リリース

CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。

緊急度

性格

カテゴリ

すべて AI & ML CI/CD & App Delivery Kubernetes Core Networking & Messaging Observability Orchestration & Management Provisioning & Runtime Security Storage & Data

Harborv2.15.1Storage & Data2026年5月6日

ACTION 1OTHER 13分析を詳しく見る

このリリースでは、CVEsへの対応としてphotonパッケージが更新されています。該当する環境ではアップグレードが必要です。

要対応 (1)

securityphotonパッケージの更新
photonパッケージが更新され、CVEsへの対応が行われています。

原文 ↗

Argov3.4.1CI/CD & App Delivery2026年5月6日

ACTION 4CHECK 2OTHER 275分析を詳しく見る

正確性、性能、依存関係、運用者向けの改善を含む、保守と機能拡張のリリースです。クラスタバージョンのアノテーションと形式、gRPC DNS TXT 参照や ApplicationSet リソースステータス件数のデフォルト、UI の選択肢に変更があります。セキュリティ関連の依存関係も更新されていますが、悪用可能な脆弱性やセキュリティアドバイザリの明示的な開示はありません。

要対応 (4)

securityk8s.io/kubernetes を v1.34.2 に更新
k8s.io/kubernetes が v1.34.2 に更新されました。
securityhelm を 3.19.4 に更新
cve 対応のため、helm が 3.19.4 に更新されました。
breakinggRPC サービス設定の DNS TXT 参照をデフォルトで無効化
gRPC service config DNS TXT lookups は、デフォルトで無効になりました。
breakingApplicationSet リソースステータス件数のデフォルト値を 5000 に変更
appset resource status count のデフォルト値が 5000 に変更されました。

影響確認 (2)

breakinghelm version コマンドの --client 削除
この変更は、--client を使用している場合に適用されます。
breakingクラスタバージョンアノテーションと形式の変更
Kubernetes バージョンに基づいてクラスタを取得する Cluster Generators を使う Application Sets で、クラスタシークレットに argocd.argoproj.io/auto-label-cluster-info を設定している場合に適用されます。

原文 ↗

CRI-Ov1.36.0Kubernetes Core2026年5月5日

ACTION 1OTHER 20分析を詳しく見る

CRI-O v1.36.0は、ランタイムや運用に関わる更新を含む保守リリースです。依存関係の更新による修正も含まれています。

要対応 (1)

securityhighspdystream の更新による CVE-2026-35469 の修正
依存関係の spdystream を更新し、CVE-2026-35469 を修正しました。

原文 ↗

Confidential Containersv0.20.0Security2026年5月5日

ACTION 1PLAN 3OTHER 12分析を詳しく見る

v0.20.0では、セキュリティ修正と、今後の削除予定を伴う互換性上の変更が含まれます。特定のプロバイダーやイメージを利用する環境では、今回の非推奨化が関係します。

要対応 (1)

securityhighGHSA-q49m-57vm-c8ccに関連するCVEの修正
GHSA-q49m-57vm-c8ccに関連するCVEの修正が含まれます。

事前準備 (3)

deprecatedDocker CAA providerの非推奨化削除時期は未定
Docker CAA providerを利用している場合に該当します。
breakingFedora-based mkosi CAA podvm imageの非推奨化とUbuntu imageへの置き換え削除時期は未定
Fedora-based mkosi CAA podvm imageを利用している場合に該当します。
deprecatedpacker imagesサポートの非推奨化削除時期は未定
packer imagesを利用している場合に該当します。

原文 ↗

CRI-Ov1.35.3Kubernetes Core2026年5月5日

ACTION 2OTHER 4分析を詳しく見る

メトリクスの追加とGOMAXPROCS設定フィールドの追加、ランタイムの不具い修正が含まれます。CNIのヘルス監視に関する変更は回帰を受けて取り消され、spdystream の更新で CVE-2026-35469 に対応しています。

要対応 (2)

securityhighspdystream の更新による CVE-2026-35469 対応
依存関係の spdystream を更新し、CVE-2026-35469 を修正しました。
breakingCRI-O CNI monitoring の差し戻し
ノードのブートストラップで回帰が発生していたため、CRI-O CNI monitoring を差し戻しました。

