wgg3-x943）に対応し、文字列のnull終端を破損させる可能性があったオフバイワン書き込みを json で修正しました。
securitymedium下流リセット後の decode* メソッド実行防止
CVE-2026-26311（GHSA-84xm-r438-86px）に対応し、下流リセット後に decode* メソッドが実行されないよう修正しました。
影響確認 (2)
securityhighrbac の複数値ヘッダーバイパス修正
rbac を使用している場合に適用されます。
securitymediumratelimit のレスポンスフェーズにおけるクラッシュ修正
ratelimit を使用している場合に適用されます。
Envoy v1.35.9は、複数の処理経路に関わるセキュリティ修正を含むリリースです。RBAC、アドレス処理、JSON処理、HTTP処理を利用している環境に関係します。
要対応 (4)
securityhighRBACの複数値ヘッダーバイパス修正
CVE-2026-26308（GHSA-ghc4-35x6-crw5）に対応し、RBACで複数値ヘッダーを使ったバイパスを修正しました。
securitymediumスコープ付きIPv6アドレス処理のクラッシュ修正
CVE-2026-26310（GHSA-3cw6-2j68-868p）に対応し、スコープ付きIPv6アドレスでgetAddressWithPort()を呼び出した際にクラッシュする問題を修正しました。
securitymediumJSON処理のオフバイワン書き込み修正
CVE-2026-26309（GHSA-56cj-wgg3-x943）に対応し、JSON処理で文字列のnull終端子を破損させる可能性があったオフバイワン書き込みを修正しました。
securitymedium下流リセット後のdecode*メソッド実行制御
CVE-2026-26311（GHSA-84xm-r438-86px）に対応し、下流接続のリセット後にdecode*メソッドが実行されないよう修正しました。
公表済みのセキュリティ修正に加え、OAuth2の正確性修正とDocker base imagesの更新を含みます。非セキュリティ修正ではオペレーターの作業は不要ですが、セキュリティ脆弱性にはアップグレードで対応します。
要対応 (4)
securityhighrbac の複数値ヘッダーバイパスを修正
rbac における複数値ヘッダーのバイパスを修正しました。対象は CVE-2026-26308（GHSA-ghc4-35x6-crw5）です。
securitymediumスコープ付きIPv6アドレス処理のクラッシュを修正
スコープ付きIPv6アドレスで呼び出した際に発生する getAddressWithPort() のクラッシュを network で修正しました。対象は CVE-2026-26310（GHSA-3cw6-2j68-868p）です。
securitymediumjson のオフバイワン書き込みを修正
json で、文字列のnull終端子を破壊する可能性があるオフバイワン書き込みを修正しました。対象は CVE-2026-26309（GHSA-56cj-wgg3-x943）です。
securitymedium下流側リセット後の decode* メソッドをブロック
下流側のリセット後に decode* メソッドが実行されないよう、http の処理を修正しました。対象は CVE-2026-26311（GHSA-84xm-r438-86px）です。
EnvoyとIstioのCVEを含む複数のセキュリティ修正に加え、通常の正確性修正とデバッグエンドポイントの認可設定機能が追加されています。デバッグエンドポイントや認証関連機能を利用する環境では、該当する修正内容の確認が必要です。
要対応 (1)
securitymediumCVE-2026-26309のJSONオフバイワン書き込み修正
JSON処理で発生するオフバイワン書き込みを修正しました。
影響確認 (10)
securityhighCVE-2026-26308のマルチバリューヘッダーバイパス修正
RBACを使用している場合に適用されます。
securityhighCVE-2026-31837とGHSA-v75c-crr9-733cのJWKS Resolver修正
JWKS Resolverを使用している場合に適用されます。
securitymediumCVE-2026-26311のHTTPデコード処理修正
HTTPを使用している場合に適用されます。
複数の公開済みセキュリティ修正を含み、Envoy と Istio の CVE に対応しています。デバッグエンドポイントの名前空間認可設定が追加され、InferencePool 構成を失う不具合も修正されています。
