CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
セキュリティ対応として、Ceph の更新に関する注意喚起があり、CVE-2025–30156 が示されています。rook mgr module が無効化され、CephCluster と CephX のエラー報告動作にも変更が加えられています。
要対応 (1)
breakingrook mgr module の無効化
rook mgr module が無効化されました。
影響確認 (1)
securityCeph の CVE-2025–30156 に関する注意喚起
Ceph を使用している場合に適用されます。
旧来のCRD APIの扱い、既定値、運用上の挙動が変わり、リソース状態メトリクスは廃止されます。Kafka関連の機能と設定機能が加わり、同梱依存関係も更新されます。
要対応 (2)
breakingService Accountトークンのマウント方式変更
PodへのService Accountトークンの自動マウントを停止し、トークンはボリューム経由でマウントする方式に変わります。
breakingServerSideApplyPhase1の恒久的な有効化
ServerSideApplyPhase1フィーチャーゲートがGA段階に移行し、無効化できない状態で恒久的に有効になります。
影響確認 (3)
breaking旧CRD APIバージョンのサポート終了
v1beta2、v1beta1、またはv1alpha1 APIを使用している場合は、Strimzi 1.0.0以降へアップグレードする前に適用されます。
breakingリソース状態メトリクスの削除
適用対象はリリースノートに明記されていません。
breakingコンテナの既定セキュリティコンテキスト変更
Cluster、Topic、User OperatorのYAMLインストールファイル、またはCluster Operator Helm Chartを使用している場合に適用されます。
依存関係の更新に加え、コマンド名や認証設定の扱い、既定値と動作の変更を含む広範なリリースです。AWS接続対応をはじめとする機能追加、カタログやScaffolder、検索、UI、正確性に関する修正も含まれています。Kubernetes pluginのセキュリティ修正と、詳細が公開されていないセキュリティ告知も含まれます。
要対応 (2)
breaking公開前のTypeScript設定スキーマ検証
パッケージ公開前の準備処理で、TypeScript設定スキーマが厳密に検証されるようになりました。
breakingルート接続タイプの定義元変更
接続タイプは、ルート接続タイプの定義元として移植可能な設定スキーマを使うようになりました。
影響確認 (16)
securityKubernetes pluginのセキュリティ修正
Kubernetes pluginを利用している場合に該当します。
breakingバックエンド専用接続APIのエクスポート削除
connectionsServiceRef、connectionsServiceFactory、DefaultConnectionsService、declareConnection、RootConnection、AnyRootConnection のいずれかを利用している場合に該当します。
breaking生成DockerfileのNode.jsスナップショット設定変更
生成されたバックエンド用Dockerfileを設定している場合に該当します。
事前準備 (3)
deprecatedplugin-web-library の通知API更新
plugin-web-library テンプレートを利用している場合に該当します。
deprecatedZod v3 スキーマの非推奨化
Zod v3 のスキーマに依存している場合に該当します。
deprecatedBackstage OpenAPIプラグイン設定の非推奨化
catalog. を設定している場合に該当します。
APIの非推奨化や運用上確認が必要な削除と既定値変更に加え、新機能、性能改善、正確性に関する修正を含みます。セキュリティアドバイザリや、明示的に説明されたセキュリティ脆弱性はありません。
要対応 (1)
breakingPromQL duration 式のデフォルト有効化
PromQL の duration 式がデフォルトで有効になりました。promql-duration-expr feature flag は何もしない設定になっています。
影響確認 (1)
breakinghcloud ターゲットの __meta_hetzner_datacenter ラベル削除
hcloud ターゲットを使用している場合に該当します。
事前準備 (1)
deprecatedstats クエリパラメータの一部指定値を非推奨化削除時期は未定
stats に true または all 以外の値を設定している場合に該当します。
主に不具合修正と性能面の改善を含むリリースで、運用時に見える既定値や制約にも変更があります。非推奨フラグの削除など、アップグレード前に設定の確認が必要な変更があり、依存関係の脆弱性修正も含まれています。
要対応 (3)
security依存関係の脆弱性修正
dependencies の脆弱性修正をまとめて適用しました（Batch 1および2、#2895）。
breakingRegoV1への移行に伴う互換シムの削除
