CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
セキュリティ修正に加え、運用者の対応が必要になる権限や利用条件の変更、依存関係マニフェストの記載が含まれます。通常の正確性修正と改善も行われています。
要対応 (1)
breakingJWTのサイズ上限を1MBに変更
JWTのサイズ上限を1MBに設定しました。#7960に対応しています。
影響確認 (13)
securityhighMQTTに関する脆弱性の修正
MQTTを利用している場合に適用されます。
securityhighleafnodesに関する脆弱性の修正
leafnodesを利用している場合に適用されます。
securityhighコマンドラインで渡す認証情報に関する脆弱性の修正
コマンドラインで認証情報を渡している場合に適用されます。
開示済みのCVE識別子に関するセキュリティ修正に加え、正確性の修正、検証と権限制約の強化が含まれています。依存関係とツールチェーンも更新されています。
要対応 (1)
breakingJWTのサイズ上限を1MBに変更
JWTのサイズ上限を1MBに設定しました。
影響確認 (11)
securityhighMQTTに関するCVE-2026-33216、CVE-2026-33217、CVE-2026-33215の修正
MQTTを利用している場合に適用されます。
securityhighleafnodesに関するCVE-2026-33218の修正
leafnodesを利用している場合に適用されます。
securityhighコマンドラインの認証情報に関するCVE-2026-33247の修正
コマンドラインで認証情報を設定している場合に適用されます。
v2.0.0では、CRDの配置先が/crdsに変わりました。依存関係のロックファイルも更新され、RUSTSEC-2026-0007への対応が含まれています。
要対応 (2)
securitymediumRUSTSEC-2026-0007に対応するロックファイル更新
依存関係のロックファイルを更新し、RUSTSEC-2026-0007に対応しました。
breakingCRDの配置先を/crdsへ変更
CRDの配置先をtemplates/crdsから/crdsへ移しました。
バージョン管理、対応する Kubernetes と PSS の構成、インストール動作、同梱コンポーネントのバージョンが変わります。Kubernetes 1.の要件と Pod Security enforcement の既定値変更を除き、アップグレード後に追加の設定変更は必要ありません。
要対応 (1)
breakingPod Security enforcement の既定値変更
Pod Security enforcement の既定値が baseline に変わります。
影響確認 (1)
breaking対応する Kubernetes バージョン
Kubernetes 1.を使用している場合に適用されます。
レジストリ、キャッシュ、署名、プロファイリング、設定、互換性に関する機能が追加され、依存関係や基盤コンポーネントの更新、各種不具合の修正も含まれています。GCRレプリケーションの削除とプロキシキャッシュの動作変更があるため、これらを利用している環境では影響を確認してください。アドバイザリ識別子は提供されていません。
要対応 (2)
securityプロジェクト作成前に発行された bearer tokens の拒否
プロジェクト作成前に発行された bearer tokens は拒否されるようになりました。
breakingwebhook event check 用 harbor IP のポート 9443 削除
webhook event check 用の harbor IP からポート 9443 が削除されました。
影響確認 (2)
breakingpull-through cache から proxy cache への変更
Harborで pull-through cache を使用している場合に適用されます。
breakingGCR replication の削除
Harborで GCR replication を使用している場合に適用されます。
設定項目とLLMInferenceServiceの機能が広がり、チャートや依存関係の更新も含まれます。動作の変更や削除、複数の不具合修正も行われています。運用者が確認して適用するセキュリティ修正も含まれます。
要対応 (13)
securitycriticalh11の不正なボディ処理を修正
不正なボディを受け入れるh11の問題として、CVE-2025-43859に対処しました。
securityhighstarletteを0.に固定
starletteをバージョン0.に固定し、CVE-2025-62727に対処しました。
securityhighlightgbmを4.に更新
lightgbmをバージョン4.に更新し、CVE-2024-43598に対処しました。
securityhighCVE-2025-66418への対処
解凍チェーン内のリンク数が無制限になる問題として、CVE-2025-66418に対処しました。
securityhighexpr-lang/exprをv1.に更新
expr-lang/exprをv1.に更新し、CVE-2025-68156に対処しました。
securityhighcryptographyのCVE-2026-26007対策
cryptographyのsubgroup attackに関するCVE-2026-26007に対処しました。
securityhighpython-multipartのCVE-2026-24486対策
python-multipartで任意のファイルを書き込める問題として、CVE-2026-24486に対処しました。