原文 ↗

CRI-Ov1.34.8Kubernetes Core2026年5月5日

ACTION 1OTHER 2分析を詳しく見る

v1.34.8では、spdystream依存関係の更新によってCVE-2026-35469に対処しています。この修正を利用するにはアップグレードが必要です。

要対応 (1)

securityhighspdystream依存関係の更新
CVE-2026-35469への対処として、spdystream依存関係が更新されました。

原文 ↗

CRI-Ov1.33.12Kubernetes Core2026年5月5日

ACTION 1OTHER 1分析を詳しく見る

このリリースでは、開示済みの脆弱性に対応しています。spdystreamを利用する環境に関係する更新です。

要対応 (1)

securityhighspdystream依存関係の更新によるCVE-2026-35469の修正
spdystreamの依存関係を更新し、CVE-2026-35469を修正しました。

原文 ↗

etcdv3.6.11Kubernetes Core2026年5月1日

ACTION 1CHECK 1OTHER 2分析を詳しく見る

動作とセキュリティに関わる修正を含み、GO-2026-4962に関連する依存関係も更新されています。ビルドに使用したGoツールチェーンの記録のほか、見出しやドキュメント、インストール手順も収録されています。

要対応 (1)

securitymediumgolang.org/x/imageをv0.39.0に更新
GO-2026-4962を解消するため、golang.org/x/imageをv0.39.0に更新しました。

影響確認 (1)

securityトランザクション内の Put に対する RBAC 認可回避の修正
RBACを使用している場合に適用されます。

原文 ↗

etcdv3.5.30Kubernetes Core2026年5月1日

ACTION 1OTHER 2分析を詳しく見る

通常の不具合修正に加え、アップグレードが必要とされるセキュリティ修正を含みます。Goツールチェーンの依存関係更新も含まれ、残りは見出しまたはインストール文書です。

要対応 (1)

securityRBAC認可バイパスの修正
RBACの認可バイパスを修正しました。etcdトランザクション内のPutリクエストで、PrevKvまたはリースのアタッチメントを介して読み取りアクセスが可能になる問題に対応しています。

原文 ↗

OpenFeaturecore/v0.15.5CI/CD & App Delivery2026年4月30日

ACTION 1OTHER 4分析を詳しく見る

このリリースでは、依存関係に関するセキュリティアラートへの対応が行われています。依存関係の安全性を確認している環境に関係する変更です。

要対応 (1)

securitydependabotのセキュリティアラート解消
dependabotが報告したセキュリティアラートを解消しました。

原文 ↗

OpenFeatureflagd-proxy/v0.9.5CI/CD & App Delivery2026年4月30日

ACTION 1分析を詳しく見る

Dependabot が報告した未解決のセキュリティアラートへの対応を含むリリースです。修正対象の脆弱性の詳細は記載されていません。

要対応 (1)

security未解決の Dependabot セキュリティアラートへの対応
未解決だった Dependabot のセキュリティアラートに対応しました。

原文 ↗

Argov3.3.9CI/CD & App Delivery2026年4月30日

ACTION 2OTHER 4分析を詳しく見る

v3.3.9は、セキュリティ対応を含むリリースです。脆弱性対応を目的とした更新を確認する利用者に関係します。

要対応 (2)

securitycriticalGHSA-3v3m-wc6v-x4x3 のセキュリティ修正
GHSA-3v3m-wc6v-x4x3 に関するセキュリティ修正が含まれています。
securitygo バージョンの更新
go のバージョンが更新され、CVEs の解消が図られています。

原文 ↗

Argov3.2.11CI/CD & App Delivery2026年4月30日

ACTION 1OTHER 4分析を詳しく見る

v3.2.11は、セキュリティ修正を含むリリースです。GHSA-3v3m-wc6v-x4x3 に該当する脆弱性への対応が関係する場合、更新が必要です。

要対応 (1)

securitycriticalGHSA-3v3m-wc6v-x4x3 に対するセキュリティ修正
GHSA-3v3m-wc6v-x4x3 に識別される脆弱性に対するセキュリティ修正が含まれています。

原文 ↗

Vitessv24.0.0Storage & Data2026年4月30日

ACTION 3CHECK 12PLAN 4OTHER 244分析を詳しく見る

新しい機能の追加と既存機能の保守、動作の正確性や依存関係の更新を含むリリースです。設定のデフォルト値やバックアップ処理、削除・非推奨となったインターフェースを確認する必要があり、セキュリティ修正と外部圧縮解除処理の強化も含まれます。