RegoV1でのRego評価に切り替え、v0互換シムを削除しました。
breakingループバック限定への制約変更
アクセス範囲をループバック限定にしました（#2639）。
影響確認 (3)
breakingpprof debug server の既定動作をオプトインに変更
pprof debug server を有効にしている場合に適用されます。
breaking--frameworks の既定値を全フレームワークに変更
--frameworks を設定していない場合に適用されます。
breaking非推奨フラグの削除とドキュメント更新
deprecated flags を設定している場合に適用されます。
新しいLLM推論サービス、ストレージ、ランタイム、ルーティング、デプロイメント機能が加わり、動作修正や依存関係の更新、セキュリティ修正も含まれています。Starlette の脆弱性対応に加え、既定値の変更と準備完了判定の見直しがあるため、該当する構成では運用への影響を確認する必要があります。
要対応 (2)
securitymediumstarlette の更新
starlette を >=1. に更新し、CVE-2026-48710 に対応しました。
breaking標準の既定値をベースラインに統一
標準の既定値を、llm-dの最適化済みベースラインに合わせました。
影響確認 (7)
breakingLoRAアダプター向けスコアラーの自動有効化
LoRA adapters を利用している場合に適用されます。
breakingLLMInferenceServiceConfig の削除防止
LLMInferenceServiceConfig を利用している場合に適用されます。
breakingEPPポートの既定値を9002に変更
endpointPickerRef を設定し、port を設定していない場合に適用されます。
運用者向けの不具合修正と保守更新を中心としたリリースです。UI操作や既存設定に変更があり、設定項目を未指定でも扱えるようにする調整も含まれます。依存関係の更新では、セキュリティ修正に関わるものがあります。
要対応 (3)
securitymediumredoc/dompurify を v3. に更新
/ui の redoc/dompurify を v3. に更新し、CVE-2026-41240 の修正に対応しました。
securityformidable を v2. に更新
依存関係の formidable を v2. に更新しました。
breakingアプリ上部バーの auto-sync トグルを削除
アプリ上部バーから auto-sync トグルを削除しました。
影響確認 (1)
breakingtheme のデフォルト値を auto に変更
theme が設定されていない場合に適用されます。
不具合修正に加え、ワークロードアフィニティ、保存時暗号化、依存関係とイメージの更新、デフォルト値やメトリクス、非推奨化と削除に関する変更が含まれます。既存の運用環境では互換性と設定への影響を確認してください。リリースノートには重複した記載と空の見出しもあります。
要対応 (1)
breakingControllerPriorityQueue のベータ昇格とデフォルト有効化
ControllerPriorityQueue がベータ版に昇格し、デフォルトで有効になりました。
影響確認 (4)
breakingkarmadactl init からの --etcd-init-image 削除
--etcd-init-image フラグを使用している場合に該当します。
breakingspec. の namespace 検証追加
PropagationPolicy または OverridePolicy を使用している場合に該当します。
breakingWorkloadAffinity における GroupByLabelKey の重複禁止
WorkloadAffinity を設定している場合に該当します。
事前準備 (2)
deprecatedEtcd. の非推奨化v1.17.0から · 削除時期は未定
Karmada Init Configuration で Etcd. を設定している場合に該当します。
deprecatedクラスタリース関連フラグの非推奨化v1.17.0から · 削除時期は未定
--cluster-lease-duration または --cluster-lease-renew-interval-fraction を使用している場合に該当します。
SQLインジェクション経路の修正と、GHSA-fxhp-mv3v-67qp に対応する依存関係の更新を含みます。Regoの安全性検査に伴う互換性のない変更に加え、ランタイムやCLIの動作変更、新しい機能、正確性と性能に関する修正も含まれています。
要対応 (3)
securityhighoras. の更新
oras. が 2. から 2. に更新され、GHSA-fxhp-mv3v-67qp に対応しました。
breakingHTTPサーバーの ReadHeaderTimeout 設定
すべてのHTTPサーバーで ReadHeaderTimeout が 32s に設定されました。
breaking同名の部分集合ルールと -object ルールの拒否
部分集合ルールと -object ルールが同じ名前を共有する場合、ast で拒否されるようになりました。
影響確認 (2)
securityCompile API の動的キーによるSQL識別子生成の修正
