リリース

securitygithub.com/cloudflare/circl の v1.6.3 への更新
github.com/cloudflare/circl を v1.6.3 に更新しました。
securityotlptracehttp の v1.43.0 への更新
go.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttp を v1.43.0 に更新しました。
securitygithub.com/go-jose/go-jose/v4 の v4.1.4 への更新
github.com/go-jose/go-jose/v4 を v4.1.4 に更新しました。
securitygithub.com/sigstore/cosign/v3 の v3.0.5 への更新
github.com/sigstore/cosign/v3 を v3.0.5 に更新しました。
securitygithub.com/go-git/go-git/v5 の v5.17.1 への更新
github.com/go-git/go-git/v5 を v5.17.1 に更新しました。
securitygithub.com/docker/cli の v29.2.0+incompatible への更新
github.com/docker/cli を v29.2.0+incompatible に更新しました。
securityGo の 1.25.9 への更新
Go を 1.25.9 に更新しました。
securitygithub.com/moby/spdystream の v0.5.1 への更新
github.com/moby/spdystream を v0.5.1 に更新しました。
securitygithub.com/sigstore/timestamp-authority/v2 の v2.0.6 への更新
github.com/sigstore/timestamp-authority/v2 を v2.0.6 に更新しました。
securitygithub.com/go-git/go-git/v5 の v5.18.0 への更新
github.com/go-git/go-git/v5 を v5.18.0 に更新しました。

原文 ↗

Crossplanev2.1.5Orchestration & Management2026年4月20日

ACTION 10OTHER 4分析を詳しく見る

Crossplane v2.1.5は、依存関係とGoツールチェーンのセキュリティ対応を中心としたリリースです。複数のモジュールが新しいバージョンに更新されています。

要対応 (10)

securitygithub.com/cloudflare/circl の v1.6.3 への更新
セキュリティ対応として、github.com/cloudflare/circl を v1.6.3 に更新しました。
securitygoogle.golang.org/grpc の v1.79.3 への更新
セキュリティ対応として、google.golang.org/grpc を v1.79.3 に更新しました。
securitygo.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttp の v1.43.0 への更新
セキュリティ対応として、go.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttp を v1.43.0 に更新しました。
securitygithub.com/go-jose/go-jose/v4 の v4.1.4 への更新
セキュリティ対応として、github.com/go-jose/go-jose/v4 を v4.1.4 に更新しました。
securityGo 1.25.9 への更新
セキュリティ対応として、Go を 1.25.9 に更新しました。
securitygithub.com/go-git/go-git/v5 の v5.17.1 への更新
セキュリティ対応として、github.com/go-git/go-git/v5 を v5.17.1 に更新しました。
securitygithub.com/moby/spdystream の v0.5.1 への更新
セキュリティ対応として、github.com/moby/spdystream を v0.5.1 に更新しました。
securitygithub.com/sigstore/timestamp-authority/v2 の v2.0.6 への更新
セキュリティ対応として、github.com/sigstore/timestamp-authority/v2 を v2.0.6 に更新しました。
securitygithub.com/docker/cli の v29.2.0+incompatible への更新
セキュリティ対応として、github.com/docker/cli を v29.2.0+incompatible に更新しました。
securitygithub.com/go-git/go-git/v5 の v5.18.0 への更新
セキュリティ対応として、github.com/go-git/go-git/v5 を v5.18.0 に更新しました。

原文 ↗

Crossplanev2.0.8Orchestration & Management2026年4月20日

ACTION 9OTHER 3分析を詳しく見る

v2.0.8では、運用時に確認される不具合を修正し、Goと複数の依存モジュールを更新しました。セキュリティ更新の詳細な開示内容は示されず、対象コンポーネントのみが記載されています。

