CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
APIの非推奨化や運用上確認が必要な削除と既定値変更に加え、新機能、性能改善、正確性に関する修正を含みます。セキュリティアドバイザリや、明示的に説明されたセキュリティ脆弱性はありません。
要対応 (1)
breakingPromQL duration 式のデフォルト有効化
PromQL の duration 式がデフォルトで有効になりました。promql-duration-expr feature flag は何もしない設定になっています。
影響確認 (1)
breakinghcloud ターゲットの __meta_hetzner_datacenter ラベル削除
hcloud ターゲットを使用している場合に該当します。
事前準備 (1)
deprecatedstats クエリパラメータの一部指定値を非推奨化削除時期は未定
stats に true または all 以外の値を設定している場合に該当します。
このリリースでは、開示された依存関係の脆弱性に対応しています。PromQL の SIGBUS クラッシュ修正と、関連する推移的依存関係の更新も含まれています。
要対応 (2)
securityhighgolang. の v0.39.0 への更新
golang. を v0.38.0 から v0.39.0 へ更新し、CVE-2026-56852 に対応しました。
securityhighgoogle. の v1.82.1 への更新
google. を v1.81.1 から v1.82.1 へ更新し、GHSA-hrxh-6v49-42gf に対応しました。
バックエンド互換性に関わる削除や移行、設定とCLIの機能追加、非推奨化、正確性の修正を含むリリースです。セキュリティアドバイザリやセキュリティ固有の不具合は開示されていません。
要対応 (1)
breakingテンプレート作成処理の esclient への移行
テンプレートの作成処理を esclient に移行し、従来の legacy mapping rendering を廃止しました。
影響確認 (3)
breakingelasticsearch v6 のサポート終了
elasticsearch v6 を利用している場合に適用されます。
breakingjaegermcp 拡張機能の jaegerquery への統合
jaegermcp 拡張機能を利用している場合に適用されます。
breaking期限切れの安定版 feature gates の削除
適用対象はリリースノートに明記されていません。
事前準備 (1)
deprecatedlegacy flag の非推奨化
legacy flag を利用している場合に適用されます。
UIで使用する sanitize-html の更新を含むリリースです。CVE-2026-53606 の修正が反映されています。
要対応 (1)
securitymediumsanitize-html の更新
UIで使用する sanitize-html を v2.17.5 に更新し、CVE-2026-53606 を修正しました。
セキュリティ修正に加え、既存の設定や JSON 出力に影響する変更、複数の不具合修正が含まれています。設定項目の追加など、新しい構成にも対応しています。
要対応 (1)
securitycriticalCVE-2026-33186 に対応する gRPC 実装を更新
thanos-community/grpc-go のフォークを更新し、形式不正な :path ヘッダーを利用した認可バイパスを修正しました。対象は CVE-2026-33186 です。
影響確認 (4)
securityReceive のテナント ID 検証を修正
Receive を実行している場合に適用されます。
breakingQuery-Frontend の処理時間フィールドを変更
Query-Frontend を実行している場合に適用されます。
breakingReceive の不均一ブロックサイズ無視オプションを削除
--shipper. を設定している場合に適用されます。
セキュリティ関連の依存関係更新と挙動変更を含み、PromQL、配布アーティファクト、APIや設定の扱いが変わります。性能改善と不具合修正も含まれるため、これらの機能や運用箇所を利用している環境に関係するリリースです。
要対応 (2)
securitycriticalsanitize-htmlの更新
UIで使用するsanitize-htmlを更新し、クロスサイトスクリプティングの脆弱性CVE-2026-44990を修正しました。
breakingサードパーティライセンスの提供方法を変更
サードパーティ製npm依存関係のライセンスをPrometheusバイナリに埋め込み、/assets/third-party-licenses.で提供する形に変更しました。リリースのtarballとコンテナイメージに収録していたnpm_licenses.は置き換えられています。
影響確認 (2)
securitymedium別ホストへのリダイレクト時に認証情報を転送しない挙動
スクレイピング、リモート読み取りまたは書き込み、アラート、サービスディスカバリのいずれかを利用している場合に適用されます。
breakingPromQL期間式関数の改名
experimental-duration-exprを有効にしてmin()またはmax()を使用している場合に適用されます。
v3. は、シークレット露出の修正と依存関係の更新を含むセキュリティ対応リリースです。コンテナイメージは ghcr. にも公開されるようになりました。
要対応 (2)
securitycriticalgolang. と OpenTelemetry の更新
golang. を v0. に、OpenTelemetry を v1. に更新し、報告された GO-2026-5026、GO-2026-4918、GO-2026-4985 に対応しました。
securityUI依存関係のセキュリティ修正版への更新
UIの依存関係である react-router-dom、vitest、vite、postcss を修正版へ更新し、セキュリティアドバイザリに対応しました。
影響確認 (1)
security/-/config でのシークレット平文露出の修正
/-/config エンドポイントにアクセスする場合に適用されます。
コンテナイメージに関する非公開のCVE修正と、NetworkChaosの復旧不具合修正を含みます。その他の見出しでは、運用者向けの変更はありません。
要対応 (2)
securityGoツールチェーンとcontainerdの更新