Compile API を使用し、動的キーも使用している場合に適用されます。
breakingrego_unsafe_var_error の発生条件変更
適用対象はリリースノートに明記されていません。
Goツールチェーンと依存関係マニフェストが更新され、JetStreamの性能や設定に関する変更と、複数の正確性修正が含まれています。認証に関する2件の修正は、該当する設定を利用している場合にアップグレードが必要です。
要対応 (1)
breakingディスク同時実行用セマフォを4096スロットに変更
ディスク同時実行用セマフォのスロット数を、従来のCPUスケール方式から4096に増やしました。
影響確認 (2)
securityno_auth_user と auth callouts の認証チェックを修正
no_auth_user を設定し、auth callouts を使用している場合に適用されます。
securityTLS verify_and_map の認証バイパスを修正
TLS を使用し、verify_and_map を設定している場合に適用されます。
Gateway API、ネットワーク、IPAM、ポリシー、可観測性、データパスにわたる機能追加と保守修正を含むリリースです。非推奨設定の削除や名称変更、デフォルト値と要件の変更、メトリクスや連携機能の削除があるため、該当する設定や機能を使う環境では移行内容の確認が必要です。セキュリティ関連の依存モジュールも更新されています。
要対応 (11)
securitygoogle. の更新
セキュリティ更新として google. が v1.79.3 に更新されました。
securitygoogle. の更新
セキュリティ更新として google. が v1.82.1 に更新されました。
securityhelm. の更新
セキュリティ更新として helm. が v4.1.4 に更新されました。
securitygithub. の更新
セキュリティ更新として github. が v1.6.3 に更新されました。
securitygithub. の更新
セキュリティ更新として github. が v4.1.4 に更新されました。
securitygithub. の更新
セキュリティ更新として github. が v0.5.1 に更新されました。
breakingデフォルト CNI 設定バージョンの更新
デフォルトの CNI 設定バージョンが 0.3.1 から 1.0.0 に更新されました。
breakingIPAM メトリクスの削除
IPAM メトリクス cilium_operator_ipam_ips と cilium_operator_ipam_available_interfaces が削除されました。
breakingCNI 設定バージョンのデフォルト変更
デフォルトの CNI 設定バージョンが 0.3.1 から 1.0.0 に変更されました。
breakingネイティブヒストグラム出力のデフォルト化
すべてのヒストグラムで、ネイティブヒストグラムがデフォルトで出力されるようになりました。
breakingエージェント bootstrap メトリクスの削除
エージェントの bootstrap メトリクスが削除されました。
影響確認 (28)
securitytbid トラフィックのホスト名前空間漏えい修正
tbid トラフィックを使用している場合に該当します。
breakingdocker libnetwork plugin の廃止
docker libnetwork plugin を使用している場合に該当します。
breakingces-slice-mode オプションの削除
ces-slice-mode を設定している場合に該当します。
事前準備 (6)
deprecatedBeta Mutual Auth サポートの非推奨化削除時期は未定
Mutual Auth を使用している場合に該当します。
deprecatedIP アドレス設定フィールドの非推奨化
addresses[]. または interfaces[]. を設定している場合に該当します。
deprecatedローカル REST BGP API の非推奨化削除時期は未定
ローカル REST BGP API を使用している場合に該当します。
サーバーのデフォルト設定と動作が更新され、正確性に関わる問題も修正されています。公開済みの watch 権限の脆弱性に対処し、gRPC も公開済みのセキュリティアドバイザリに対応するバージョンへ更新されています。
要対応 (3)
securityhighgoogle. の 1.82.1 への更新
google. を 1.82.1 に更新し、GHSA-hrxh-6v49-42gf に対応しました。
breakingsnapshotLimitByte のデフォルト値変更
snapshotLimitByte に妥当な値を設定するよう、デフォルトを変更しました。
breakingclient http. の ReadHeaderTimeout 設定
client http. に ReadHeaderTimeout を設定しました。
影響確認 (1)
securityhigh読み取り権限に応じた watch 応答範囲の修正
適用対象はリリースノートに明記されていません。
セキュリティ修正と依存関係の更新に加え、正確性や動作に関する変更も含まれます。セキュリティ修正と snapshotLimitByte の既定値変更を利用する運用者にはアップグレードが推奨されますが、その他の修正では設定変更は必要ありません。