securitymedium複数のCVEへの対処
securityhttps.のパストラバーサル対策
https.でパストラバーサルが発生しないよう修正しました。
security複数のCVEへの対処
複数のCVEsに対処しました。
securityAIOHTTPの自動解凍処理を修正
AIOHTTPのHTTP Parserにあるauto_decompress機能のzip bomb脆弱性を修正しました。
securityextractTarFilesのパストラバーサル対策
extractTarFilesのパストラバーサル脆弱性を修正しました。
breakingminioからseaweedfsへの置き換え
minioをseaweedfsに置き換えました。
影響確認 (6)
breakinginferenceservice CRDのcert-managerアノテーション削除
inferenceservice CRDを使用している場合に適用されます。
breakingPython 3.9のサポート終了
Python 3.9を実行している場合に適用されます。
breaking--disable-log-requestsフラグの削除
--disable-log-requestsを設定している場合に適用されます。
通信設定から実行時処理まで複数の動作が更新され、入力検証も厳格になっています。TLS証明書のローテーション処理と実験的な既定値が見直され、Goツールチェーンは開示されたアドバイザリに対応する更新を受けています。
要対応 (2)
securityhighgo ツールチェーンの更新
go ツールチェーンを 1.25.8 に更新し、標準ライブラリの脆弱性 GO-2026-4603 と GO-2026-4601 に対応しました。
breakingタプル文字列の検証条件変更
タプル文字列に unicode control characters または null bytes が含まれている場合、タプル検証が失敗するようになりました。
影響確認 (1)
breakingpipeline_list_objects の実験的な既定値変更
pipeline_list_objects を設定している場合、listObjects-pipeline-enabled を設定している場合、またはカスタムの featureflag クライアントを使用している場合に適用されます。
Helm、API、solver、feature gate に関する機能が追加され、既定値や受け付ける動作も変更されています。複数の不具合が修正され、cert-manager と Go に関するセキュリティ修正も含まれています。
要対応 (2)
securityhighGo を v1. に更新
Go を v1. に更新し、CVE-2025-61727 と CVE-2025-61729 に対応しました。
breakingIssuer 参照の kind と group の既定値を変更
Issuer の参照に使う kind と group の既定値が、v0.19.0 で導入された値から以前の設定に戻りました。
影響確認 (4)
securityDNS キャッシュ処理による cert-manager controller のパニックを修正
適用対象はリリースノートに明記されていません。
breakingOtherNames を Beta に昇格し既定で有効化
OtherNames 機能を使用している場合に適用されます。
breakingコンテナの既定 UID と GID を変更
既定のコンテナユーザー（UID）または既定のコンテナグループ（GID）を設定していない場合に適用されます。
設定やAPIの互換性に関わる変更があり、GoツールチェーンにはGo 1.が必要です。新しい機能の追加と不具合および性能の修正も含まれますが、セキュリティアドバイザリやセキュリティ固有の修正は確認されていません。
要対応 (1)
breakingGo 1.の必須化
コードベース全体でGoのバージョンを統一し、Go 1.を必須とします。
影響確認 (2)
breakingremote sampling endpointのレガシー形式削除
remote sampling endpointを使用している場合に適用されます。
breakingtraces.からtraces.への変更
traces.を設定している場合に適用されます。
公表済みの脆弱性への対応に加え、KubernetesとKafkaのサポート対象が見直され、機能ゲートの既定値やリスナー単位のKafkaオプション設定が変更されました。ingressリスナータイプも非推奨になっており、アップグレードにはCRDの更新とKafkaUserフィールドの移行が必要です。
要対応 (2)
securityhigh公表済み脆弱性への対応
公表済みの脆弱性2件に対応しました。対象は CVE-2026-27133、CVE-2026-27134、GHSA-2qwx-rq6j-8r6j、GHSA-6x85-j2f7-4xc5 です。
breakingServerSideApplyPhase1を既定で有効化
ServerSideApplyPhase1 feature gateがベータに移行し、既定で有効になりました。
影響確認 (2)
breakingKubernetesのサポート対象を1.30以降に変更
Kubernetes 1.27、1.28、または1.29を使用している場合に該当します。
breakingKafka 4.0.0および4.0.1のサポートを削除
Kafka 4.0.0または4.0.1を使用している場合に該当します。
事前準備 (1)
deprecatedingressリスナータイプを非推奨化
ingressリスナータイプを設定している場合に該当します。