要対応 (9)

securitygithub.com/cloudflare/circlをv1.6.3へ更新
github.com/cloudflare/circlをv1.6.3へ更新しました。
securityotlptracehttpをv1.43.0へ更新
go.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttpをv1.43.0へ更新しました。
securitygithub.com/go-jose/go-jose/v4をv4.1.4へ更新
github.com/go-jose/go-jose/v4をv4.1.4へ更新しました。
securityGo 1.25.9への更新
Goを1.25.9へ更新しました。
securitygithub.com/go-git/go-git/v5をv5.17.1へ更新
github.com/go-git/go-git/v5をv5.17.1へ更新しました。
securitygithub.com/moby/spdystreamをv0.5.1へ更新
github.com/moby/spdystreamをv0.5.1へ更新しました。
securitygithub.com/docker/cliをv29.2.0+incompatibleへ更新
github.com/docker/cliをv29.2.0+incompatibleへ更新しました。
securitygithub.com/sigstore/timestamp-authority/v2をv2.0.6へ更新
github.com/sigstore/timestamp-authority/v2をv2.0.6へ更新しました。
securitygithub.com/go-git/go-git/v5をv5.18.0へ更新
github.com/go-git/go-git/v5をv5.18.0へ更新しました。

原文 ↗

Crossplanev1.20.6Orchestration & Management2026年4月20日

ACTION 5OTHER 1分析を詳しく見る

このリリースでは、依存関係の更新によってセキュリティ修正が取り込まれています。該当する依存関係を利用している環境では、修正を得るためにアップグレードが必要です。

要対応 (5)

securitygithub.com/cloudflare/circl を v1.6.3 に更新
github.com/cloudflare/circl が v1.6.3 に更新されました。セキュリティ修正を含む依存関係の更新です。
securityOTLPトレースHTTPエクスポーターを v1.43.0 に更新
go.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttp が v1.43.0 に更新されました。セキュリティ修正を含む依存関係の更新です。
securitygithub.com/go-git/go-git/v5 を v5.17.1 に更新
github.com/go-git/go-git/v5 が v5.17.1 に更新されました。セキュリティ修正を含む依存関係の更新です。
securitygithub.com/moby/spdystream を v0.5.1 に更新
github.com/moby/spdystream が v0.5.1 に更新されました。セキュリティ修正を含む依存関係の更新です。
securitygithub.com/go-git/go-git/v5 を v5.18.0 に更新
github.com/go-git/go-git/v5 が v5.18.0 に更新されました。セキュリティ修正を含む依存関係の更新です。

原文 ↗

Daprv1.15.14Orchestration & Management2026年4月16日

ACTION 2分析を詳しく見る

このリリースは、アクセス制御と実行時の依存関係に関わるセキュリティ更新を含みます。サービス呼び出しの経路やGoの1.24系を利用する環境では、変更内容の確認が関係します。

要対応 (2)

securityACLチェックと送信処理で正規化形式を統一
正規化した形式をACLチェックと外向きのディスパッチの両方で使うようになり、両者の不一致が解消されています。
securityGoの1.24系CVE対応に伴うバージョン更新
Goのバージョンが更新され、1.24系のCVEへの対応が行われています。

原文 ↗

Daprv1.17.5Orchestration & Management2026年4月16日

ACTION 1分析を詳しく見る

Dapr v1.17.5では、ACLチェックと送信処理で使う正規化形式の不一致が修正されました。サービス呼び出しのアクセス制御ポリシーを利用する環境に関係する変更です。

要対応 (1)

securityACLチェックと送信処理での正規化形式の統一
正規化した形式をACLチェックと送信処理の両方で使うようになり、両者の不一致が解消されました。

原文 ↗

Daprv1.16.14Orchestration & Management2026年4月16日

ACTION 3OTHER 1分析を詳しく見る

サービス呼び出しでパスの正規化が一致しないことに起因するACLチェックの迂回を修正しました。メソッドパスの受け入れ条件を狭め、ACLパス処理からpurell依存関係を削除しています。

