RATATOSKRATATOSK
ログイン

リリース

CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。

緊急度
すべて要対応影響確認事前準備
性格
すべてSecurityBreakingDeprecated
カテゴリ
すべてAI & MLCI/CD & App DeliveryKubernetes CoreNetworking & MessagingObservabilityOrchestration & ManagementProvisioning & RuntimeSecurityStorage & Data
Kubescapev4.0.12Security2026年8月12日
ACTION 3CHECK 3OTHER 220分析を詳しく見る

主に不具合修正と性能面の改善を含むリリースで、運用時に見える既定値や制約にも変更があります。非推奨フラグの削除など、アップグレード前に設定の確認が必要な変更があり、依存関係の脆弱性修正も含まれています。

要対応 (3)

  • security依存関係の脆弱性修正

    dependencies の脆弱性修正をまとめて適用しました（Batch 1および2、#2895）。

  • breakingRegoV1への移行に伴う互換シムの削除

    RegoV1でのRego評価に切り替え、v0互換シムを削除しました。

  • breakingループバック限定への制約変更

    アクセス範囲をループバック限定にしました（#2639）。

影響確認 (3)

  • breakingpprof debug server の既定動作をオプトインに変更

    pprof debug server を有効にしている場合に適用されます。

  • breaking--frameworks の既定値を全フレームワークに変更

    --frameworks を設定していない場合に適用されます。

  • breaking非推奨フラグの削除とドキュメント更新

    deprecated flags を設定している場合に適用されます。

原文 ↗
Open Policy Agent (OPA)v1.19.0Security2026年7月30日
ACTION 3CHECK 2OTHER 36分析を詳しく見る

SQLインジェクション経路の修正と、GHSA-fxhp-mv3v-67qp に対応する依存関係の更新を含みます。Regoの安全性検査に伴う互換性のない変更に加え、ランタイムやCLIの動作変更、新しい機能、正確性と性能に関する修正も含まれています。

要対応 (3)

  • securityhighoras.land/oras-go/v2 の更新

    oras.land/oras-go/v2 が 2.6.1 から 2.6.2 に更新され、GHSA-fxhp-mv3v-67qp に対応しました。

  • breakingHTTPサーバーの ReadHeaderTimeout 設定

    すべてのHTTPサーバーで ReadHeaderTimeout が 32s に設定されました。

  • breaking同名の部分集合ルールと -object ルールの拒否

    部分集合ルールと -object ルールが同じ名前を共有する場合、ast で拒否されるようになりました。

影響確認 (2)

  • securityCompile API の動的キーによるSQL識別子生成の修正

    Compile API を使用し、動的キーも使用している場合に適用されます。

  • breakingrego_unsafe_var_error の発生条件変更

    適用対象はリリースノートに明記されていません。

原文 ↗
SPIREv1.15.2Security2026年7月9日
ACTION 2CHECK 1OTHER 32分析を詳しく見る

複数の運用者向け機能が追加され、動作や対応入力も変更されています。既存の運用機能は非推奨化されておらず、セキュリティ関連では依存関係の移行も行われています。

要対応 (2)

  • securityDocker依存関係のMoby移行

    github.com/docker/docker の依存関係を github.com/moby/moby 相当へ移行し、CVEを解消しました。

  • breakingヘルスチェックのRPCメトリクス出力停止

    Agentのヘルスチェックで行うループバック呼び出しは、RPC メトリクスを出力しなくなり、メトリクスのノイズが減りました。

影響確認 (1)

  • breakingdelegated APIのJWT-SVID提供対象変更

    管理用エントリまたは下流エントリに対して delegated API を使用している場合に適用されます。

原文 ↗
Falco0.44.0Security2026年5月26日
ACTION 1CHECK 5OTHER 34分析を詳しく見る

対応エンジンや出力の整理に加え、falco-webuiのアクセス範囲が見直されています。ルールと設定の機能追加、複数の不具合修正、依存関係の更新も含まれますが、セキュリティアドバイザリの告知はありません。

要対応 (1)

  • breakinggRPC server supportの削除

    gRPC server supportを削除しました。

影響確認 (5)

  • securityplugin library pathのパストラバーサル防止

    plugin library pathを設定している場合に該当します。

  • breakinggRPC outputの削除

    gRPC outputを使用している場合に該当します。

  • breakinggVisor engineサポートの削除

    gVisor engineを使用している場合に該当します。

  • リリースページにあと 2 件
原文 ↗
Open Policy Agent (OPA)v1.16.0Security2026年4月30日
ACTION 1OTHER 38分析を詳しく見る

OPA v1.16.0は、URI組み込み関数、Data APIのメタデータ、テストとWASM、Regoおよびスキーマ対応を広げる一方、書式設定やログ、サーバー、TLS、ソケット、ストレージ、依存関係の挙動も変えます。シャットダウンの回帰が報告されているため、利用先ではv1.16.0を避け、v1.16.1へ直接更新する扱いです。

要対応 (1)