要対応 (3)

security機密情報の平文ログ出力への対処
コードスキャンアラートno. 2992で指摘された、機密情報の平文ログ出力に対処しました。
securityGetBackupsのディレクトリトラバーサル対策
ファイルバックアップストレージのGetBackups RPCにおけるディレクトリトラバーサルに対処しました。
breaking修飾なしの*を含むSELECTの扱い変更
SELECTリストでカンマの後に修飾なしの*を指定した場合、vtgateが拒否するようになりました。

影響確認 (12)

securityMANIFESTからの圧縮解除コマンド読み込み変更
適用対象はリリースノートに明記されていません。
securityバックアップMANIFESTを介した外部コマンド実行の制限
バックアップストレージを使用している場合に適用されます。
securitybackupengineのパストラバーサル対策
backupengineが実行される場合に適用されます。
リリースページにあと 9 件

事前準備 (4)

deprecatedglogの非推奨化v25で削除予定
glogを使用している場合に適用されます。
deprecatedOpenTracingバックエンドの非推奨化v25で削除予定
opentracing-jaegerまたはopentracing-datadogを使用している場合に適用されます。
deprecatedVTOrc Snapshot Topology機能の非推奨化v25で削除予定
--snapshot-topology-intervalを設定している場合に適用されます。
リリースページにあと 1 件

原文 ↗

Karmadav1.17.2Orchestration & Management2026年4月30日

ACTION 1OTHER 5分析を詳しく見る

v1.17.2では、セキュリティ上の懸念に対応するため、alpine のベースイメージが更新されています。この依存関係の更新にはアップグレードが必要です。

要対応 (1)

securityalpine ベースイメージの更新
セキュリティ上の懸念への対応として、ベースイメージ alpine が alpine:3.23.3 から alpine:3.23.4 に更新されました。

原文 ↗

Karmadav1.15.8Orchestration & Management2026年4月30日

ACTION 1OTHER 3分析を詳しく見る

オペレーターとスケジューラーの動作不具合が修正され、セキュリティ上の懸念に対応するベースイメージの更新も行われています。alpine は alpine:3.23.3 から alpine:3.23.4 に更新されました。

要対応 (1)

securityalpine ベースイメージの更新
セキュリティ上の懸念への対応として、ベースイメージ alpine が alpine:3.23.3 から alpine:3.23.4 に更新されました。

原文 ↗

KServev0.18.0AI & ML2026年4月29日

ACTION 3CHECK 2OTHER 61分析を詳しく見る

運用者向けの修正や新機能、APIおよび設定の変更、依存関係の更新を含むリリースです。明示されたセキュリティ修正も含まれます。

要対応 (3)

securityhighPyJWT の CVE-2026-32597 対応
PyJWT の crit ヘッダー検証に関する CVE-2026-32597 を修正しました。
securityhighpyasn1 の CVE-2026-30922 対応
pyasn1 の DoS 脆弱性に関する CVE-2026-30922 を修正しました。
breakingMaxReplicas の必須化
MaxReplicas が必須の int32 になりました。

影響確認 (2)

breakingcert-hash 再起動アノテーションの削除
cert-hash を設定している場合に適用されます。
breakingPYTHONPATH 環境変数の遮断
PYTHONPATH を設定している場合に適用されます。

原文 ↗

Kyvernov1.18.0Security2026年4月29日

ACTION 4CHECK 2OTHER 102分析を詳しく見る

オペレーター機能を加え、設定、Helm、CLIの改善を含む機能・保守リリースです。多数の不具合修正や出力・依存関係の更新に加え、アクセス制約の見直しとCVE関連の問題3件への修正が含まれます。

要対応 (4)

securityhigh中間証明書の制限によるCVE-2026-32280対策
中間証明書の数を制限し、CVE-2026-32280の影響を抑える修正を加えました。
securityhighGo toolchainの1.26.2への更新
Go toolchainを1.26.2へ更新し、CVE-2026-32283を修正しました。
securitymediumgo-tuf/v2のv2.4.1への更新
go-tuf/v2をv2.4.1へ更新し、CVE-2026-24686を修正しました。
security標準ライブラリのCVE修正
標準ライブラリに関するCVEを修正しました。

影響確認 (2)

breakingnamespaced policiesのconfigmapアクセス制限
namespaced policiesを使用している場合に適用されます。
breakingアンインストール時のfinalizersと回避策の削除
アンインストールを実行する場合に適用されます。

