CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
公開されたセキュリティ修正と indication 名の変更に加え、正確性、動作、可観測性に関する更新が含まれます。大半の変更では、アップグレード以外に運用者の対応は必要ありません。
要対応 (1)
securityhighCVE-2025-47913 への対処
golang/x/crypto を openshift/golang-crypto の修正版モジュールに向ける replace directive が追加され、CVE-2025-47913 に対処しました。
影響確認 (2)
breakingQuiesceTimeout indication への名称変更
Windows VSSを利用している場合に適用されます。
breakingDefaultVirtWebhookClient{QPS,Burst} の既定値調整
適用対象はリリースノートに明記されていません。
設定項目とLLMInferenceServiceの機能が広がり、チャートや依存関係の更新も含まれます。動作の変更や削除、複数の不具合修正も行われています。運用者が確認して適用するセキュリティ修正も含まれます。
要対応 (13)
securitycriticalh11の不正なボディ処理を修正
不正なボディを受け入れるh11の問題として、CVE-2025-43859に対処しました。
securityhighstarletteを0.に固定
starletteをバージョン0.に固定し、CVE-2025-62727に対処しました。
securityhighlightgbmを4.に更新
lightgbmをバージョン4.に更新し、CVE-2024-43598に対処しました。
securityhighCVE-2025-66418への対処
解凍チェーン内のリンク数が無制限になる問題として、CVE-2025-66418に対処しました。
securityhighexpr-lang/exprをv1.に更新
expr-lang/exprをv1.に更新し、CVE-2025-68156に対処しました。
securityhighcryptographyのCVE-2026-26007対策
cryptographyのsubgroup attackに関するCVE-2026-26007に対処しました。
securityhighpython-multipartのCVE-2026-24486対策
python-multipartで任意のファイルを書き込める問題として、CVE-2026-24486に対処しました。
securitymedium複数のCVEへの対処
securityhttps.のパストラバーサル対策
https.でパストラバーサルが発生しないよう修正しました。
security複数のCVEへの対処
複数のCVEsに対処しました。
securityAIOHTTPの自動解凍処理を修正
AIOHTTPのHTTP Parserにあるauto_decompress機能のzip bomb脆弱性を修正しました。
securityextractTarFilesのパストラバーサル対策
extractTarFilesのパストラバーサル脆弱性を修正しました。
breakingminioからseaweedfsへの置き換え
minioをseaweedfsに置き換えました。
影響確認 (6)
breakinginferenceservice CRDのcert-managerアノテーション削除
inferenceservice CRDを使用している場合に適用されます。
breakingPython 3.9のサポート終了
Python 3.9を実行している場合に適用されます。
breaking--disable-log-requestsフラグの削除
--disable-log-requestsを設定している場合に適用されます。
通信設定から実行時処理まで複数の動作が更新され、入力検証も厳格になっています。TLS証明書のローテーション処理と実験的な既定値が見直され、Goツールチェーンは開示されたアドバイザリに対応する更新を受けています。
要対応 (2)
securityhighgo ツールチェーンの更新
go ツールチェーンを 1.25.8 に更新し、標準ライブラリの脆弱性 GO-2026-4603 と GO-2026-4601 に対応しました。
breakingタプル文字列の検証条件変更
タプル文字列に unicode control characters または null bytes が含まれている場合、タプル検証が失敗するようになりました。
影響確認 (1)
breakingpipeline_list_objects の実験的な既定値変更
pipeline_list_objects を設定している場合、listObjects-pipeline-enabled を設定している場合、またはカスタムの featureflag クライアントを使用している場合に適用されます。
Kubernetesの対応範囲を絞り、今後削除される機能を告知したリリースです。Kafka 3.をサポートし、依存関係のセキュリティ修正も含みます。リリース概要や成果物一覧には、個別の運用者向け変更に当たらない記載もあります。
要対応 (8)
securityhighGRPC Netty ShadedのCVE-2025-55163対応
GRPC Netty Shaded を更新し、CVE-2025-55163 に対応しました。
securitymediumZookeeperのCVE-2024-47554対応
