リリース

要対応 (1)

• securityhighquinn-proto の RUSTSEC-2026-0185 修正

  quinn-proto の RUSTSEC-2026-0185 を修正しました。

要対応 (1)

• securityalpine ベースイメージの更新

  ベースイメージ alpine が alpine:3.23.4 から alpine:3.24.1 に更新され、セキュリティ上の懸念に対応しています。

要対応 (1)

• securityalpine ベースイメージの更新

  ベースイメージ alpine が alpine:3.23.4 から alpine:3.24.1 に更新されました。セキュリティ上の懸念に対応するための変更です。

要対応 (1)

• securityベースイメージ alpine の更新

  セキュリティ上の懸念への対応として、ベースイメージ alpine が alpine:3.23.4 から alpine:3.24.1 に更新されました。

要対応 (2)

• securityパッケージ署名検証における TOCTOU の修正

  悪意のある OCI レジストリが、署名済みイメージで検証を通過した後に未署名の内容をインストール用に配信できる TOCTOU の問題を修正しました。crossplane-runtime を v2.3.3 に更新してこの修正を取り込みました。関連するアドバイザリは GHSA-mf7q-r4rv-jv94 です。

• securityGo とネットワーク関連依存関係の更新

  Go を 1.25.11 に更新し、CVE 対応として golang.org/x/net と golang.org/x/sys も更新しました。

要対応 (1)

• securitycriticalパッケージ署名検証の TOCTOU 修正

  パッケージ署名検証における TOCTOU の問題を修正しました。関連するアドバイザリは GHSA-wfqx-gjrf-g28r です。

要対応 (3)

• securitygithub.com/quic-go/quic-go の v0.59.1 更新

  依存モジュール github.com/quic-go/quic-go を v0.59.1 に更新しました。リリースノートでは、セキュリティ関連の更新として記載されています。

• securitygolang.org/x/net の v0.55.0 更新

  依存モジュール golang.org/x/net を v0.55.0 に更新しました。リリースノートでは、セキュリティ関連の更新として記載されています。

• securityGo の 1.25.11 への更新

  Go を 1.25.11 に更新しました。リリースノートでは、セキュリティ関連の変更として記載されています。

要対応 (2)

• securityhighGoツールチェーンを1.25.11へ更新

  Goツールチェーンを1.25.11へ更新しました。1.25.11はGo 1.25向けのセキュリティパッチで、CVE-2026-27145、CVE-2026-42504、CVE-2026-42507に対応します。

• securitygo.mongodb.org/mongo-driverをv1.17.7へ更新

  go.mongodb.org/mongo-driverをv1.17.7へ更新しました。

要対応 (1)

• securitypostgres クレートの更新

  postgres クレートが更新され、RUSTSEC-2026-0178、RUSTSEC-2026-1079、RUSTSEC-2026-0180 に対応しました。

要対応 (1)

• securityhighgithub.com/moby/spdystream の v0.5.1 への更新

  PR #17962 で github.com/moby/spdystream を v0.5.0 から v0.5.1 に更新し、CVE-2026-35469（GHSA-pc3f-x583-g7j2）に対応しました。

要対応 (8)

• securitymediumgolang.org/x/imageの更新

  golang.org/x/imageがv0.39.0へ更新され、GO-2026-4962に対応しました。

• securitydurabletask-goとpgxの更新

  durabletask-goがv0.12.1へ更新され、pgxも更新されました。

• breakingWorkflowsRemoteActivityReminderのデフォルト有効化

  WorkflowsRemoteActivityReminderがデフォルトで有効になり、アプリ間のワークフローアクティビティ結果がSchedulerのリマインダー経由で配信されます。

• breakingコンポーネント群のホットリロード

  HotReloadがデフォルトで有効になり、Components、Subscriptions、MCPServers、Configurations、HTTPEndpoints、Resiliencies、WorkflowAccessPoliciesがデフォルトでホットリロードされます。

• breakingサイドカーのプローブ既定値の変更

  サイドカーのlivenessは、kubeletが再起動するまでの時間が約230秒となるよう緩和され、readinessはより短い時間で反応する設定になりました。

• breakingHotReloadのデフォルト有効化

  HotReloadがv1.18でデフォルト有効になりました。

• breakinglivenessとreadinessのプローブ既定値更新

  livenessの既定値が緩和され、readinessの既定値が厳格になりました。

• breakingサイドカープローブ既定値の変更

  サイドカーのプローブ既定値が変更されました。livenessはkubelet再起動まで約230秒となるよう緩和され、readinessはcontrol-planeで約3秒、daprdで約5秒となるよう短縮されました。

要対応 (1)

• securitygolang.org/x/net を v0.55.0 に更新

  依存モジュール golang.org/x/net を v0.55.0 に更新しました。変更には [security] の印が付いています。

要対応 (2)

• securitycriticalgoogle.golang.org/grpc のセキュリティ更新

  google.golang.org/grpc を 1.79.3 に更新し、GHSA-p77j-4mvh-x3m3 に対応しました。

• securityVMExport ディレクトリハンドラーのシンボリックリンク走査修正

  VMExport のディレクトリハンドラーで、シンボリックリンクをたどる問題を修正しました。

要対応 (1)

• securitycriticalgRPC依存関係の更新

  google.golang.org/grpc を 1.79.3 に更新し、CVE-2026-33186 に対応しました。

要対応 (1)

• securitycriticalgoogle.golang.org/grpc の更新と CVE-2026-33186 対応

  google.golang.org/grpc を更新し、CVE-2026-33186 に対処しました。

要対応 (2)

• securitywasmtime 44.0.2のセキュリティパッチ適用

  wasmtimeを44.0.2へ更新し、セキュリティパッチを適用しました。

• security報告済みセキュリティアドバイザリへの対応

  報告されたセキュリティアドバイザリに対応する依存関係のパッチを適用しました。対象となる脆弱性の内容は示されていません。

要対応 (4)

• securitymediumgithub.com/prometheus/prometheusの更新

  github.com/prometheus/prometheusを更新し、格納型XSSのアドバイザリGHSA-vffh-x6r8-xx99に対応しました。

• securitymediumadmission webhookのリクエスト本文制限

  admission webhookへのリクエスト本文のサイズを制限し、サイズの大きい本文によってwebhookサーバーがメモリ不足になるサービス拒否のリスクを修正しました。関連する識別子はCVE-2026-44247とGHSA-8wxp-xxp2-rcgxです。

• breakingDRAスケジューリング統合の既定有効化

  DRAスケジューリング統合が既定で有効になりました。対象となる設定項目はpredicate.DynamicResourceAllocationEnableです。

• breakingKubernetes 1.34以降に合わせたDRA既定値の変更

  Kubernetes 1.34以降の挙動に合わせ、DRAスケジューリング統合が既定で有効になりました。無効にする場合はpredicate.DynamicResourceAllocationEnable: falseを設定します。