要対応 (5)
securitycriticalgolang. の更新
golang. を 0. から 0. に更新し、CVE-2026-25681、CVE-2026-27136、CVE-2026-39821、CVE-2026-42502、CVE-2026-25680、CVE-2026-42506 に対応しました。
securityhighキーの watch 応答に関する認可問題の修正
1つのキーへの読み取り権限を付与されたユーザーが、そのキー以降のすべてのキーに関する watch 応答を受け取れていた認可上の問題を修正しました。GHSA-xg4h-6gfc-h4m8 に対応しています。
securityhightlsListener の TLS ハンドシェイクタイムアウト設定
tlsListener に tlsHandshakeTimeout を設定しました。GHSA-6vch-q96h-7gc3 に対応しています。
securityhighgoogle. の更新
google. を 1. に更新し、GHSA-hrxh-6v49-42gf に対応しました。
breakingsnapshotLimitByte の既定値設定
snapshotLimitByte に妥当な既定値を設定しました。
Gateway APIとサービスポートの扱いが厳格になり、トレーシング識別子の構築も修正されています。依存関係や同梱コンポーネントのバージョン更新も含まれますが、セキュリティアドバイザリや脆弱性の明示はありません。
要対応 (1)
breaking未定義のサービスポートへのリクエスト拒否
定義されていないサービスポート宛てのリクエストを拒否するようになりました。
影響確認 (1)
breakingHelmインストール時のGateway API確認
Helmを使用している場合に適用されます。
ランタイム周辺の不具合修正を中心に、Kafkaの設定項目とヘルスチェック機能が加わっています。セキュリティ関連では、依存関係の更新も含まれます。
要対応 (3)
securitymediumgithub. の更新
github. を v5.2.4 に更新し、CVE-2025-69725 を解消します。
securitymediumMongoDBドライバーとコンポーネント依存関係の更新
go. を v1.17.7 に更新し、github. の依存バージョンを v1.18.3 に引き上げます。
breaking子ワークフローを示す競合エラー
子ワークフローが作成を妨げている場合、作成リクエストは競合エラーになります。エラーには、該当する子ワークフローが示されます。
バックエンド互換性に関わる削除や移行、設定とCLIの機能追加、非推奨化、正確性の修正を含むリリースです。セキュリティアドバイザリやセキュリティ固有の不具合は開示されていません。
要対応 (1)
breakingテンプレート作成処理の esclient への移行
テンプレートの作成処理を esclient に移行し、従来の legacy mapping rendering を廃止しました。
影響確認 (3)
breakingelasticsearch v6 のサポート終了
elasticsearch v6 を利用している場合に適用されます。
breakingjaegermcp 拡張機能の jaegerquery への統合
jaegermcp 拡張機能を利用している場合に適用されます。
breaking期限切れの安定版 feature gates の削除
適用対象はリリースノートに明記されていません。
事前準備 (1)
deprecatedlegacy flag の非推奨化
legacy flag を利用している場合に適用されます。
API、設定、通信方式に関わる変更を含む、機能追加と保守を組み合わせたリリースです。OpenAPI ツールの移行や MCP の通信方式変更、設定検証の厳格化に加え、バックエンド、フロントエンド、カタログ、認証、Webhook、TechDocs の機能追加、依存関係の更新、バグ修正が行われています。セキュリティアドバイザリやセキュリティ固有の修正は公表されていません。
要対応 (1)
breakingOpenAPI 破壊的変更検出の oasdiff 移行
OpenAPI の破壊的変更の検出に使う @useoptic/optic と @useoptic/openapi-utilities が oasdiff に置き換えられました。
影響確認 (12)
breaking不正なインポートのスキーマ読み込みを拒否
適用対象はリリースノートに明記されていません。
breakingOpenAPI スキーマ用コマンドの削除
package schema openapi init または repo schema openapi test を使用している場合に適用されます。
breakinguserGroupMember. と user. の併用を拒否
userGroupMember. と user. を両方設定している場合に適用されます。
事前準備 (3)
deprecatedopaque entity header extension point の非推奨化
opaque entity header extension point を使用している場合に適用されます。
deprecatedDynamic Client Registration の非推奨警告