要対応 (7)
securityhighRBACの複数値ヘッダーバイパス修正
CVE-2026-26308 に対応し、RBAC における複数値ヘッダーのバイパスを修正しました。
securityhighJWKSリゾルバー障害による認証バイパス修正
CVE-2026-31837 および GHSA-v75c-crr9-733c に対応し、既知のデフォルトキーを使った認証バイパスにつながる JWKS リゾルバーの障害を修正しました。
securitymedium下流リセット後のHTTPデコードメソッド処理修正
CVE-2026-26311 に対応し、下流側のリセット後にHTTPデコードメソッドがブロックされる問題を修正しました。
securitymediumスコープ付きIPv6アドレス処理のクラッシュ修正
CVE-2026-26310 に対応し、スコープ付きIPv6アドレスを指定した getAddressWithPort() でクラッシュする問題を修正しました。
securitymediumJSON処理のオフバイワン書き込み修正
CVE-2026-26309 に対応し、JSON処理で発生するオフバイワン書き込みを修正しました。
securitymediumレート制限レスポンスフェーズのクラッシュ修正
CVE-2026-26330 に対応し、レート制限レスポンスフェーズでクラッシュする問題を修正しました。
securitymediumデバッグエンドポイントの名前空間越しプロキシデータアクセス修正
CVE-2026-31838 および GHSA-974c-2wxh-g4ww に対応し、デバッグエンドポイントから別の名前空間にあるプロキシデータへアクセスできる問題を修正しました。
影響確認 (3)
security平文ポートのXDSデバッグエンドポイント認証
XDS デバッグエンドポイントを公開している場合に適用されます。
securityWasmPluginイメージ取得時のSSRF対策
WasmPlugin のイメージ取得を使用している場合に適用されます。
securityHTTPデバッグエンドポイントの名前空間認可
HTTPデバッグエンドポイントを公開している場合に適用されます。
セキュリティ修正と、デバッグエンドポイントで認可する名前空間を指定できる新しい設定機能を含みます。セキュリティ修正の適用にはアップグレードが必要で、新しい認可設定は任意です。
要対応 (3)
securitymedium下流リセット後のHTTPデコードメソッド処理修正
CVE-2026-26311 に対応し、下流からのリセット後にHTTPデコードメソッドがブロックされるよう修正しました。
securitymediumスコープ付きIPv6アドレス使用時のクラッシュ修正
CVE-2026-26310 に対応し、スコープ付きIPv6アドレスを指定したgetAddressWithPort()のクラッシュを修正しました。
securitymediumJSONのオフバイワン書き込み修正
CVE-2026-26309 に対応し、JSONのオフバイワン書き込みを修正しました。
影響確認 (6)
securityhighRBACのマルチバリューヘッダーバイパス修正
RBAC を使用している場合に適用されます。
securityhighJWKS Resolverの認証バイパスにつながる障害修正
JWKS Resolver を使用している場合に適用されます。
securitymediumデバッグエンドポイントの名前空間をまたぐプロキシデータアクセス修正
Debug Endpoints を使用している場合に適用されます。
公表済みの脆弱性への対応に加え、KubernetesとKafkaのサポート対象が見直され、機能ゲートの既定値やリスナー単位のKafkaオプション設定が変更されました。ingressリスナータイプも非推奨になっており、アップグレードにはCRDの更新とKafkaUserフィールドの移行が必要です。
要対応 (2)
securityhigh公表済み脆弱性への対応
公表済みの脆弱性2件に対応しました。対象は CVE-2026-27133、CVE-2026-27134、GHSA-2qwx-rq6j-8r6j、GHSA-6x85-j2f7-4xc5 です。
breakingServerSideApplyPhase1を既定で有効化
ServerSideApplyPhase1 feature gateがベータに移行し、既定で有効になりました。
影響確認 (2)
breakingKubernetesのサポート対象を1.30以降に変更
Kubernetes 1.27、1.28、または1.29を使用している場合に該当します。
breakingKafka 4.0.0および4.0.1のサポートを削除
Kafka 4.0.0または4.0.1を使用している場合に該当します。
