リリース

要対応 (7)

• securityhigh中間証明書の制限

  中間証明書を制限し、CVE-2026-32280 の影響を緩和します。

• securityhighGoツールチェーンの更新

  go toolchain を 1.26.3 に更新し、CVE-2026-39836 に対応しました。

• securityCRDとドキュメントの再生成

  APIの更新に伴い、CRDとドキュメントを再生成しました。対象となる更新には GHSA-79gf-7frw-68m9 が含まれます。

• security暗号関連依存関係の更新

  golang.org/x/crypto を v0.53.0 に、x/net を v0.56.0 に更新し、セキュリティCVEに対応しました。

• securityORASとsigstoreのCodeQL脆弱性修正

  ORAS と sigstore に関する CodeQL の脆弱性を修正しました。

• securityCodeQL脆弱性の修正

  未対応だった CodeQL のセキュリティ脆弱性を修正しました。

• securitycel-goの更新

  cel-go を v0.30.0 に更新し、CVE-2026-GHSA-gcjh-h69q-9w9g に対応しました。

要対応 (2)

• securitymediumjackson-databind を 2.21.5 に更新

  CVE-2026-59888 および CVE-2026-59889 への対応として、jackson-databind が 2.21.5 に更新されました。

• securitymediumOpenTelemetry Java SDK の無制限メモリ割り当てを修正

  OpenTelemetry Java SDK の W3C Baggage Propagation におけるメモリの無制限割り当てを修正しました。対象は CVE-2026-45292 です。

要対応 (1)

• securitycriticalOPAのビルドに使用するGoを1.26.6へ更新

  このリリースでは、OPAをGo 1.26.6でビルドします。OPAのHTTPハンドラーと暗号組み込みが利用するコードの標準ライブラリ脆弱性を修正しています。

要対応 (3)

• security依存関係の脆弱性修正

  dependencies の脆弱性修正をまとめて適用しました（Batch 1および2、#2895）。

• breakingRegoV1への移行に伴う互換シムの削除

  RegoV1でのRego評価に切り替え、v0互換シムを削除しました。

• breakingループバック限定への制約変更

  アクセス範囲をループバック限定にしました（#2639）。

要対応 (1)

• securityhighGoツールチェーンの更新

  Goのツールチェーンを1.26.5へ更新し、組み込みのgrpc-health-probeをv0.4.53へ更新してGo 1.26.5で再ビルドしました。リリースイメージに含まれるGo標準ライブラリの脆弱性（CVE-2026-39822を含む）に対応しています。

要対応 (3)

• securityhighoras.land/oras-go/v2 の更新

  oras.land/oras-go/v2 が 2.6.1 から 2.6.2 に更新され、GHSA-fxhp-mv3v-67qp に対応しました。

• breakingHTTPサーバーの ReadHeaderTimeout 設定

  すべてのHTTPサーバーで ReadHeaderTimeout が 32s に設定されました。

• breaking同名の部分集合ルールと -object ルールの拒否

  部分集合ルールと -object ルールが同じ名前を共有する場合、ast で拒否されるようになりました。

要対応 (4)

• securitygolang.org/x/text v0.40.0への更新

  golang.org/x/text を v0.40.0 に更新し、報告されたセキュリティ脆弱性を修正します（#9039）。

• securitygoogle.golang.org/grpc v1.82.1への更新

  google.golang.org/grpc を v1.82.1 に更新し、報告されたセキュリティ脆弱性を修正します（#9063）。

• securitygithub.com/google/cel-go v0.29.0への更新

  github.com/google/cel-go を v0.29.0 に更新し、報告されたセキュリティ脆弱性を修正します（#9072）。

• securitygo.opentelemetry.io/otel v1.44.0への更新

  go.opentelemetry.io/otel を v1.44.0 に更新し、報告されたセキュリティ脆弱性を修正します（#9073）。

要対応 (1)

• securityセキュリティ関連の依存関係更新

  #16340 に含まれるセキュリティ関連の依存関係更新を release-1.18 にバックポートしました。

要対応 (2)

• securityDocker依存関係のMoby移行

  github.com/docker/docker の依存関係を github.com/moby/moby 相当へ移行し、CVEを解消しました。

• breakingヘルスチェックのRPCメトリクス出力停止

  Agentのヘルスチェックで行うループバック呼び出しは、RPC メトリクスを出力しなくなり、メトリクスのノイズが減りました。

要対応 (1)

