CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
OPA v1.は、URI組み込み関数、Data APIのメタデータ、テストとWASM、Regoおよびスキーマ対応を広げる一方、書式設定やログ、サーバー、TLS、ソケット、ストレージ、依存関係の挙動も変えます。シャットダウンの回帰が報告されているため、利用先ではv1.を避け、v1.へ直接更新する扱いです。
要対応 (1)
breakingHTMLインデックスページのクエリフォーム削除
v1.では、HTMLインデックスページにあったクエリフォームが削除されました。
オペレーター機能を加え、設定、Helm、CLIの改善を含む機能・保守リリースです。多数の不具合修正や出力・依存関係の更新に加え、アクセス制約の見直しとCVE関連の問題3件への修正が含まれます。
要対応 (4)
securityhigh中間証明書の制限によるCVE-2026-32280対策
中間証明書の数を制限し、CVE-2026-32280の影響を抑える修正を加えました。
securityhighGo toolchainの1.への更新
Go toolchainを1.へ更新し、CVE-2026-32283を修正しました。
securitymediumgo-tuf/v2のv2.への更新
go-tuf/v2をv2.へ更新し、CVE-2026-24686を修正しました。
security標準ライブラリのCVE修正
標準ライブラリに関するCVEを修正しました。
影響確認 (2)
breakingnamespaced policiesのconfigmapアクセス制限
namespaced policiesを使用している場合に適用されます。
breakingアンインストール時のfinalizersと回避策の削除
アンインストールを実行する場合に適用されます。
セキュリティ修正を中心としたリリースです。依存関係の更新に加え、デフォルト値やアクセス制限が変わる修正が含まれるため、該当する構成ではアップグレードの確認が必要です。
要対応 (12)
securitycriticalCVE-2025-68121の修正
CVE-2025-68121を修正しました。
securitycriticalCVE-2026-33186の修正
CVE-2026-33186を修正しました。
securityhighCVE-2026-24051の修正
release 1.16でCVE-2026-24051を修正しました。
securityhighgithub.の更新
github.を更新し、CVE-2025-15558を解消しました。
securityhighCVE-2025-66564の修正
CVE-2025-66564を解消しました。
securitymediumsigstore/rekor v1.5.1への更新
sigstore/rekorをv1.5.1に更新し、CVE-2026-23831を修正しました。
securitymediumgo-tuf/v2 v2.3.1への更新
go-tuf/v2をv2.3.1に更新し、CVE-2026-23992に対応しました。
securitymediumCVE-2026-22772の修正
CVE-2026-22772を修正しました。
securitymediumgo-tuf/v2 v2.4.1への更新
go-tuf/v2をv2.4.1に更新し、CVE-2026-24686に対応しました。
securitylowCVE-2026-1229の修正
release-1.16でCVE-2026-1229を修正しました。
securitylowCVE-2026-26958の修正
CVE-2026-26958を修正しました。
securitystdlibのCVE修正
stdlibに関するCVEを修正しました。
影響確認 (3)
securitycriticalnamespaced policiesのHTTP無効化
namespaced policiesを設定している場合に適用されます。
securitygo < 1.のCVE修正
go < 1.に依存している場合に適用されます。
breakingnamespaced policiesのconfigmapアクセス制限
namespaced policiesを設定している場合に適用されます。
複数の正確性修正と、CVEに関連する変更を含むセキュリティ修正が入っています。セキュリティ修正を得るにはアップグレードが必要で、デフォルト値とアクセス制約の変更も確認が必要です。
要対応 (6)
securitycriticalCVE-2026-33186 の修正
CVE-2026-33186 を修正しました。
securityhighCVE-2026-24051 の修正
CVE-2026-24051 を修正しました。
securityhighCVE-2026-34986 の修正
CVE-2026-34986 を修正しました。
securitylowCVE-2026-1229 の修正
CVE-2026-1229 を修正しました。
securityCVES 2026-15558 の修正
CVES 2026-15558 を修正しました。
securitygo の更新による標準ライブラリのCVE修正
go を更新し、標準ライブラリのCVEを修正しました。
影響確認 (2)
securitycriticalnamespaced policies のデフォルトでの HTTP 無効化
namespaced policies を設定している場合に適用されます。
breakingnamespaced policies の configmap アクセス制限
namespaced policies を設定している場合に適用されます。
報告された脆弱性への対応として、依存関係とgoの更新を含むリリースです。脆弱性に関わる変更があるため、アップグレードが推奨されます。
要対応 (2)
securityGo依存関係の更新
報告された脆弱性に対応するため、Go依存関係を更新しました。
securitygo 1.25.8への更新
報告された複数の脆弱性に対応するため、goを1.へ更新しました。
Keycloak 26.6.1では、HTTPリダイレクト処理とidentity-first loginに関する修正が含まれます。これらの機能を利用する環境に関係するリリースです。
要対応 (2)
securitymediumCVE-2026-4366のHTTPリダイレクト処理におけるSSRF修正