要対応 (3)

securityサービス呼び出し時のメソッドパス正規化を統一
サービス呼び出しの境界でメソッドパスを正規化します。HTTPおよびgRPCの公開API呼び出しではdirectMessaging.Invoke、gRPCの内部呼び出しではcallLocalValidateACL、プロキシ経由の呼び出しではgRPCプロキシハンドラーを使います。正規化後のパスをACLチェックと送信処理の両方に使うため、両者の不一致が解消されました。
securityメソッドパスの受け入れ条件を変更
メソッドパスの正規化にpath.Cleanを使い、../や重複したスラッシュを解決します。#、?、ヌルバイト、制御文字を含むメソッドパスは受け付けなくなりました。
securityACLパス処理からpurell依存関係を削除
ACLパス処理からpurell依存関係を削除しました。

原文 ↗

Daprv1.16.13Orchestration & Management2026年4月15日

ACTION 1CHECK 1OTHER 5分析を詳しく見る

v1.16.13では、セキュリティに関わるGoの更新が行われています。スケジューラの信頼性とPulsarのpub/sub処理に関する修正も含まれます。

要対応 (1)

securityGoバージョンの更新
Goのバージョンが1.25.8から1.25.9に更新されました。

影響確認 (1)

breakingprocessModeの無効値検証
processModeを設定している場合に適用されます。

原文 ↗

wasmCloudv2.0.3Orchestration & Management2026年4月14日

ACTION 1CHECK 1PLAN 1OTHER 10分析を詳しく見る

Kubernetes ネイティブなサービスルーティングへの移行を軸に、関連する CRD フィールド、Helm、NATS 初期化、ランタイムゲートウェイ経路に関わる更新を含みます。多くの変更はアップグレードで反映されますが、非推奨となったゲートウェイ設定と削除されたチャートの挙動には対応が必要です。

要対応 (1)

breakingchart.yaml の appVersion を使うデフォルトタグの削除
chart.yaml の appVersion を使うため、デフォルトタグが削除されました。

影響確認 (1)

breakingruntime-gateway から Kubernetes ネイティブな Service ルーティングへ移行
runtime-gateway を使用している場合に該当します。

事前準備 (1)

deprecatedHelm の gateway セクションを非推奨化
gateway を設定している場合に該当します。

原文 ↗

Daprv1.17.4Orchestration & Management2026年4月10日

ACTION 1OTHER 11分析を詳しく見る

このリリースでは、リポジトリ全体で利用するGo toolchainのバージョンが更新されています。セキュリティに関わるツールチェーンの変更を確認するリリースです。

要対応 (1)

securityGo toolchainの更新
リポジトリ内の全モジュールとDockerイメージで、Go toolchainを1.25.8から1.25.9へ更新しました。

原文 ↗

Daprv1.16.12Orchestration & Management2026年3月30日

ACTION 1CHECK 2OTHER 4分析を詳しく見る

セキュリティ対応と、PulsarおよびSchedulerの動作修正を含むリリースです。PulsarではAvroとJSONスキーマ処理、Schedulerではクラスタ復旧に関する不具合が扱われています。

要対応 (1)

securitycriticalgRPC依存関係の更新
google.golang.org/grpcの依存関係を、CVE-2026-33186を解消するバージョンに更新しました。

影響確認 (2)

breakingrawPayload指定時の公開制約
CloudEventsでラップされたトピックにrawPayloadが設定されている場合に適用されます。
breakingJSONスキーマの構造検証
.jsonschemaを設定している場合に適用されます。

原文 ↗

Daprv1.17.3Orchestration & Management2026年3月26日

ACTION 2OTHER 12分析を詳しく見る

このリリースでは、依存関係の更新によって既知のCVEへの対応が行われています。該当する依存関係を利用している環境に関係する変更です。

要対応 (2)

securitycriticalgoogle.golang.org/grpc の更新
google.golang.org/grpc の依存関係が、CVE-2026-33186 を解消するバージョンへ更新されました。
securitymediumgolang.org/x/image の更新
golang.org/x/image が v0.25.0 から v0.38.0 に更新され、CVE-2026-33809 が解消されました。