• securityアカウント乗っ取り前の攻撃につながる問題を修正

  アカウント乗っ取り前の攻撃につながる余地が残る問題を修正しました。

要対応 (8)

• securityhighgroup-adminからrealm-adminへの権限昇格

  CVE-2026-9099により、group-adminからrealm-adminへ権限を昇格できる問題が修正されました。

• securityhighURI検証の回避によるクロスサイトスクリプティング

  CVE-2026-9086に該当する、URI検証の大文字小文字を区別しない判定を回避したクロスサイトスクリプティング（XSS）の問題が修正されました。

• securityhigh不適切なスコープマッピング適用による権限昇格

  CVE-2026-9795に該当する、不適切なスコープマッピングの適用による権限昇格の問題が修正されました。

• securityhighURI比較の誤りによる認可回避

  CVE-2026-9800に該当する、URI比較の誤りによるKeycloak policy enforcerの認可回避の問題が修正されました。

• securityhighJWTアルゴリズムの混同による認証回避

  CVE-2026-11800に該当する、JWTアルゴリズムの混同を利用した認証回避の問題が修正されました。

• securitymedium任意のファイルシステムパス探索による情報漏えい

  CVE-2026-9083に該当する、任意のファイルシステムパスの探索による情報漏えいの問題が修正されました。

• securitymedium無効化されたクライアントの再有効化と乗っ取り

  CVE-2026-9705に該当する、registration access tokenを使って無効化されたクライアントを再有効化し、乗っ取れる問題が修正されました。

• securitymediumUMA permission ticket回避によるリソースへの不正アクセス

  CVE-2026-9799に該当する、UMA permission ticketの回避によるリソースへの不正アクセスの問題が修正されました。

要対応 (2)

• securityhighGoのv1.25.11への更新

  Goがv1.25.11へ更新され、CVE-2026-27145、CVE-2026-42504、CVE-2026-42507への対応が行われました。

• securityGoの1.25.10へのアップグレード

  報告された脆弱性への対応として、Goが1.25.10へアップグレードされ、依存関係も更新されました。

要対応 (1)

• securityhighGo を v1.26.4 に更新

  Go を v1.26.4 に更新し、CVE-2026-27145、CVE-2026-42504、CVE-2026-42507 への修正を取り込みました。

要対応 (1)

• securitymediumGo 1.26.4への更新による標準ライブラリの脆弱性修正

  OPAのビルドにGo 1.26.4を使用し、HTTP handlerとcrypto builtinsが利用する標準ライブラリの脆弱性GO-2026-5037およびGO-2026-5039を修正しました。

要対応 (2)

• securityGoツールチェーンの1.26.4への更新

  ツールチェーンのGoを1.26.4へ更新し、Go標準ライブラリの脆弱性に対処しました。

• securitygrpc-health-probeのv0.4.52への更新

  grpc-health-probeをv0.4.52へ更新し、Go 1.26.4で再ビルドしました。リリース済みイメージに、修正済みのGo標準ライブラリの脆弱性を含む状態が残らなくなります。

要対応 (2)

• securityhighlodash のコードインジェクション脆弱性を修正

  CVE-2026-4800 に関連する、lodash のコードインジェクション脆弱性を修正しました。

• securitymediumNetty の HTTP/1.0 リクエストスマグリング対策の修正

  CVE-2026-42581 に関連する、Netty の HTTP/1.0 における TE と CL の併用がリクエストスマグリング対策を回避する問題を修正しました。

要対応 (1)

• securityキャッシュキー生成の再設計

  キャッシュキーの生成方式を、TLV（type-length-value）バイナリエンコーディングに変更しました。文字列連結による衝突リスクをなくし、プロセスごとのハッシュシードを追加してハッシュフラッディング攻撃を防ぎます。関連する変更は #3148 です。

要対応 (1)

• securityGHSA-84rc-2q4r-45pc の修正

  GHSA-84rc-2q4r-45pc のセキュリティアドバイザリに対応しました。

要対応 (3)

• security依存関係の更新

  依存関係を更新し、セキュリティアドバイザリに対応しました。

• securityEnvFromのクリアによるシークレット名漏えい対策

  removeContainersDataでEnvFromをクリアし、シークレット名が漏えいしないようにしました。

• securityEnv[].ValueFromのクリア

  removeContainersDataとremoveEphemeralContainersDataでEnv[].ValueFromをクリアするようにしました。

要対応 (1)