事前準備 (1)
deprecatedingressリスナータイプを非推奨化
ingressリスナータイプを設定している場合に該当します。
公開されたセキュリティ修正と、API変換や証明書出力に関する変更を含むリリースです。依存関係とコンテナイメージも更新され、非推奨となったKafkaUser APIフィールドの設定には移行が必要です。
要対応 (1)
securityhighCVE-2026-27133のセキュリティ修正
CVE-2026-27133に関するセキュリティ上の不具合が修正されました。
事前準備 (1)
deprecated.の非推奨化
.を設定している場合に該当します。
セキュリティ上の問題を修正し、ゲートウェイやデバッグエンドポイント、リソースアノテーションに関する保護を追加しています。TLS、cgoバイナリ、Kubernetesリソースの扱いに関係する環境では、変更内容の確認が必要です。
要対応 (1)
securityhighcgoバイナリへのコード混入を防ぐ修正
GoとC/C++のコメント解析の食い違いによって、生成されるcgoバイナリにコードを紛れ込ませられる問題を修正しました。CVE-2025-61732に対応しています。
影響確認 (4)
securitycriticalTLSセッション再開時の証明書設定検証
Config.で変更を加える場合、またはConfig.を使う場合に適用されます。
securityゲートウェイデプロイメントのリソース検証
ゲートウェイデプロイメントコントローラーが動作している場合に適用されます。
securityリソースアノテーションの文字検証
リソースアノテーションを設定する場合に適用されます。
セキュリティ上の脆弱性に対応しています。利用中の環境では、アップグレードの適用を検討する判断材料となるリリースです。
要対応 (2)
securitycriticalcrypto/tlsのセッション再開処理の修正
crypto/tlsのセッション再開で、初回ハンドシェイク後にClientCAsまたはRootCAsが変更されると、本来は失敗すべき再開ハンドシェイクが成功する問題を修正しました。CVE-2025-68121に対応しています。
securityhighコメント解析の違いによるコード混入の修正
GoとC/C++でコメントの解析方法が異なるため、生成されたcgoバイナリにコードを紛れ込ませられる問題を修正しました。CVE-2025-61732に対応しています。
運用者向けの機能追加と既定値の変更を含むリリースです。明示的な CVE やアドバイザリ識別子は含まれていません。
要対応 (1)
breakingistiod の GOMEMLIMIT 自動設定
メモリ管理が改善され、istiod は automemlimit ライブラリを使ってメモリ上限の 90% を GOMEMLIMIT に自動設定します。OOM による強制終了のリスクを抑えながら、パフォーマンスを維持します。
影響確認 (4)
breakingambient mesh の DNS キャプチャを既定で有効化
ambient mesh のワークロードに適用されます。
breakingデバッグエンドポイント認可の既定有効化
ポート 15014 のデバッグエンドポイントに適用されます。
breakingEnvoy メトリクスの HTTP 圧縮を既定で有効化
Prometheus の stats エンドポイントで、クライアントの Accept-Header に応じた Envoy メトリクスを扱う場合に適用されます。
アップグレードが必要なセキュリティ修正を含み、デバッグエンドポイントの利用制限も適用されます。Helmチャートの設定項目追加と、動作の正確性に関する修正も含まれます。
要対応 (1)
securityリソースアノテーションの文字検証
リソースアノテーションの検証で、改行文字と制御文字を拒否するようになりました。テンプレートのレンダリングによって Pod 仕様へコンテナが注入されることを防ぎます。関連する Issue は #58889 です。
影響確認 (2)
securityゲートウェイデプロイメントコントローラーのリソース検証
gateway deployment controller が動作する場合に適用されます。
breakingデバッグエンドポイントの名前空間単位認可
ポート 15014 のデバッグエンドポイントを利用している場合に適用されます。
運用者向けの機能追加と保守変更を含むリリースです。DNSプロキシ、インストール、設定、API、メトリクス、データパスに関わる変更に加え、データパスとclustermeshの修正、既定値や互換性の見直し、非推奨機能の整理が行われています。依存関係の更新も含まれます。
要対応 (15)