Dynamic Client Registration を有効にしている場合に適用されます。
deprecatedOAuth discovery の設定キー変更
auth. または auth. を設定している場合に適用されます。
CRIとイメージ配布に関する運用者向けの変更を含みます。CreateContainerの受け付け条件が変わり、sandboxが実行中でない場合は拒否されます。
要対応 (1)
breakingsandbox実行中でない場合のCreateContainer拒否
CRIは、sandboxが実行中でない場合のCreateContainerリクエストを拒否します。
複数の運用者向け機能が追加され、動作や対応入力も変更されています。既存の運用機能は非推奨化されておらず、セキュリティ関連では依存関係の移行も行われています。
要対応 (2)
securityDocker依存関係のMoby移行
github. の依存関係を github. 相当へ移行し、CVEを解消しました。
breakingヘルスチェックのRPCメトリクス出力停止
Agentのヘルスチェックで行うループバック呼び出しは、RPC メトリクスを出力しなくなり、メトリクスのノイズが減りました。
影響確認 (1)
breakingdelegated APIのJWT-SVID提供対象変更
管理用エントリまたは下流エントリに対して delegated API を使用している場合に適用されます。
セキュリティ関連の依存関係更新と挙動変更を含み、PromQL、配布アーティファクト、APIや設定の扱いが変わります。性能改善と不具合修正も含まれるため、これらの機能や運用箇所を利用している環境に関係するリリースです。
要対応 (2)
securitycriticalsanitize-htmlの更新
UIで使用するsanitize-htmlを更新し、クロスサイトスクリプティングの脆弱性CVE-2026-44990を修正しました。
breakingサードパーティライセンスの提供方法を変更
サードパーティ製npm依存関係のライセンスをPrometheusバイナリに埋め込み、/assets/third-party-licenses.で提供する形に変更しました。リリースのtarballとコンテナイメージに収録していたnpm_licenses.は置き換えられています。
影響確認 (2)
securitymedium別ホストへのリダイレクト時に認証情報を転送しない挙動
スクレイピング、リモート読み取りまたは書き込み、アラート、サービスディスカバリのいずれかを利用している場合に適用されます。
breakingPromQL期間式関数の改名
experimental-duration-exprを有効にしてmin()またはmax()を使用している場合に適用されます。
v2.5.0では、運用時の機能やプロキシ、ダウンロードの挙動が変更され、非推奨APIの削除と正確性に関する修正も行われています。セキュリティ脆弱性やアドバイザリの開示はありません。
要対応 (1)
breakingヘルスチェックの/healthyへの統合
ヘルスチェックが/healthyエンドポイントに統合されました。
影響確認 (1)
breaking非推奨のV1 preheat APIエンドポイントの削除
非推奨のV1 preheat APIエンドポイントを利用している場合に適用されます。
ログ出力の既定値が変更され、運用者向けの修正や追加が含まれています。pilot-agent のメトリクス取得における許可コンテンツタイプの制約が絞り込まれ、Envoy に関するセキュリティ修正も含まれます。
要対応 (12)
securityhighCVE-2026-47220 のクラッシュを修正
CVE-2026-47220 に関するクラッシュの不具合が修正されました。
securityhighCVE-2026-48044 のメモリ枯渇脆弱性を修正
CVE-2026-48044 に関するメモリ枯渇脆弱性が修正されました。
securityhighCVE-2026-48042 の JSON 入れ子深度を制限
CVE-2026-48042 に関して、JSON の入れ子の深さを 1000 に制限しました。
securitymediumCVE-2026-47692 の不具合を修正
CVE-2026-47692 に関する不具合が修正されました。
securitymediumCVE-2026-47205 の use-after-free クラッシュを修正
CVE-2026-47205 に関する use-after-free によるクラッシュが修正されました。
securitymediumCVE-2026-48090 の非同期コールバック処理を修正
CVE-2026-48090 に関して、フィルターの破棄後に非同期トークン変更コールバックが呼び出される不具合が修正されました。
securitymediumCVE-2026-47778 の SAN 検証を修正
CVE-2026-47778 に関して、Envoy が Subject Alternative Name（SAN）を検証できない問題が修正されました。
securitymediumCVE-2026-47204 のクラッシュと use-after-free を修正
CVE-2026-47204 に関するクラッシュまたは use-after-free が修正されました。
securitymediumCVE-2026-48497 のクエリ名長検査を修正