Goツールチェーンを1.に、containerdを1.にアップグレードしました。
securitymemStressとchaos-daemonイメージの更新
memStressヘルパーを最新のGoツールチェーンで再ビルドし、chaos-daemonイメージをヘッドレスJREに切り替えました。使用したGoツールチェーンのバージョンはv0.です。
依存関係の更新、正確性の修正、クラウド機能とクエリ機能の追加、設定や出力の変更を含むリリースです。識別された脆弱性に対応するセキュリティ関連の依存関係更新も行われています。
要対応 (1)
securityhighGo依存関係の更新
脆弱性のあるGo依存関係が更新され、GHSA-xmrv-pmrh-hhx2 と CVE-2026-34986 に対応しました。
影響確認 (1)
breakingMCPサーバーのデフォルト無効化
MCP_SERVER_ENABLED を設定しない場合に適用されます。
運用者向けのAPIや連携機能、設定項目、UI機能が追加され、既存機能の検証や制約も見直されています。セキュリティ上の問題への修正に加え、正確性の修正と性能改善も含まれています。
要対応 (1)
breakingfgprofプロファイルの同時実行を拒否
APIでfgprofプロファイルを同時に実行した場合、その実行を拒否するようになりました。
影響確認 (3)
securityRemote Writeの32MB超過リクエストを拒否
Remote Writeを使用している場合に適用されます。
securitySTACKIT SDの平文シークレット公開を修正
STACKIT SDを使用している場合に適用されます。
breakinggzipエンコードされたOTLP本文のサイズ制限
OTLPを使用している場合に適用されます。
依存関係の更新に加え、運用時に関わる設定や挙動の変更、新しい連携や機能、正確性に関する修正が含まれます。セキュリティ関連の依存関係更新も行われています。
要対応 (1)
securityhighGo依存関係の脆弱性対応
脆弱性のあるGo依存関係を更新し、GHSA-xmrv-pmrh-hhx2およびCVE-2026-34986に対応しました。
影響確認 (2)
breakingprovider configの設定読み取り先変更
provider configを設定している場合に適用されます。
breakingMCPサーバーの既定動作をオプトインに変更
MCPサーバーを使用する場合に適用されます。
破壊的な削除に加え、メトリクスとAPIの変更、複数の不具合修正、実験的な機能が含まれています。セキュリティアドバイザリやセキュリティ固有の修正は記載されていません。
要対応 (2)
breakingmetricstoreのmin step apiを削除
metricstoreからmin step apiを削除しました。
breakingjaegermcpのnon-standard health mcp toolを削除
jaegermcpからnon-standard health mcp toolを削除しました。
Store Gateway、フェデレーション、オーバーライド、キャッシュ、メトリクス、クエリに関する機能が追加され、複数の実験的機能が正式機能へ移行しました。デフォルト値や設定名、依存関係も更新され、正確性、メモリ使用量、パニック、データ破損に関する不具合が修正されています。
要対応 (1)
breakingバケットインデックスのデフォルト有効化
Blocks storage では、バケットインデックスがデフォルトで有効になりました。-blocks-storage. による無効化は、本番環境では推奨されません。
影響確認 (1)
breakingDistributor のタイプ・単位ラベル用フラグ統合
remote write v2 と OTLP リクエストで -distributor. または -distributor. を設定している場合に適用されます。
事前準備 (3)
breakingRuler API フラグの名称変更
-experimental. を設定している場合に適用されます。
breakingAlertmanager API フラグの名称変更
-experimental. を設定している場合に適用されます。
breakingUsers Scanner の更新間隔設定の名称変更
-*.、clean_up_interval のいずれかを設定している場合に適用されます。
インストール用スクリプトの扱いが変わり、GoツールチェーンとJSON-RPC依存関係が更新されています。ダッシュボードとWebhookの不具合が修正され、GoおよびUIパッケージには脆弱性修正が含まれています。
要対応 (2)
securitygoパッケージの更新
脆弱性を修正するため、goパッケージを更新しました。
securityuiパッケージの更新
脆弱性を修正するため、uiパッケージを更新しました。
影響確認 (1)
breakinginstall.の削除
install.を使用している場合に該当します。
事前準備 (1)
deprecatedinstall.の非推奨化
install.を使用している場合に該当します。
設定やAPIの互換性に関わる変更があり、GoツールチェーンにはGo 1.が必要です。新しい機能の追加と不具合および性能の修正も含まれますが、セキュリティアドバイザリやセキュリティ固有の修正は確認されていません。
要対応 (1)
breakingGo 1.の必須化
コードベース全体でGoのバージョンを統一し、Go 1.を必須とします。
影響確認 (2)
breakingremote sampling endpointのレガシー形式削除
remote sampling endpointを使用している場合に適用されます。
breakingtraces.からtraces.への変更
traces.を設定している場合に適用されます。
Native Histogramsの扱いが変わり、API、フラグ、メトリクス、PromQL、TSDB、UIにわたる機能追加と改善が含まれています。セキュリティアドバイザリやセキュリティ固有の修正は確認されていません。
要対応 (1)
breakingTSDB status endpoint の統計セット数上限
TSDB status endpoint が返す統計セットの最大数は10,000に制限されます。
影響確認 (1)
breakingNative Histogram の収集設定変更
scrape_native_histograms を設定して exporter から Native Histogram サンプルを収集する場合に該当します。