• securitygrpc-health-probe の v0.4.50 への更新

  grpc-health-probe を v0.4.50 に更新し、Go標準ライブラリにある複数のCVEに対応します。

要対応 (1)

• securityGoツールチェーンを1.26.3へ更新

  標準ライブラリの脆弱性に対応するため、Goのツールチェーンを1.26.3へ更新しました。

要対応 (6)

• securityhighHTTP/2 CONTINUATION フレーム大量送信によるサービス拒否の修正

  CVE-2026-33871 に関する、HTTP/2 CONTINUATION フレームの大量送信によるサービス拒否の問題を修正しました。

• securityhighChunked Extension 解析を悪用した HTTP リクエストスマグリングの修正

  CVE-2026-33870 に関する、Chunked Extension の Quoted-String 解析を悪用した HTTP リクエストスマグリングの問題を修正しました。

• securityhighbouncycastle に関する複数の問題の修正

  CVE-2026-0636、CVE-2026-3505、CVE-2026-5598 に関する bouncycastle の問題を修正しました。

• securityhighリダイレクト URI 検証回避の修正

  CVE-2026-7504 に関する、Keycloak のリダイレクト URI 検証を回避できる問題を修正しました。

• securitymediumbcpkix モジュールの暗号アルゴリズム問題の修正

  CVE-2026-5588 に関する、Bouncy Castle Crypto Package For Java の bcpkix モジュールで、危険または破損した暗号アルゴリズムが使用される問題を修正しました。

• security権限およびポリシー呼び出し順序による client ID 露出の修正

  権限とポリシーの呼び出し順序によって client ID が露出する問題を修正しました。

要対応 (1)

• securitymediumGHSA-qp9x-wp8f-qgjj の修正

  GHSA-qp9x-wp8f-qgjj を修正しました。

要対応 (1)

• securityビルドに使用するGoを1.26.3へ更新

  OPAのバイナリとイメージのビルドに使用するGoのバージョンを1.26.3へ更新し、複数の脆弱性に対応しています。

要対応 (1)

• securityhighGHSA-q49m-57vm-c8ccに関連するCVEの修正

  GHSA-q49m-57vm-c8ccに関連するCVEの修正が含まれます。

要対応 (4)

• securityhigh中間証明書の制限によるCVE-2026-32280対策

  中間証明書の数を制限し、CVE-2026-32280の影響を抑える修正を加えました。

• securityhighGo toolchainの1.26.2への更新

  Go toolchainを1.26.2へ更新し、CVE-2026-32283を修正しました。

• securitymediumgo-tuf/v2のv2.4.1への更新

  go-tuf/v2をv2.4.1へ更新し、CVE-2026-24686を修正しました。

• security標準ライブラリのCVE修正

  標準ライブラリに関するCVEを修正しました。

要対応 (1)

• securityGo ツールチェーンを 1.26.2 に更新

  ツールチェーンの Go を 1.26.2 に更新しました。Go標準ライブラリで報告された脆弱性に対応する更新です。

要対応 (12)

• securitycriticalCVE-2025-68121の修正

  CVE-2025-68121を修正しました。

• securitycriticalCVE-2026-33186の修正

  CVE-2026-33186を修正しました。

• securityhighCVE-2026-24051の修正

  release 1.16でCVE-2026-24051を修正しました。

• securityhighgithub.com/docker/cliの更新

  github.com/docker/cliを更新し、CVE-2025-15558を解消しました。

• securityhighCVE-2025-66564の修正

  CVE-2025-66564を解消しました。

• securitymediumsigstore/rekor v1.5.1への更新

  sigstore/rekorをv1.5.1に更新し、CVE-2026-23831を修正しました。

• securitymediumgo-tuf/v2 v2.3.1への更新

  go-tuf/v2をv2.3.1に更新し、CVE-2026-23992に対応しました。

• securitymediumCVE-2026-22772の修正

  CVE-2026-22772を修正しました。

• securitymediumgo-tuf/v2 v2.4.1への更新

  go-tuf/v2をv2.4.1に更新し、CVE-2026-24686に対応しました。

• securitylowCVE-2026-1229の修正

  release-1.16でCVE-2026-1229を修正しました。

• securitylowCVE-2026-26958の修正

  CVE-2026-26958を修正しました。

• securitystdlibのCVE修正

  stdlibに関するCVEを修正しました。

要対応 (6)