原文 ↗

Daprv1.16.11Orchestration & Management2026年3月26日

ACTION 1OTHER 4分析を詳しく見る

既知の脆弱性に対応するため、Goツールチェーンが更新されたリリースです。SchedulerやWindowsイメージに関する修正も含まれます。

要対応 (1)

securityGo 1.25.8への更新
Goのバージョンが1.25.7から1.25.8に更新されました。

原文 ↗

wasmCloudv2.0.0Orchestration & Management2026年3月22日

ACTION 2OTHER 8分析を詳しく見る

v2.0.0では、CRDの配置先が/crdsに変わりました。依存関係のロックファイルも更新され、RUSTSEC-2026-0007への対応が含まれています。

要対応 (2)

securitymediumRUSTSEC-2026-0007に対応するロックファイル更新
依存関係のロックファイルを更新し、RUSTSEC-2026-0007に対応しました。
breakingCRDの配置先を/crdsへ変更
CRDの配置先をtemplates/crdsから/crdsへ移しました。

原文 ↗

Daprv1.17.2Orchestration & Management2026年3月19日

ACTION 3CHECK 2OTHER 22分析を詳しく見る

Go 標準ライブラリのセキュリティ修正、Go ツールチェーンの更新、Configuration CRD の変更、新しい RavenDB ステートストア登録を含むリリースです。pub/sub、スケジューラー、サービス呼び出し、ワークフロー、アクター、会話コンポーネント、ステートストア、Sentry にも正確性と性能に関する修正があります。

要対応 (3)

securityhighGo 1.25.8 へのツールチェーン更新
リポジトリ内のすべてのモジュールと Docker イメージで、Go ツールチェーンを 1.24.13 から Go 1.25.8 に更新しました。
securitymediumGO-2026-4603 に対応した html/template の URL エスケープ修正
html/template の meta content 属性で URL のアクションがエスケープされず、細工した URL によってクロスサイトスクリプティングが発生する可能性を修正しました。
securitylowGO-2026-4602 に対応した os.FileInfo の境界逸脱修正
os の FileInfo が Root の外へ抜け、想定したディレクトリ境界の外にあるファイルへアクセスできる可能性を修正しました。

影響確認 (2)

securityhighGO-2026-4601 に対応した IPv6 ホストリテラル解析の修正
net/url を使用している場合に適用されます。
breakingstateRetentionPolicy の Configuration CRD スキーマ修正
stateRetentionPolicy を設定している場合に適用されます。

原文 ↗

KubeVirtv1.7.2Orchestration & Management2026年3月16日

ACTION 1OTHER 7分析を詳しく見る

状態表示の名称が変更されます。QuiesceFailed は QuiesceTimeout になります。

要対応 (1)

breakingQuiesceFailed indication の QuiesceTimeout への変更
QuiesceFailed の表示が QuiesceTimeout に置き換わります。

原文 ↗

KubeVirtv1.6.4Orchestration & Management2026年3月16日

ACTION 1CHECK 2OTHER 16分析を詳しく見る

公開されたセキュリティ修正と indication 名の変更に加え、正確性、動作、可観測性に関する更新が含まれます。大半の変更では、アップグレード以外に運用者の対応は必要ありません。

要対応 (1)

securityhighCVE-2025-47913 への対処
golang/x/crypto を openshift/golang-crypto の修正版モジュールに向ける replace directive が追加され、CVE-2025-47913 に対処しました。

影響確認 (2)

breakingQuiesceTimeout indication への名称変更
Windows VSSを利用している場合に適用されます。
breakingDefaultVirtWebhookClient{QPS,Burst} の既定値調整
適用対象はリリースノートに明記されていません。

原文 ↗

Operator Frameworkv1.42.1Orchestration & Management2026年3月9日

ACTION 1OTHER 7分析を詳しく見る

v1.42.1では、goと依存関係の更新によるCVE対応が行われています。依存関係の更新内容を確認する必要があるリリースです。

要対応 (1)

securitygoと依存関係のCVE対応
goおよび依存関係が更新され、CVEへの対応が行われました。

原文 ↗

Daprv1.16.10Orchestration & Management2026年3月6日

ACTION 1OTHER 4分析を詳しく見る

Go 1.25.7の修正を含むリリースです。コマンド、TLS、コンパイラー、証明書処理に関わる修正が反映されています。

要対応 (1)

securityGo 1.25.7の更新
Go 1.25.7では、go コマンドと crypto/tls パッケージのセキュリティ修正に加え、コンパイラーと crypto/x509 パッケージの不具合修正が行われています。

