CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
診断性や実験的機能の計測、認可モデルの処理と検証に関わる更新を含むリリースです。Goツールチェーンと組み込みコンポーネントも更新され、Go標準ライブラリの脆弱性に対応しています。
要対応 (1)
securityhighGoツールチェーンの更新
Goのツールチェーンを1.へ更新し、組み込みのgrpc-health-probeをv0.へ更新してGo 1.で再ビルドしました。リリースイメージに含まれるGo標準ライブラリの脆弱性（CVE-2026-39822を含む）に対応しています。
このリリースには、Go標準ライブラリの脆弱性に対応するツールチェーンと関連イメージの更新が含まれています。これらの対応を反映するには、リリースのアップグレードが必要です。
要対応 (2)
securityGoツールチェーンの1.への更新
ツールチェーンのGoを1.へ更新し、Go標準ライブラリの脆弱性に対処しました。
securitygrpc-health-probeのv0.への更新
grpc-health-probeをv0.へ更新し、Go 1.で再ビルドしました。リリース済みイメージに、修正済みのGo標準ライブラリの脆弱性を含む状態が残らなくなります。
運用者向けメトリクスの追加、ListObjectsの性能変更、Playgroundの認証制約と非推奨化が含まれます。PostgreSQLおよびListObjectsの不具合修正に加え、BatchCheckのポリシー適用不備に関するセキュリティ修正も行われています。
要対応 (1)
securitymediumBatchCheckのポリシー適用不備を修正
同じタプルに対する複数のチェックを含むBatchCheck呼び出しで、ポリシーが正しく適用されない問題を修正しました。CVE-2026-34972およびGHSA-jwvj-g8pc-cx45に関係する修正です。
影響確認 (1)
breakingPlaygroundの認証方式をnoneに限定
Playgroundをpresharedキー認証で実行している場合に適用されます。
Playgroundはnone認証方式のみをサポートするようになり、presharedキー認証はサポート対象外になりました。
事前準備 (2)
deprecated組み込みOpenFGA Playgroundの非推奨化削除時期は未定
組み込みのOpenFGA Playgroundを使用している場合に適用されます。
組み込みのOpenFGA Playgroundは開発用途のみを対象とする非推奨機能になりました。将来のリリースで完全に削除されます。
deprecatedPlaygroundポート設定の非推奨化
--playground-portまたはOPENFGA_PLAYGROUND_PORTを設定している場合に適用されます。
--playground-portフラグとOPENFGA_PLAYGROUND_PORT環境変数が非推奨になりました。Playgroundサーバーの完全なhost:portアドレスは、--playground-addrまたはOPENFGA_PLAYGROUND_ADDRで指定します。
通信設定から実行時処理まで複数の動作が更新され、入力検証も厳格になっています。TLS証明書のローテーション処理と実験的な既定値が見直され、Goツールチェーンは開示されたアドバイザリに対応する更新を受けています。
要対応 (2)
securityhighgo ツールチェーンの更新
go ツールチェーンを 1.25.8 に更新し、標準ライブラリの脆弱性 GO-2026-4603 と GO-2026-4601 に対応しました。
breakingタプル文字列の検証条件変更
タプル文字列に unicode control characters または null bytes が含まれている場合、タプル検証が失敗するようになりました。
影響確認 (1)
breakingpipeline_list_objects の実験的な既定値変更
pipeline_list_objects を設定している場合、listObjects-pipeline-enabled を設定している場合、またはカスタムの featureflag クライアントを使用している場合に適用されます。
実験的設定では pipeline_list_objects が既定で有効になり、新しい実験的な値を設定しても無効にならなくなりました。カスタムの featureflag クライアントではストアごとに pipeline_list_objects を無効にできます。ListObjects パイプラインのアルゴリズム全体を無効にする場合は、listObjects-pipeline-enabled を false に設定します。
ListObjectsの既定の動作が変わり、読み取り専用コンテナで必要な指定が限定されました。grpc-health-probeはCVE-2025-68121に対応する版へ更新され、grpc-gatewayクライアントの移行は内部実装に限られます。
要対応 (1)
securitycriticalgrpc-health-probeをv0.へ更新
grpc-health-probeがv0.に更新され、CVE-2025-68121に対応しました。
影響確認 (1)
breaking読み取り専用コンテナでの一時ファイルシステム指定の変更
--read-onlyを使っている場合に適用されます。
HTTPサーバーとgRPCサーバーの内部通信がTCPソケットからUDSに変わりました。コンテナイメージを--read-onlyで実行する場合は、/tmp用に--tmpfs /tmpの指定が必要です。
OpenTelemetry SDKを更新するリリースです。以前のバージョンに関する SNYK-GOLANG-GOOPENTELEMETRYIOOTELSDKRESOURCE-15182758 への対応が含まれます。
要対応 (1)
securityotel/sdk の v1.40.0 への更新
otel/sdk を v1.40.0 に更新し、以前のバージョンに存在する SNYK-GOLANG-GOOPENTELEMETRYIOOTELSDKRESOURCE-15182758 に対応します。
設定と可観測性に関する機能が加わり、スロットリングとメトリクスの挙動が変わります。複数の正確性の不具合と、ポリシー適用の不備に関するセキュリティ修正も含まれます。
要対応 (2)
securitymediumポリシー適用の不備を修正
ポリシー適用の不備を修正しました。対象は CVE-2026-24851 と GHSA-jq9f-gm9w-rwm9 で報告されています。
breakingカスタム grpc_prometheus フォークの置き換え
カスタム grpc_prometheus フォークを go-grpc-middleware のプロバイダーに置き換えました。このメトリクスからカスタムの grpc_code ラベルを削除しました。