原文 ↗

NATSv2.12.8Networking & Messaging2026年4月27日

ACTION 1OTHER 22分析を詳しく見る

セキュリティと動作の正確性、性能に関する修正に加え、依存関係およびツールチェーンのマニフェストも更新されています。多くの修正は、アップグレード以外の運用作業を必要としません。

要対応 (1)

security/connz における bearer JWTs の非開示
監視エンドポイント /connz が bearer JWTs を開示しなくなりました。

原文 ↗

OpenFGAv1.15.0Security2026年4月27日

ACTION 1OTHER 2分析を詳しく見る

このリリースでは、Go ツールチェーンを 1.26.2 に更新しています。Go標準ライブラリの脆弱性への対応を含むため、ビルドや実行環境で使用するツールチェーンの確認に関係します。

要対応 (1)

securityGo ツールチェーンを 1.26.2 に更新
ツールチェーンの Go を 1.26.2 に更新しました。Go標準ライブラリで報告された脆弱性に対応する更新です。

原文 ↗

Flatcar Container Linuxlts-4081.3.7Provisioning & Runtime2026年4月27日

ACTION 1OTHER 3分析を詳しく見る

このリリースは、セキュリティ対応を主な内容としています。セキュリティ修正について、アップグレード以外の設定変更や互換性対応は記載されていません。

要対応 (1)

securitycriticalLinux のセキュリティ修正
Linux に多数のセキュリティ修正が含まれています。対象には、記載された CVE-2023-52435 などのアドバイザリが含まれます。

原文 ↗

Flatcar Container Linuxstable-4593.2.0Provisioning & Runtime2026年4月27日

ACTION 18CHECK 1OTHER 99分析を詳しく見る

Linuxと同梱コンポーネントのセキュリティ修正を中心に、依存関係の更新が含まれています。minimal-initrdに伴う回帰の修正や、サービスの起動設定、SSH設定、利用できるカーネルモジュールの構成変更もあります。

要対応 (18)

securitycriticalLinuxの追加セキュリティ修正
Linuxのセキュリティ修正として、CVE-2026-31411を含む更新が反映されています。
securityhighcurlのセキュリティ修正
curlのセキュリティ修正が反映されています。
securityhighexpatのセキュリティ修正
expatのセキュリティ修正が反映されています。
securityhighgnupgのセキュリティ修正
gnupgのセキュリティ修正が反映されています。
securityhighgoのセキュリティ修正
goのセキュリティ修正が反映されています。
securityhighintel-microcodeのセキュリティ修正
intel-microcodeのセキュリティ修正が反映されています。
securityhighlibxsltのセキュリティ修正
libxsltのセキュリティ修正が反映されています。
securityhighnvidia-driversのセキュリティ修正
nvidia-driversのセキュリティ修正が反映されています。
securityhighopensslのセキュリティ修正
opensslのセキュリティ修正が反映されています。
securityhighpamのセキュリティ修正
pamのセキュリティ修正が反映されています。
securitymediumbinutilsのセキュリティ修正
binutilsのセキュリティ修正が反映されています。
securitymediumcoreutilsのセキュリティ修正
coreutilsのセキュリティ修正が反映されています。
securitymediumlibpcre2のセキュリティ修正
libpcre2のセキュリティ修正が反映されています。
securitymediumnet-toolsのセキュリティ修正
net-toolsのセキュリティ修正が反映されています。
securitylowopensshのセキュリティ修正
opensshのセキュリティ修正が反映されています。
securitylibxml2の更新
libxml2がlibxml2-20250908に更新されています。
breakingsshdでOpenSSHのデフォルト設定を使用
sshdの設定からCiphers、MACs、KexAlgorithmsが削除され、OpenSSHの上流デフォルトが使われるようになっています。
breaking最初のinitrdで利用できるカーネルモジュールの縮小
最初のinitrdで利用できるカーネルモジュールの数が減っています。

影響確認 (1)

breakingoverlaybd sysextのサービスを自動起動
overlaybd sysextを使用している場合に適用されます。

原文 ↗

wasmCloudv2.0.5Orchestration & Management2026年4月24日

ACTION 1OTHER 4分析を詳しく見る

wasmcloud v2.0.5では、rustls-webpkiに関するセキュリティ更新が行われています。RUSTSEC-2026-0049の影響を確認している環境に関係するリリースです。

要対応 (1)

securityrustls-webpkiのセキュリティ更新
rustls-webpkiのセキュリティ更新として、RUSTSEC-2026-0049に対応しました。