• securitycriticalCVE-2026-33186 の修正

  CVE-2026-33186 を修正しました。

• securityhighCVE-2026-24051 の修正

  CVE-2026-24051 を修正しました。

• securityhighCVE-2026-34986 の修正

  CVE-2026-34986 を修正しました。

• securitylowCVE-2026-1229 の修正

  CVE-2026-1229 を修正しました。

• securityCVES 2026-15558 の修正

  CVES 2026-15558 を修正しました。

• securitygo の更新による標準ライブラリのCVE修正

  go を更新し、標準ライブラリのCVEを修正しました。

要対応 (2)

• securityGo依存関係の更新

  報告された脆弱性に対応するため、Go依存関係を更新しました。

• securitygo 1.25.8への更新

  報告された複数の脆弱性に対応するため、goを1.25.8へ更新しました。

要対応 (2)

• securitymediumCVE-2026-4366のHTTPリダイレクト処理におけるSSRF修正

  HTTPリダイレクト処理を介したブラインドサーバーサイドリクエストフォージェリ（SSRF）を修正しました。対象はcoreです。

• securitylowCVE-2026-4633のユーザー列挙問題の修正

  identity-first loginでKeycloakユーザーを列挙できる問題を修正しました。対象はcoreです。

要対応 (1)

• security報告された脆弱性を含むgo依存関係の更新

  報告された脆弱性に対応するため、go依存関係が更新されました。変更は#8704に関連します。

要対応 (1)

• securitycriticalGo 1.26.2への更新

  Goを1.26.2へ更新し、CVE-2026-32282、CVE-2026-32289、CVE-2026-33810、CVE-2026-27144、CVE-2026-27143、CVE-2026-32288、CVE-2026-32283、CVE-2026-27140、CVE-2026-32281に対応しました。

要対応 (1)

• securitycriticalGo 1.25.9への更新

  Goを1.25.9へ更新し、CVE-2026-32282、CVE-2026-32289、CVE-2026-27144、CVE-2026-27143、CVE-2026-32288、CVE-2026-32283、CVE-2026-27140、CVE-2026-32281に対応しています。

要対応 (1)

• securityビルド用Goの1.26.2への更新

  OPAのバイナリとイメージのビルドに使うGoのバージョンが1.26.2へ更新されました。このGoバージョンには複数のセキュリティ修正が含まれています。

要対応 (6)

• securityパスワードとOTPのブルートフォース保護の分離

  パスワードと OTP のブルートフォース保護が分離され、OTP バイパス攻撃を防ぐ設定がデフォルトになりました。

• securityResourceAdminManagerのURL構築検証の修正

  ResourceAdminManager で、Matrix Parameter InjectionによるURLが検証されないまま構築される問題が修正されました。

• securityクライアント取得時のフィッシング対策チェックの修正

  クライアント取得時にanti-ID phishingチェックが欠落していた問題が修正されました。

• breakingゼロダウンタイムパッチリリースの既定有効化

  zero-downtime patch releases がサポート対象となり、デフォルトで有効になります。

• breakingKubernetes向けトラストストア設定の既定有効化

  --truststore-kubernetes-enabled の動作がデフォルトで有効になりました。

• breakingnot-before検証の既定値変更

  not-before検証のデフォルト値が0秒から10秒に変更されました。

要対応 (1)

• securitymediumBatchCheckのポリシー適用不備を修正

  同じタプルに対する複数のチェックを含むBatchCheck呼び出しで、ポリシーが正しく適用されない問題を修正しました。CVE-2026-34972およびGHSA-jwvj-g8pc-cx45に関係する修正です。

要対応 (1)

• securitymediumCVE-2026-1002の静的ファイルアクセス拒否を修正

  静的ファイルへのアクセスを拒否できる、io.vertx/vertx-coreの静的ハンドラーコンポーネントキャッシュの操作を修正しました。

要対応 (1)

• securitygoogle.golang.org/grpc の更新

  スキャナーが報告した脆弱性への対応として、google.golang.org/grpc を更新しました。この脆弱性は cert-manager には影響しないものの、スキャナーの報告を受けて更新されています。

要対応 (1)

• securityエージェントレベルでのセレクター記録停止

  機密情報が漏えいする可能性を避けるため、エージェントレベルでセレクターをログに記録しなくなりました（#6732）。