CVE-2026-48497 に関して、クエリ名の長さを検査する処理が修正されました。
securitymediumCVE-2026-47775 のパディングオラクルに対処
CVE-2026-47775 に関するパディングオラクルの問題に対処しました。
securityGHSA-p7c7-7c47-pwch のサービス拒否脆弱性を修正
GHSA-p7c7-7c47-pwch に関するサービス拒否脆弱性が修正されました。
breakingメッセージのログレベルを warn に変更
メッセージのログ出力レベルが warn になりました。
影響確認 (5)
securityhighCVE-2026-48743 の HTTP/3 content-length 検証を修正
HTTP/3 を使用している場合に適用されます。
securitymediumCVE-2026-47207 の予期しない ProcessingResponses を修正
ext_proc 拡張機能を使用している場合に適用されます。
securitymediumCVE-2026-47221 の HTTP 303 内部リダイレクト処理を修正
適用対象はリリースノートに明記されていません。
セキュリティ修正に加え、依存関係とツールチェーンの更新、チェックポイントおよびイメージ処理の挙動変更を含むリリースです。アップグレード以外の対応はおおむね必要ありませんが、ユーザーデータベースの読み取り範囲が制限され、これまで受け付けていた入力が拒否される場合があります。
要対応 (2)
securitycriticalCVE-2026-50195の修正
CVE-2026-50195に関するセキュリティ修正が含まれています。
breakingopenUserFileのユーザーデータベースファイル読み取り制限
openUserFileで読み取るユーザーデータベースファイルの範囲が制限されます。
新機能と保守性の改善を含むリリースで、設定や公開APIの変更、正確性・性能・信頼性に関わる修正が行われています。設定名やAPIの変更、新しく生成されるアプリケーションへの影響を確認してからアップグレードしてください。依存関係にはセキュリティ対応の更新も含まれますが、アドバイザリ識別子や個別の脆弱性は示されていません。
要対応 (2)
securityinfinispan の更新
既知の脆弱性への対応として、infinispan が ^0. から ^0. に更新されました。
breakingjson-schema ランタイム依存関係の削除
未使用の json-schema ランタイム依存関係が削除されました。
影響確認 (7)
breakingcatalog. の削除
catalog. を設定している場合に該当します。
breakingComboboxProps の型変更
ComboboxProps を利用している場合に該当します。
breaking/kubernetes のデフォルトページ削除
/kubernetes を利用している場合に該当します。
事前準備 (9)
deprecatedプレーン配列 options の入力状態プロパティ非推奨化
プレーン配列の options を利用している場合に該当します。
deprecated従来トークンの非推奨化削除時期は未定
適用対象はリリースノートに明記されていません。
deprecatedrunCliModule の非推奨化
runCliModule を利用している場合に該当します。
カレンダーに基づくバージョニングを採用し、コンポーネントや依存関係の更新、新しい機能の追加とデフォルト設定の変更、デプロイや設定に関する不具合修正を含むリリースです。dashboardには破壊的な変更があり、セキュリティ面の強化も含まれますが、具体的な脆弱性やアドバイザリは示されていません。
要対応 (2)
breakingmodel-registryとUIのデフォルト有効化
model-registryとUIがデフォルトで有効になります。
breakingdexの2レプリカ構成への変更
dexがsticky serviceなしで2レプリカ構成で動作するようになります。
影響確認 (1)
breaking破壊的な dashboard 変更に伴うアップグレード手順
dashboardを利用している場合に適用されます。
ワークフローとMCPの機能拡張を中心に、コントロールプレーン、API、コンポーネント、ライフサイクルに関わる変更が含まれています。バグ修正、依存関係や既定値の更新、互換性に関わる制約に加え、セキュリティ修正も含まれるため、アップグレード前に前提条件と設定への影響を確認する必要があります。
要対応 (8)
securitymediumgolang.の更新
golang.がv0.39.0へ更新され、GO-2026-4962に対応しました。
securitydurabletask-goとpgxの更新
durabletask-goがv0.12.1へ更新され、pgxも更新されました。
breakingWorkflowsRemoteActivityReminderのデフォルト有効化
WorkflowsRemoteActivityReminderがデフォルトで有効になり、アプリ間のワークフローアクティビティ結果がSchedulerのリマインダー経由で配信されます。
breakingコンポーネント群のホットリロード