原文 ↗

Crossplanev1.20.7Orchestration & Management2026年4月24日

ACTION 1分析を詳しく見る

v1.20.7では、Goツールチェーンのバージョンが更新されています。Goのバージョンを運用環境で確認している場合に関係します。

要対応 (1)

securityGoツールチェーンを1.25.9へ更新
Goが1.25.9に更新されました。

原文 ↗

Envoyv1.38.0Networking & Messaging2026年4月23日

ACTION 1CHECK 6PLAN 1OTHER 77分析を詳しく見る

設定とフラグに互換性へ影響する変更があり、拡張機能とプロトコル対応が広がっています。CVE-2026-27135 対応やバイパス、インジェクション対策を含むセキュリティ修正に加え、正確性と可観測性に関する改善も含まれます。

要対応 (1)

securityhighnghttp2 の **CVE-2026-27135** 対応
nghttp2 に **CVE-2026-27135** の修正パッチが適用されました。

影響確認 (6)

securityquery_parameter_mutations の値を URL エンコード
query_parameter_mutations を設定している場合に適用されます。
securityRBAC の連結ベースのバイパスを修正
RBAC が実行される場合に適用されます。
breakingmax_early_data_bytes の明示設定を必須化
upstream_connect_mode に IMMEDIATE 以外の値を設定し、max_early_data_bytes を設定していない場合に適用されます。
リリースページにあと 3 件

事前準備 (1)

deprecatedenforce_rsa_key_usage の非推奨化削除時期は未定
enforce_rsa_key_usage を設定している場合に適用されます。

原文 ↗

Kyvernov1.16.4Security2026年4月23日

ACTION 12CHECK 3OTHER 2分析を詳しく見る

セキュリティ修正を中心としたリリースです。依存関係の更新に加え、デフォルト値やアクセス制限が変わる修正が含まれるため、該当する構成ではアップグレードの確認が必要です。

要対応 (12)

securitycriticalCVE-2025-68121の修正
CVE-2025-68121を修正しました。
securitycriticalCVE-2026-33186の修正
CVE-2026-33186を修正しました。
securityhighCVE-2026-24051の修正
release 1.16でCVE-2026-24051を修正しました。
securityhighgithub.com/docker/cliの更新
github.com/docker/cliを更新し、CVE-2025-15558を解消しました。
securityhighCVE-2025-66564の修正
CVE-2025-66564を解消しました。
securitymediumsigstore/rekor v1.5.1への更新
sigstore/rekorをv1.5.1に更新し、CVE-2026-23831を修正しました。
securitymediumgo-tuf/v2 v2.3.1への更新
go-tuf/v2をv2.3.1に更新し、CVE-2026-23992に対応しました。
securitymediumCVE-2026-22772の修正
CVE-2026-22772を修正しました。
securitymediumgo-tuf/v2 v2.4.1への更新
go-tuf/v2をv2.4.1に更新し、CVE-2026-24686に対応しました。
securitylowCVE-2026-1229の修正
release-1.16でCVE-2026-1229を修正しました。
securitylowCVE-2026-26958の修正
CVE-2026-26958を修正しました。
securitystdlibのCVE修正
stdlibに関するCVEを修正しました。

影響確認 (3)

securitycriticalnamespaced policiesのHTTP無効化
namespaced policiesを設定している場合に適用されます。
securitygo < 1.25.8のCVE修正
go < 1.25.8に依存している場合に適用されます。
breakingnamespaced policiesのconfigmapアクセス制限
namespaced policiesを設定している場合に適用されます。

原文 ↗

Kyvernov1.17.2Security2026年4月23日

ACTION 6CHECK 2OTHER 17分析を詳しく見る

複数の正確性修正と、CVEに関連する変更を含むセキュリティ修正が入っています。セキュリティ修正を得るにはアップグレードが必要で、デフォルト値とアクセス制約の変更も確認が必要です。

要対応 (6)

securitycriticalCVE-2026-33186 の修正
CVE-2026-33186 を修正しました。
securityhighCVE-2026-24051 の修正
CVE-2026-24051 を修正しました。
securityhighCVE-2026-34986 の修正
CVE-2026-34986 を修正しました。
securitylowCVE-2026-1229 の修正
CVE-2026-1229 を修正しました。
securityCVES 2026-15558 の修正
CVES 2026-15558 を修正しました。
securitygo の更新による標準ライブラリのCVE修正
go を更新し、標準ライブラリのCVEを修正しました。