Zookeeper を更新し、CVE-2024-47554 に対応しました。
securitymediumNimbus Jose JWT 10.0.2への更新
Nimbus Jose JWT を 10. に更新し、CVE-2025-53864 に対応しました。
securitymediumNetty 4.1.130.Finalへの更新
Netty を 4. に更新し、CVE-2025-67735 に対応しました。
securitymediumApache Log4J 2.25.3への更新
Apache Log4J を 2. に更新し、CVE-2025-68161 に対応しました。
securitymediumVertx 4.5.24への更新
Vertx を 4. に更新し、CVE-2026-1002 に対応しました。
securitymediumJacksonのGHSA-72hv-8253-57qq対応
Jackson を更新し、GHSA-72hv-8253-57qq に対応しました。
securityVert.とNettyのCVE対応
0.45.xブランチで、Vert. と Netty が更新され、CVEへの対応が行われました。
影響確認 (1)
breakingKubernetesの対応範囲を1.25以降に変更
Kubernetes 1. または Kubernetes 1. を使用している場合に該当します。
事前準備 (3)
breakingStrimzi MirrorMaker 2 Extensionsの削除予定0.28.0から · 0.46で削除予定
Strimzi MirrorMaker 2 Extensions を使用している場合に該当します。
breakingStrimzi EnvVar Configuration Providerの削除予定0.38.0から · 0.46で削除予定
Strimzi EnvVar Configuration Provider を使用している場合に該当します。
deprecatedZooKeeperベースのKafkaクラスタとMirrorMaker 1のサポート終了予定0.46で削除予定
ZooKeeper-based Apache Kafka clusters または MirrorMaker 1 deployments を使用している場合に該当します。
アップグレードを要するセキュリティ修正が含まれています。通常の不具合修正に加え、公開アーティファクトと動的モジュールの互換性に関する変更もあります。
要対応 (3)
securitymediumスコープ付き IPv6 アドレスのクラッシュ修正
スコープ付き IPv6 アドレスで getAddressWithPort() が呼び出された際のクラッシュを修正しました。対象の識別子は CVE-2026-26310 と GHSA-3cw6-2j68-868p です。
securitymediumJSON の文字列終端処理の修正
境界を 1 つ超えて書き込む処理を修正し、文字列の null 終端文字が破損する問題に対応しました。対象の識別子は CVE-2026-26309 と GHSA-56cj-wgg3-x943 です。
securitymedium下流側リセット後の decode* メソッド実行制御
下流側でリセットされた後に decode* メソッドが実行されないよう修正しました。対象の識別子は CVE-2026-26311 と GHSA-84xm-r438-86px です。
影響確認 (2)
securityhighrbac の複数値ヘッダーによるバイパス修正
rbac サブシステムを使用している場合に適用されます。
securitymediumレスポンスフェーズの制限処理におけるクラッシュ修正
ratelimit サブシステムを使用している場合に適用されます。
アップグレード対応が必要なセキュリティ修正に加え、通常のバグ修正と依存関係およびイメージの更新を含みます。残りの項目は見出しのみで、運用者向けの変更内容は記載されていません。
要対応 (3)
securitymediumスコープ付きIPv6アドレス処理のクラッシュ修正
CVE-2026-26310（GHSA-3cw6-2j68-868p）に対応し、スコープ付きIPv6アドレスを渡して getAddressWithPort() を呼び出した際のクラッシュを修正しました。
securitymediumjson のオフバイワン書き込み修正
CVE-2026-26309（GHSA-56cj-wgg3-x943）に対応し、文字列のnull終端を破損させる可能性があったオフバイワン書き込みを json で修正しました。
securitymedium下流リセット後の decode* メソッド実行防止
CVE-2026-26311（GHSA-84xm-r438-86px）に対応し、下流リセット後に decode* メソッドが実行されないよう修正しました。
影響確認 (2)
securityhighrbac の複数値ヘッダーバイパス修正
rbac を使用している場合に適用されます。
securitymediumratelimit のレスポンスフェーズにおけるクラッシュ修正
ratelimit を使用している場合に適用されます。
Envoy v1.35.9は、複数の処理経路に関わるセキュリティ修正を含むリリースです。RBAC、アドレス処理、JSON処理、HTTP処理を利用している環境に関係します。
要対応 (4)
securityhighRBACの複数値ヘッダーバイパス修正
CVE-2026-26308（GHSA-ghc4-35x6-crw5）に対応し、RBACで複数値ヘッダーを使ったバイパスを修正しました。