  • breakingHTMLインデックスページのクエリフォーム削除

    v1.16.0では、HTMLインデックスページにあったクエリフォームが削除されました。

原文 ↗
Keycloak26.6.0Security2026年4月8日
ACTION 6CHECK 7PLAN 1OTHER 269分析を詳しく見る

運用者向けの機能追加と保守改善に加え、設定やデプロイ方法、性能、既定値に関する変更を含むリリースです。Token Exchange v1 の非推奨化に加え、認可回避、IDやURLの扱い、SCIMのアクセス制御、フィッシング対策、UMAトークン検証に関する修正も含まれます。

要対応 (6)

  • securityパスワードとOTPのブルートフォース保護の分離

    パスワードと OTP のブルートフォース保護が分離され、OTP バイパス攻撃を防ぐ設定がデフォルトになりました。

  • securityResourceAdminManagerのURL構築検証の修正

    ResourceAdminManager で、Matrix Parameter InjectionによるURLが検証されないまま構築される問題が修正されました。

  • securityクライアント取得時のフィッシング対策チェックの修正

    クライアント取得時にanti-ID phishingチェックが欠落していた問題が修正されました。

  • breakingゼロダウンタイムパッチリリースの既定有効化

    zero-downtime patch releases がサポート対象となり、デフォルトで有効になります。

  • breakingKubernetes向けトラストストア設定の既定有効化

    --truststore-kubernetes-enabled の動作がデフォルトで有効になりました。

  • breakingnot-before検証の既定値変更

    not-before検証のデフォルト値が0秒から10秒に変更されました。

影響確認 (7)

  • securityWorkflows 実行時の管理権限境界回避の修正

    Workflows を使用している場合に該当します。

  • securityOrganizationsログイン時のIdPエイリアス漏えいの修正

    Organizations を使用している場合に該当します。

  • securitySCIM PUTエンドポイントのID上書きによるリソース変更の修正

    SCIM を使用している場合に該当します。

  • リリースページにあと 4 件

事前準備 (1)

  • deprecatedToken Exchange v1 の非推奨化

    Token Exchange v1 を使用している場合に該当します。

原文 ↗
OpenFGAv1.12.0Security2026年3月13日
ACTION 2CHECK 1OTHER 7分析を詳しく見る

通信設定から実行時処理まで複数の動作が更新され、入力検証も厳格になっています。TLS証明書のローテーション処理と実験的な既定値が見直され、Goツールチェーンは開示されたアドバイザリに対応する更新を受けています。

要対応 (2)

  • securityhighgo ツールチェーンの更新

    go ツールチェーンを 1.25.8 に更新し、標準ライブラリの脆弱性 GO-2026-4603 と GO-2026-4601 に対応しました。

  • breakingタプル文字列の検証条件変更

    タプル文字列に unicode control characters または null bytes が含まれている場合、タプル検証が失敗するようになりました。

影響確認 (1)

  • breakingpipeline_list_objects の実験的な既定値変更

    pipeline_list_objects を設定している場合、listObjects-pipeline-enabled を設定している場合、またはカスタムの featureflag クライアントを使用している場合に適用されます。

原文 ↗
cert-managerv1.20.0Security2026年3月10日
ACTION 2CHECK 4OTHER 26分析を詳しく見る

Helm、API、solver、feature gate に関する機能が追加され、既定値や受け付ける動作も変更されています。複数の不具合が修正され、cert-manager と Go に関するセキュリティ修正も含まれています。

要対応 (2)

  • securityhighGo を v1.25.5 に更新

    Go を v1.25.5 に更新し、CVE-2025-61727 と CVE-2025-61729 に対応しました。

  • breakingIssuer 参照の kind と group の既定値を変更

    Issuer の参照に使う kind と group の既定値が、v0.19.0 で導入された値から以前の設定に戻りました。

影響確認 (4)

  • securityDNS キャッシュ処理による cert-manager controller のパニックを修正

    適用対象はリリースノートに明記されていません。

  • breakingOtherNames を Beta に昇格し既定で有効化

    OtherNames 機能を使用している場合に適用されます。

  • breakingコンテナの既定 UID と GID を変更

    既定のコンテナユーザー（UID）または既定のコンテナグループ（GID）を設定していない場合に適用されます。

  • リリースページにあと 1 件
原文 ↗
OpenFGAv1.11.3Security2026年1月28日
ACTION 2OTHER 9分析を詳しく見る

設定と可観測性に関する機能が加わり、スロットリングとメトリクスの挙動が変わります。複数の正確性の不具合と、ポリシー適用の不備に関するセキュリティ修正も含まれます。

要対応 (2)

  • securitymediumポリシー適用の不備を修正

    ポリシー適用の不備を修正しました。対象は CVE-2026-24851 と GHSA-jq9f-gm9w-rwm9 で報告されています。

  • breakingカスタム grpc_prometheus フォークの置き換え

    カスタム grpc_prometheus フォークを go-grpc-middleware のプロバイダーに置き換えました。このメトリクスからカスタムの grpc_code ラベルを削除しました。

原文 ↗
月別に見る
2026年8月2026年7月2026年6月2026年5月2026年4月2026年3月2026年2月2026年1月2025年12月2025年11月2025年10月2025年9月2025年8月2025年7月2025年6月2025年5月2025年4月2025年3月2025年2月2025年1月2024年12月2024年11月2024年10月2024年9月2024年8月2024年7月2024年6月2024年5月2024年4月2024年3月2024年2月2024年1月2023年12月2023年11月2023年10月2023年9月