HTTPリダイレクト処理を介したブラインドサーバーサイドリクエストフォージェリ（SSRF）を修正しました。対象はcoreです。
securitylowCVE-2026-4633のユーザー列挙問題の修正
identity-first loginでKeycloakユーザーを列挙できる問題を修正しました。対象はcoreです。
このリリースには、報告された脆弱性に対応するgo依存関係の更新が含まれます。個別のアドバイザリ情報は示されていません。
要対応 (1)
security報告された脆弱性を含むgo依存関係の更新
報告された脆弱性に対応するため、go依存関係が更新されました。変更は#8704に関連します。
このリリースでは、Goのバージョンが更新されています。複数の公開済みCVEへの対応を含むため、Goのバージョンを確認する環境に関係します。
要対応 (1)
securitycriticalGo 1.への更新
Goを1.へ更新し、CVE-2026-32282、CVE-2026-32289、CVE-2026-33810、CVE-2026-27144、CVE-2026-27143、CVE-2026-32288、CVE-2026-32283、CVE-2026-27140、CVE-2026-32281に対応しました。
このリリースでは、Goの更新により複数のCVEに対応しています。Goを1.へ更新する内容です。
要対応 (1)
securitycriticalGo 1.25.9への更新
Goを1.へ更新し、CVE-2026-32282、CVE-2026-32289、CVE-2026-27144、CVE-2026-27143、CVE-2026-32288、CVE-2026-32283、CVE-2026-27140、CVE-2026-32281に対応しています。
このリリースでは、OPAのバイナリとイメージをビルドするGoのバージョンが更新されています。更新先には複数のセキュリティ修正が含まれます。
要対応 (1)
securityビルド用Goの1.への更新
OPAのバイナリとイメージのビルドに使うGoのバージョンが1.へ更新されました。このGoバージョンには複数のセキュリティ修正が含まれています。
運用者向けの機能追加と保守改善に加え、設定やデプロイ方法、性能、既定値に関する変更を含むリリースです。Token Exchange v1 の非推奨化に加え、認可回避、IDやURLの扱い、SCIMのアクセス制御、フィッシング対策、UMAトークン検証に関する修正も含まれます。
要対応 (6)
securityパスワードとOTPのブルートフォース保護の分離
パスワードと OTP のブルートフォース保護が分離され、OTP バイパス攻撃を防ぐ設定がデフォルトになりました。
securityResourceAdminManagerのURL構築検証の修正
ResourceAdminManager で、Matrix Parameter InjectionによるURLが検証されないまま構築される問題が修正されました。
securityクライアント取得時のフィッシング対策チェックの修正
クライアント取得時にanti-ID phishingチェックが欠落していた問題が修正されました。
breakingゼロダウンタイムパッチリリースの既定有効化
zero-downtime patch releases がサポート対象となり、デフォルトで有効になります。
breakingKubernetes向けトラストストア設定の既定有効化
--truststore-kubernetes-enabled の動作がデフォルトで有効になりました。
breakingnot-before検証の既定値変更
not-before検証のデフォルト値が0秒から10秒に変更されました。
影響確認 (7)
securityWorkflows 実行時の管理権限境界回避の修正
Workflows を使用している場合に該当します。
securityOrganizationsログイン時のIdPエイリアス漏えいの修正
Organizations を使用している場合に該当します。
securitySCIM PUTエンドポイントのID上書きによるリソース変更の修正
SCIM を使用している場合に該当します。
事前準備 (1)
deprecatedToken Exchange v1 の非推奨化
Token Exchange v1 を使用している場合に該当します。
運用者向けメトリクスの追加、ListObjectsの性能変更、Playgroundの認証制約と非推奨化が含まれます。PostgreSQLおよびListObjectsの不具合修正に加え、BatchCheckのポリシー適用不備に関するセキュリティ修正も行われています。
要対応 (1)
securitymediumBatchCheckのポリシー適用不備を修正
同じタプルに対する複数のチェックを含むBatchCheck呼び出しで、ポリシーが正しく適用されない問題を修正しました。CVE-2026-34972およびGHSA-jwvj-g8pc-cx45に関係する修正です。
影響確認 (1)
breakingPlaygroundの認証方式をnoneに限定
Playgroundをpresharedキー認証で実行している場合に適用されます。
事前準備 (2)
deprecated組み込みOpenFGA Playgroundの非推奨化削除時期は未定
組み込みのOpenFGA Playgroundを使用している場合に適用されます。
deprecatedPlaygroundポート設定の非推奨化
--playground-portまたはOPENFGA_PLAYGROUND_PORTを設定している場合に適用されます。
公開された7件のセキュリティ脆弱性を修正し、Quarkusの依存関係を更新しています。Hostヘッダーのないリクエストで未捕捉エラーが発生する不具合も修正しました。
要対応 (1)
securitymediumCVE-2026-1002の静的ファイルアクセス拒否を修正
静的ファイルへのアクセスを拒否できる、io.の静的ハンドラーコンポーネントキャッシュの操作を修正しました。
影響確認 (6)
securityhighCVE-2026-4634のScope ProcessingによるDoSを修正
Scope Processingを利用している場合に該当します。
securityhighCVE-2026-4636のUMAポリシーリソース注入を修正
UMAを利用している場合に該当します。
securityhighCVE-2026-3872のリダイレクトURI検証回避を修正
OIDCを利用している場合に該当します。