HotReloadがデフォルトで有効になり、Components、Subscriptions、MCPServers、Configurations、HTTPEndpoints、Resiliencies、WorkflowAccessPoliciesがデフォルトでホットリロードされます。
breakingサイドカーのプローブ既定値の変更
サイドカーのlivenessは、kubeletが再起動するまでの時間が約230秒となるよう緩和され、readinessはより短い時間で反応する設定になりました。
breakingHotReloadのデフォルト有効化
HotReloadがv1.18でデフォルト有効になりました。
breakinglivenessとreadinessのプローブ既定値更新
livenessの既定値が緩和され、readinessの既定値が厳格になりました。
breakingサイドカープローブ既定値の変更
サイドカーのプローブ既定値が変更されました。livenessはkubelet再起動まで約230秒となるよう緩和され、readinessはcontrol-planeで約3秒、daprdで約5秒となるよう短縮されました。
影響確認 (6)
securityサービス呼び出しのパストラバーサル修正
サービス呼び出しを利用している場合に適用されます。
breakingフィーチャーゲートの削除
MCPServerResourceまたはWorkflowAccessPolicyのフィーチャーゲートを設定している場合に適用されます。
breaking旧バージョンへの直接ロールバック制約
適用対象はリリースノートに明記されていません。
事前準備 (1)
deprecatedアルファ版スケジュールRPCの非推奨化
ScheduleJobAlpha1を利用している場合に適用されます。
アルファ段階のスケジューリング機能、新しいフラグやHelm設定が加わり、スケジューラと統合部分の安定性、メトリクスやログの挙動も変わります。アップグレード時にはKubernetesとDRAの互換性要件、DRAスケジューリング統合の既定値、サービス拒否およびPrometheusに関するセキュリティ修正を確認する必要があります。
要対応 (4)
securitymediumgithub.の更新
github.を更新し、格納型XSSのアドバイザリGHSA-vffh-x6r8-xx99に対応しました。
securitymediumadmission webhookのリクエスト本文制限
admission webhookへのリクエスト本文のサイズを制限し、サイズの大きい本文によってwebhookサーバーがメモリ不足になるサービス拒否のリスクを修正しました。関連する識別子はCVE-2026-44247とGHSA-8wxp-xxp2-rcgxです。
breakingDRAスケジューリング統合の既定有効化
DRAスケジューリング統合が既定で有効になりました。対象となる設定項目はpredicate.です。
breakingKubernetes 1.34以降に合わせたDRA既定値の変更
Kubernetes 1.34以降の挙動に合わせ、DRAスケジューリング統合が既定で有効になりました。無効にする場合はpredicate.を設定します。
影響確認 (2)
breakingSchedulingGatesQueueAdmissionの有効化条件
SchedulingGatesQueueAdmissionを有効にする場合に適用されます。
breakinggang-awareプリエンプションとリクレームの設定条件
gangPreemptとgangReclaimを設定し、preemptまたはreclaimを設定していない場合に適用されます。
運用者向けのAPIや連携機能、設定項目、UI機能が追加され、既存機能の検証や制約も見直されています。セキュリティ上の問題への修正に加え、正確性の修正と性能改善も含まれています。
要対応 (1)
breakingfgprofプロファイルの同時実行を拒否
APIでfgprofプロファイルを同時に実行した場合、その実行を拒否するようになりました。
影響確認 (3)
securityRemote Writeの32MB超過リクエストを拒否
Remote Writeを使用している場合に適用されます。
securitySTACKIT SDの平文シークレット公開を修正
STACKIT SDを使用している場合に適用されます。
breakinggzipエンコードされたOTLP本文のサイズ制限
OTLPを使用している場合に適用されます。
対応エンジンや出力の整理に加え、falco-webuiのアクセス範囲が見直されています。ルールと設定の機能追加、複数の不具合修正、依存関係の更新も含まれますが、セキュリティアドバイザリの告知はありません。
要対応 (1)
breakinggRPC server supportの削除
gRPC server supportを削除しました。
影響確認 (5)
securityplugin library pathのパストラバーサル防止
plugin library pathを設定している場合に該当します。
breakinggRPC outputの削除
gRPC outputを使用している場合に該当します。
breakinggVisor engineサポートの削除
gVisor engineを使用している場合に該当します。
互換性に影響する廃止や既定値、制約の変更が含まれています。運用者向けの新しい機能と性能改善に加え、依存関係の既知の脆弱性に対応する更新もあります。
要対応 (2)