影響確認 (2)

securitycriticalnamespaced policies のデフォルトでの HTTP 無効化
namespaced policies を設定している場合に適用されます。
breakingnamespaced policies の configmap アクセス制限
namespaced policies を設定している場合に適用されます。

原文 ↗

CoreDNSv1.14.3Kubernetes Core2026年4月22日

ACTION 1CHECK 1OTHER 34分析を詳しく見る

運用者向けの機能追加と複数の不具合修正を含むリリースです。開示されたGo依存関係の脆弱性に対処するため、アップグレードが直ちに必要です。その他の変更は、新しいオプションを選ぶ場合や影響を受ける挙動を利用している場合に対応が必要です。

要対応 (1)

securitycriticalGo 1.26.2への更新と脆弱性修正の取り込み
Go 1.26.2でビルドされ、CVE-2026-32282、CVE-2026-32289、CVE-2026-33810、CVE-2026-27144、CVE-2026-27143、CVE-2026-32288、CVE-2026-32283、CVE-2026-27140、CVE-2026-32936、CVE-2026-33190、CVE-2026-33489、CVE-2026-32934、CVE-2026-35579のセキュリティ修正が含まれています。

影響確認 (1)

breakingDoHのGET DNSクエリパラメータのサイズ検証
DoHを使用している場合に適用されます。

原文 ↗

cert-managerv1.19.5Security2026年4月21日

ACTION 2OTHER 1分析を詳しく見る

報告された脆弱性への対応として、依存関係とgoの更新を含むリリースです。脆弱性に関わる変更があるため、アップグレードが推奨されます。

要対応 (2)

securityGo依存関係の更新
報告された脆弱性に対応するため、Go依存関係を更新しました。
securitygo 1.25.8への更新
報告された複数の脆弱性に対応するため、goを1.25.8へ更新しました。

原文 ↗

Contourv1.32.5Networking & Messaging2026年4月20日

ACTION 1OTHER 1分析を詳しく見る

このリリースでは、Luaコードインジェクションの脆弱性が修正され、Envoyがv1.34.14へ更新されています。セキュリティ修正とEnvoyのバージョン更新を確認するリリースです。

要対応 (1)

securityhighCVE-2026-41246のLuaコードインジェクション修正
CVE-2026-41246（GHSA-x4mj-7f9g-29h4）として報告されたLuaコードインジェクションの脆弱性を修正しました。

原文 ↗

Crossplanev2.2.1Orchestration & Management2026年4月20日

ACTION 10OTHER 3分析を詳しく見る

このリリースでは、セキュリティ対応として Go と複数の依存モジュールを更新しています。依存関係の更新を取り込む環境に関係するリリースです。

要対応 (10)

securitygithub.com/cloudflare/circl の v1.6.3 への更新
github.com/cloudflare/circl を v1.6.3 に更新しました。
securityotlptracehttp の v1.43.0 への更新
go.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttp を v1.43.0 に更新しました。
securitygithub.com/go-jose/go-jose/v4 の v4.1.4 への更新
github.com/go-jose/go-jose/v4 を v4.1.4 に更新しました。
securitygithub.com/sigstore/cosign/v3 の v3.0.5 への更新
github.com/sigstore/cosign/v3 を v3.0.5 に更新しました。
securitygithub.com/go-git/go-git/v5 の v5.17.1 への更新
github.com/go-git/go-git/v5 を v5.17.1 に更新しました。
securitygithub.com/docker/cli の v29.2.0+incompatible への更新
github.com/docker/cli を v29.2.0+incompatible に更新しました。
securityGo の 1.25.9 への更新
Go を 1.25.9 に更新しました。
securitygithub.com/moby/spdystream の v0.5.1 への更新
github.com/moby/spdystream を v0.5.1 に更新しました。
securitygithub.com/sigstore/timestamp-authority/v2 の v2.0.6 への更新
github.com/sigstore/timestamp-authority/v2 を v2.0.6 に更新しました。
securitygithub.com/go-git/go-git/v5 の v5.18.0 への更新
github.com/go-git/go-git/v5 を v5.18.0 に更新しました。

原文 ↗

Crossplanev2.1.5Orchestration & Management2026年4月20日

ACTION 10OTHER 4分析を詳しく見る

Crossplane v2.1.5は、依存関係とGoツールチェーンのセキュリティ対応を中心としたリリースです。複数のモジュールが新しいバージョンに更新されています。