原文 ↗

Daprv1.17.0Orchestration & Management2026年2月27日

ACTION 9CHECK 3PLAN 2OTHER 151分析を詳しく見る

ワークフローやコンポーネント、API、認証、トレーシング、設定、CLI、可観測性に関する機能を追加し、複数の不具合修正と依存関係・ツールチェーンの更新を含むリリースです。セキュリティ修正に加え、Alpha Bulk PubSub APIとAlphaアプリケーションコールバックの非推奨化、従来の動作の削除や縮小も含まれますが、多くの更新では運用者による特別な対応は必要ありません。

要対応 (9)

security暗号関連依存関係の更新
x/(net/sync/crypto)を更新し、dvsekhvalnov/jose2goのバージョンを固定しました。
securityGoの脆弱性修正
Goの脆弱性を修正しました。
securityUID確認の対象をrootに限定
UIDの確認対象をrootだけに更新しました。
securityHTTPパスマッチングとinvocation自動登録の修正
HTTPパスのマッチングで発生するcardinality leakを修正し、invocationの自動登録に対応しました。
securitygolang.org/x/cryptoの更新
golang.org/x/cryptoを更新しました。
securitygithub.com/docker/dockerの更新
github.com/docker/dockerを更新しました。
securityセキュリティ修正
セキュリティ修正を追加しました。
securitygithub.com/coreos/go-oidc/v3の更新
github.com/coreos/go-oidc/v3を更新しました。
securityNATSの脆弱性修正
NATSの脆弱性を修正しました。

影響確認 (3)

securityPlacementでのDapr actor type認可
Placement を使用している場合に適用されます。
securitycloudflare workerの脆弱性修正
cloudflare worker を使用している場合に適用されます。
breakingHelm chartからscheduler resourcesを削除
Helm chartを使用している場合に適用されます。

事前準備 (2)

deprecatedAlpha Bulk PubSub APIの非推奨化
/v1.0-alpha1/publish/bulk/<pubsub-name>/<topic>、BulkPublishEventAlpha1、OnBulkTopicEventAlpha1 のいずれかを使用している場合に適用されます。
deprecatedOnBulkTopicEventAlpha1 の非推奨化
OnBulkTopicEventAlpha1 を使用している場合に適用されます。

原文 ↗

Crossplanev2.2.0Orchestration & Management2026年2月17日

ACTION 7CHECK 2OTHER 41分析を詳しく見る

パッケージのインストールとパッケージキャッシュの扱いに互換性のない変更があり、Function パッケージや未文書のサイドロード方法に影響します。オペレーター機能の追加、依存モジュールの更新、通常の不具合修正も含まれます。セキュリティ修正として示された依存更新には、アドバイザリ識別子や脆弱性の詳細は記載されていません。

要対応 (7)

securitygolang.org/x/crypto の v0.45.0 への更新
セキュリティ修正として、依存モジュール golang.org/x/crypto が v0.45.0 に更新されました。
securitygithub.com/go-chi/chi/v5 の v5.2.4 への更新
セキュリティ修正として、依存モジュール github.com/go-chi/chi/v5 が v5.2.4 に更新されました。
securitygithub.com/sigstore/cosign/v3 の v3.0.4 への更新
セキュリティ修正として、依存モジュール github.com/sigstore/cosign/v3 が v3.0.4 に更新されました。
securitygithub.com/theupdateframework/go-tuf/v2 の v2.4.1 への更新
セキュリティ修正として、依存モジュール github.com/theupdateframework/go-tuf/v2 が v2.4.1 に更新されました。
securitygithub.com/sigstore/rekor の v1.5.0 への更新
セキュリティ修正として、依存モジュール github.com/sigstore/rekor が v1.5.0 に更新されました。
securitygithub.com/sigstore/sigstore の v1.10.4 への更新
セキュリティ修正として、依存モジュール github.com/sigstore/sigstore が v1.10.4 に更新されました。
securitygithub.com/quic-go/quic-go の v0.57.0 への更新
セキュリティ修正として、依存モジュール github.com/quic-go/quic-go が v0.57.0 に更新されました。