securityModule Federation パッケージの v2.3.3 更新
既知の脆弱性に対応するため、Module Federation パッケージが v2.3.3 に更新されました。
breaking@remixicon/react の依存バージョン制限
ライセンス変更により、@remixicon/react の依存バージョンは 4.9.0 未満に制限されました。
影響確認 (9)
securityCIMD と DCR の既定ワイルドカード変更
CIMD または DCR を設定している場合に適用されます。
breakingNavItemBlueprint の削除
NavItemBlueprint を使用している場合に適用されます。
breakingrenderInTestApp の描画内容の変更
renderInTestApp を使用している場合に適用されます。
事前準備 (4)
deprecatedPolicyQueryUser. の非推奨化
PolicyQueryUser. を使用している場合に適用されます。
deprecatedEXPERIMENTAL_formDecorators の非推奨エイリアス化
EXPERIMENTAL_formDecorators を設定している場合に適用されます。
deprecatedcatalog. の非推奨化
catalog. を設定している場合に適用されます。
Gateway API、ambientモード、テレメトリ、Helm、運用機能に関する新しい機能が追加されています。XDSデバッグエンドポイントの認証要件と、Istioイメージのデフォルトレジストリ変更は、利用環境の設定確認が必要な変更です。アドバイザリ識別子や、明示的に開示された脆弱性はありません。
要対応 (1)
breakingIstioイメージのデフォルトレジストリ変更
Istioイメージのデフォルトレジストリが registry. になりました。
影響確認 (1)
breakingXDSデバッグエンドポイントの認証必須化
ENABLE_DEBUG_ENDPOINT_AUTH が設定されている場合に適用されます。
サイドカーの既定モードを変更し、native sidecars をGAに昇格しました。正確性に関する修正、タイムスタンプ処理の設定対応、11件のCVE修正、依存関係の更新を含みます。
要対応 (2)
securityhigh11件のCVEを修正
次のCVEを修正しました。CVE-2026-42501、CVE-2026-42499、CVE-2026-39836、CVE-2026-39826、CVE-2026-39825、CVE-2026-39823、CVE-2026-39820、CVE-2026-39819、CVE-2026-39817、CVE-2026-33814、CVE-2026-33811。
breakingconfig. の既定動作を変更
サイドカーの既定モードを変更し、config. で指定されるモードがデフォルトになります。
運用者向けの不具合修正に加え、設定によっては EndpointSlice の監視条件が変わり、対応するラベルが必要になりました。Helm の設定項目や外部イメージの指定が拡張され、依存モジュールとイメージも更新されています。
要対応 (2)
securitygithub. を v0.5.1 に更新
セキュリティ関連の更新として、依存モジュール github. を v0.5.1 に更新しました。
breakingloadbalancer/reflectors の EndpointSlice 監視をサービスラベルで絞り込み
loadbalancer/reflectors が監視する EndpointSlice を、サービスラベルで絞り込むようになりました。
影響確認 (1)
breakingEndpointSlices の監視にサービスプロキシ名ラベルの絞り込みを追加
--k8s-service-proxy-name を設定している場合に適用されます。
破壊的な削除に加え、メトリクスとAPIの変更、複数の不具合修正、実験的な機能が含まれています。セキュリティアドバイザリやセキュリティ固有の修正は記載されていません。
要対応 (2)
breakingmetricstoreのmin step apiを削除
metricstoreからmin step apiを削除しました。
breakingjaegermcpのnon-standard health mcp toolを削除
jaegermcpからnon-standard health mcp toolを削除しました。
従来のドライバーやエントリーポイントの削除、設定の非推奨化、既定値と制約の変更が行われています。HostClaim や vbmctl の機能追加、不具合修正、依存関係の更新も含まれます。
要対応 (1)
breakingマネージャー TLS の既定値変更
マネージャーの TLS の既定値が未設定に戻りました。
影響確認 (3)
breakingiRMC ドライバーの削除
iRMC ドライバーを使用している場合に適用されます。
breakingデプロビジョニング時の PreprovisioningImage 必須化
クリーニングを有効にしている場合に適用されます。
breaking従来の vbmctl エントリーポイントの削除
従来の vbmctl エントリーポイントを使用している場合に適用されます。
事前準備 (1)
deprecatedBMH. の非推奨化
BMH. を設定している場合に適用されます。