要対応 (10)

securitygithub.com/cloudflare/circl の v1.6.3 への更新
セキュリティ対応として、github.com/cloudflare/circl を v1.6.3 に更新しました。
securitygoogle.golang.org/grpc の v1.79.3 への更新
セキュリティ対応として、google.golang.org/grpc を v1.79.3 に更新しました。
securitygo.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttp の v1.43.0 への更新
セキュリティ対応として、go.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttp を v1.43.0 に更新しました。
securitygithub.com/go-jose/go-jose/v4 の v4.1.4 への更新
セキュリティ対応として、github.com/go-jose/go-jose/v4 を v4.1.4 に更新しました。
securityGo 1.25.9 への更新
セキュリティ対応として、Go を 1.25.9 に更新しました。
securitygithub.com/go-git/go-git/v5 の v5.17.1 への更新
セキュリティ対応として、github.com/go-git/go-git/v5 を v5.17.1 に更新しました。
securitygithub.com/moby/spdystream の v0.5.1 への更新
セキュリティ対応として、github.com/moby/spdystream を v0.5.1 に更新しました。
securitygithub.com/sigstore/timestamp-authority/v2 の v2.0.6 への更新
セキュリティ対応として、github.com/sigstore/timestamp-authority/v2 を v2.0.6 に更新しました。
securitygithub.com/docker/cli の v29.2.0+incompatible への更新
セキュリティ対応として、github.com/docker/cli を v29.2.0+incompatible に更新しました。
securitygithub.com/go-git/go-git/v5 の v5.18.0 への更新
セキュリティ対応として、github.com/go-git/go-git/v5 を v5.18.0 に更新しました。

原文 ↗

Crossplanev2.0.8Orchestration & Management2026年4月20日

ACTION 9OTHER 3分析を詳しく見る

v2.0.8では、運用時に確認される不具合を修正し、Goと複数の依存モジュールを更新しました。セキュリティ更新の詳細な開示内容は示されず、対象コンポーネントのみが記載されています。

要対応 (9)

securitygithub.com/cloudflare/circlをv1.6.3へ更新
github.com/cloudflare/circlをv1.6.3へ更新しました。
securityotlptracehttpをv1.43.0へ更新
go.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttpをv1.43.0へ更新しました。
securitygithub.com/go-jose/go-jose/v4をv4.1.4へ更新
github.com/go-jose/go-jose/v4をv4.1.4へ更新しました。
securityGo 1.25.9への更新
Goを1.25.9へ更新しました。
securitygithub.com/go-git/go-git/v5をv5.17.1へ更新
github.com/go-git/go-git/v5をv5.17.1へ更新しました。
securitygithub.com/moby/spdystreamをv0.5.1へ更新
github.com/moby/spdystreamをv0.5.1へ更新しました。
securitygithub.com/docker/cliをv29.2.0+incompatibleへ更新
github.com/docker/cliをv29.2.0+incompatibleへ更新しました。
securitygithub.com/sigstore/timestamp-authority/v2をv2.0.6へ更新
github.com/sigstore/timestamp-authority/v2をv2.0.6へ更新しました。
securitygithub.com/go-git/go-git/v5をv5.18.0へ更新
github.com/go-git/go-git/v5をv5.18.0へ更新しました。

原文 ↗

Crossplanev1.20.6Orchestration & Management2026年4月20日

ACTION 5OTHER 1分析を詳しく見る

このリリースでは、依存関係の更新によってセキュリティ修正が取り込まれています。該当する依存関係を利用している環境では、修正を得るためにアップグレードが必要です。

要対応 (5)

securitygithub.com/cloudflare/circl を v1.6.3 に更新
github.com/cloudflare/circl が v1.6.3 に更新されました。セキュリティ修正を含む依存関係の更新です。
securityOTLPトレースHTTPエクスポーターを v1.43.0 に更新
go.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttp が v1.43.0 に更新されました。セキュリティ修正を含む依存関係の更新です。
securitygithub.com/go-git/go-git/v5 を v5.17.1 に更新
github.com/go-git/go-git/v5 が v5.17.1 に更新されました。セキュリティ修正を含む依存関係の更新です。
securitygithub.com/moby/spdystream を v0.5.1 に更新
github.com/moby/spdystream が v0.5.1 に更新されました。セキュリティ修正を含む依存関係の更新です。
securitygithub.com/go-git/go-git/v5 を v5.18.0 に更新
github.com/go-git/go-git/v5 が v5.18.0 に更新されました。セキュリティ修正を含む依存関係の更新です。