securitygithub. を v1.7.29 に更新
github. が v1.7.29 に更新されました。
securitygithub. を v2.4.0 に更新
github. が v2.4.0 に更新されました。
securitygithub. を v28.3.3+incompatible に更新
github. が v28.3.3+incompatible に更新されました。
securitygolang. を v0.45.0 に更新
golang. が v0.45.0 に更新されました。
securityhelm. を v3.18.4 に更新
helm. が v3.18.4 に更新されました。
securityhelm. を v3.18.5 に更新
helm. が v3.18.5 に更新されました。
breakingplpmtud の既定値を blackhole に変更
plpmtud の既定値が blackhole（blackhole-detected）になりました。
breakingAddressScopeMax の既定値を254に変更
AddressScopeMax の既定値が254（ホストスコープ）に変わり、新しいGKEメタデータサーバーとHCPのユースケースに対応しました。関連する設定は --local-max-addr-scope です。
breakingtls authMode の既定値を migration に変更
tls authMode の既定値が migration になりました。
breakingcni の削除タイムアウトを1.5秒に短縮
cni の削除時のタイムアウトが1.5秒に短縮されました。
breakingpolicy-default-local-cluster を既定で設定
policy-default-local-cluster が既定で設定されるようになりました。
breakinghost firewall bypassを既定で無効化
host firewall bypassが既定で無効になりました。
breakingFQDNのmatchpattern sanitizationを厳密化
FQDNのmatchpattern sanitizationが見直され、条件がより厳密になりました。
breakingcilium_host 経由の暗号化トラフィック転送を削除
暗号化トラフィックを cilium_host 経由で転送しなくなりました。
breakingコンテナイメージへのCNI設定ファイルの同梱を削除
コンテナイメージにCNI設定ファイルをインストールしなくなりました。
影響確認 (30)
breakingネットワークポリシーの既定クラスタをローカルに変更
ネットワークポリシーのセレクターで cluster を設定していない場合に適用されます。
breakingCiliumBGPPeeringPolicy v1 APIのサポートを削除
CiliumBGPPeeringPolicy を使用している場合に適用されます。
breakingMutual Authentication を既定で無効化
Mutual Authentication を有効にしている場合に適用されます。
事前準備 (7)
deprecated--enable-ipsec-encrypted-overlay を非推奨化削除時期は未定
--enable-ipsec-encrypted-overlay を使用している場合に適用されます。
deprecatedToRequires と FromRequires を非推奨化
ToRequires または FromRequires を使用している場合に適用されます。
deprecatedHelm valuesでのTLS証明書とキーの指定を非推奨化
Helm valuesでTLS証明書またはキーを渡している場合に適用されます。
動的モジュール、フィルター、ルーティング、可観測性、証明書に関する機能が拡充されています。HTTPリセットのデフォルトとリセット処理が変わり、OpenTelemetryアクセスログの common_config フィールドは移行が必要な非推奨項目になりました。
要対応 (1)
breakingランタイムガードとレガシーコードパスの削除
複数のランタイムガードとレガシーコードパスが削除されました。
影響確認 (2)
breakingHTTPリセットコードのデフォルト変更
適用対象はリリースノートに明記されていません。
breaking上流プロトコルエラーのリセット処理変更
適用対象はリリースノートに明記されていません。
事前準備 (1)
deprecatedOpenTelemetryアクセスログの common_config 非推奨化
common_configを設定している場合に適用されます。