影響確認 (2)

breakingFunction パッケージ内の Input CRDs のインストール停止
Function パッケージと Input CRDs を使用している場合に該当します。
breakingパッケージキャッシュのディスク構造変更
適用対象はリリースノートに明記されていません。

原文 ↗

Daprv1.16.9Orchestration & Management2026年2月12日

ACTION 1OTHER 1分析を詳しく見る

Goツールチェーンを更新した、セキュリティ関連の変更を含むリリースです。対象バージョンは1.24.13です。

要対応 (1)

securityhighGo 1.24.13への更新
Goを1.24.13へ更新しています。

原文 ↗

wasmCloudv1.9.2Orchestration & Management2026年2月4日

ACTION 1OTHER 10分析を詳しく見る

NATS接続URLによる平文のユーザー名とパスワード認証が追加され、component spec機能が削除されました。依存関係とOCIイメージのベースも更新されています。

要対応 (1)

breakingcomponent spec機能の削除
component spec機能が削除されました。

原文 ↗

Crossplanev2.1.4Orchestration & Management2026年2月3日

ACTION 4OTHER 2分析を詳しく見る

Crossplane v2.1.4では、共有トランジティブ依存関係を更新できない問題を修正し、依存関係のセキュリティ修正を取り込みました。依存関係の更新内容が利用環境に関係する場合は、このリリースの変更対象です。

要対応 (4)

securitygithub.com/quic-go/quic-goをv0.57.0へ更新
github.com/quic-go/quic-goをv0.57.0へ更新し、セキュリティ修正を取り込みました。
securitysigstore依存関係のCVE修正
sigstoreの依存関係を更新し、CVEを修正しました。
securitygithub.com/theupdateframework/go-tuf/v2をv2.4.1へ更新
github.com/theupdateframework/go-tuf/v2をv2.4.1へ更新し、セキュリティ修正を取り込みました。
securitygithub.com/go-chi/chi/v5をv5.2.4へ更新
github.com/go-chi/chi/v5をv5.2.4へ更新し、セキュリティ修正を取り込みました。

原文 ↗

Crossplanev2.0.7Orchestration & Management2026年2月3日

ACTION 1OTHER 2分析を詳しく見る

依存関係の更新を含むリリースです。セキュリティに関わるモジュール更新が行われています。

要対応 (1)

securitygithub.com/theupdateframework/go-tuf/v2 の v2.4.1 への更新
セキュリティ対応として、モジュール github.com/theupdateframework/go-tuf/v2 を v2.4.1 に更新しました。

原文 ↗

Crossplanev1.20.5Orchestration & Management2026年2月3日

ACTION 1OTHER 1分析を詳しく見る

v1.20.5は、依存関係のアップグレードに関する不具合修正と、セキュリティ対応を含む依存関係の更新を行うリリースです。依存関係の管理や sigstore を利用する環境に関係します。

要対応 (1)

securitysigstore 依存関係の更新によるCVE修正
sigstore の依存関係を更新し、CVEの修正に対応しました。変更は #7066 に基づいています。

原文 ↗

Fluidv1.0.8Orchestration & Management2025年10月31日

ACTION 1CHECK 1OTHER 13分析を詳しく見る

運用者向けの機能追加、既定値や制限の変更、不具合修正、依存関係とイメージの更新を含むリリースです。見出しやメタデータ、内部向けの変更、重複した記載は対象外です。

要対応 (1)

breakingサービスアカウント権限の制限とサンプルファイルの追加
サービスアカウントの権限を制限し、samples/juicefs/read_job.yaml のサンプルファイルを追加しました。

影響確認 (1)

breakingランタイムエンジンの SYS_ADMIN capability 削除
ランタイムエンジンを利用している場合に適用されます。

原文 ↗

← 新しい2026年5月1日 – 2025年10月31日

月別に見る