原文 ↗

Daprv1.15.14Orchestration & Management2026年4月16日

ACTION 2分析を詳しく見る

このリリースは、アクセス制御と実行時の依存関係に関わるセキュリティ更新を含みます。サービス呼び出しの経路やGoの1.24系を利用する環境では、変更内容の確認が関係します。

要対応 (2)

securityACLチェックと送信処理で正規化形式を統一
正規化した形式をACLチェックと外向きのディスパッチの両方で使うようになり、両者の不一致が解消されています。
securityGoの1.24系CVE対応に伴うバージョン更新
Goのバージョンが更新され、1.24系のCVEへの対応が行われています。

原文 ↗

Daprv1.17.5Orchestration & Management2026年4月16日

ACTION 1分析を詳しく見る

Dapr v1.17.5では、ACLチェックと送信処理で使う正規化形式の不一致が修正されました。サービス呼び出しのアクセス制御ポリシーを利用する環境に関係する変更です。

要対応 (1)

securityACLチェックと送信処理での正規化形式の統一
正規化した形式をACLチェックと送信処理の両方で使うようになり、両者の不一致が解消されました。

原文 ↗

Daprv1.16.14Orchestration & Management2026年4月16日

ACTION 3OTHER 1分析を詳しく見る

サービス呼び出しでパスの正規化が一致しないことに起因するACLチェックの迂回を修正しました。メソッドパスの受け入れ条件を狭め、ACLパス処理からpurell依存関係を削除しています。

要対応 (3)

securityサービス呼び出し時のメソッドパス正規化を統一
サービス呼び出しの境界でメソッドパスを正規化します。HTTPおよびgRPCの公開API呼び出しではdirectMessaging.Invoke、gRPCの内部呼び出しではcallLocalValidateACL、プロキシ経由の呼び出しではgRPCプロキシハンドラーを使います。正規化後のパスをACLチェックと送信処理の両方に使うため、両者の不一致が解消されました。
securityメソッドパスの受け入れ条件を変更
メソッドパスの正規化にpath.Cleanを使い、../や重複したスラッシュを解決します。#、?、ヌルバイト、制御文字を含むメソッドパスは受け付けなくなりました。
securityACLパス処理からpurell依存関係を削除
ACLパス処理からpurell依存関係を削除しました。

原文 ↗

Ciliumv1.19.3Networking & Messaging2026年4月15日

ACTION 1OTHER 50分析を詳しく見る

このリリースでは、依存モジュールの更新が行われています。github.com/go-jose/go-jose/v4 を利用する環境が対象です。

要対応 (1)

securitygithub.com/go-jose/go-jose/v4 の v4.1.4 への更新
セキュリティ対応として、依存モジュール github.com/go-jose/go-jose/v4 を v4.1.4 に更新しました。

原文 ↗

Ciliumv1.18.9Networking & Messaging2026年4月15日

ACTION 2OTHER 39分析を詳しく見る

v1.18.9 は、動作の正確性を整える修正と依存関係の更新を含むリリースです。セキュリティに関わる変更も含まれます。

要対応 (2)

security正規表現の $ 文字のエスケープ
正規表現内の $ 文字をエスケープし、インジェクションを防ぐ修正です。
securitygithub.com/go-jose/go-jose/v4 の更新
セキュリティ関連の依存更新として、github.com/go-jose/go-jose/v4 を v4.1.4 に更新しました。

原文 ↗

Keycloak26.6.1Security2026年4月15日

ACTION 2OTHER 9分析を詳しく見る

Keycloak 26.6.1では、HTTPリダイレクト処理とidentity-first loginに関する修正が含まれます。これらの機能を利用する環境に関係するリリースです。

要対応 (2)

securitymediumCVE-2026-4366のHTTPリダイレクト処理におけるSSRF修正
HTTPリダイレクト処理を介したブラインドサーバーサイドリクエストフォージェリ（SSRF）を修正しました。対象はcoreです。
securitylowCVE-2026-4633のユーザー列挙問題の修正
identity-first loginでKeycloakユーザーを列挙できる問題を修正しました。対象はcoreです。

原文 ↗

← 新しい2026年5月6日 – 2026年4月15日古い →

月別に見る