securitymediumスコープ付きIPv6アドレス処理のクラッシュ修正
CVE-2026-26310（GHSA-3cw6-2j68-868p）に対応し、スコープ付きIPv6アドレスでgetAddressWithPort()を呼び出した際にクラッシュする問題を修正しました。
securitymediumJSON処理のオフバイワン書き込み修正
CVE-2026-26309（GHSA-56cj-wgg3-x943）に対応し、JSON処理で文字列のnull終端子を破損させる可能性があったオフバイワン書き込みを修正しました。
securitymedium下流リセット後のdecode*メソッド実行制御
CVE-2026-26311（GHSA-84xm-r438-86px）に対応し、下流接続のリセット後にdecode*メソッドが実行されないよう修正しました。
不具合修正と挙動変更を中心に、Podイベントへ認証情報が漏えいする問題への修正が含まれます。Goツールチェーンの更新と、コンテナを同時に作成した際の警告追加も行われています。
要対応 (1)
securitypod eventsでの認証情報漏えい防止
pod eventsで認証情報が漏えいする問題を防ぎます。
公表済みのセキュリティ修正に加え、OAuth2の正確性修正とDocker base imagesの更新を含みます。非セキュリティ修正ではオペレーターの作業は不要ですが、セキュリティ脆弱性にはアップグレードで対応します。
要対応 (4)
securityhighrbac の複数値ヘッダーバイパスを修正
rbac における複数値ヘッダーのバイパスを修正しました。対象は CVE-2026-26308（GHSA-ghc4-35x6-crw5）です。
securitymediumスコープ付きIPv6アドレス処理のクラッシュを修正
スコープ付きIPv6アドレスで呼び出した際に発生する getAddressWithPort() のクラッシュを network で修正しました。対象は CVE-2026-26310（GHSA-3cw6-2j68-868p）です。
securitymediumjson のオフバイワン書き込みを修正
json で、文字列のnull終端子を破壊する可能性があるオフバイワン書き込みを修正しました。対象は CVE-2026-26309（GHSA-56cj-wgg3-x943）です。
securitymedium下流側リセット後の decode* メソッドをブロック
下流側のリセット後に decode* メソッドが実行されないよう、http の処理を修正しました。対象は CVE-2026-26311（GHSA-84xm-r438-86px）です。
EnvoyとIstioのCVEを含む複数のセキュリティ修正に加え、通常の正確性修正とデバッグエンドポイントの認可設定機能が追加されています。デバッグエンドポイントや認証関連機能を利用する環境では、該当する修正内容の確認が必要です。
要対応 (1)
securitymediumCVE-2026-26309のJSONオフバイワン書き込み修正
JSON処理で発生するオフバイワン書き込みを修正しました。
影響確認 (10)
securityhighCVE-2026-26308のマルチバリューヘッダーバイパス修正
RBACを使用している場合に適用されます。
securityhighCVE-2026-31837とGHSA-v75c-crr9-733cのJWKS Resolver修正
JWKS Resolverを使用している場合に適用されます。
securitymediumCVE-2026-26311のHTTPデコード処理修正
HTTPを使用している場合に適用されます。
複数の公開済みセキュリティ修正を含み、Envoy と Istio の CVE に対応しています。デバッグエンドポイントの名前空間認可設定が追加され、InferencePool 構成を失う不具合も修正されています。
要対応 (7)
securityhighRBACの複数値ヘッダーバイパス修正
CVE-2026-26308 に対応し、RBAC における複数値ヘッダーのバイパスを修正しました。
securityhighJWKSリゾルバー障害による認証バイパス修正
CVE-2026-31837 および GHSA-v75c-crr9-733c に対応し、既知のデフォルトキーを使った認証バイパスにつながる JWKS リゾルバーの障害を修正しました。
securitymedium下流リセット後のHTTPデコードメソッド処理修正
CVE-2026-26311 に対応し、下流側のリセット後にHTTPデコードメソッドがブロックされる問題を修正しました。
securitymediumスコープ付きIPv6アドレス処理のクラッシュ修正
CVE-2026-26310 に対応し、スコープ付きIPv6アドレスを指定した getAddressWithPort() でクラッシュする問題を修正しました。
securitymediumJSON処理のオフバイワン書き込み修正
CVE-2026-26309 に対応し、JSON処理で発生するオフバイワン書き込みを修正しました。
securitymediumレート制限レスポンスフェーズのクラッシュ修正
CVE-2026-26330 に対応し、レート制限レスポンスフェーズでクラッシュする問題を修正しました。
securitymediumデバッグエンドポイントの名前空間越しプロキシデータアクセス修正
CVE-2026-31838 および GHSA-974c-2wxh-g4ww に対応し、デバッグエンドポイントから別の名前空間にあるプロキシデータへアクセスできる問題を修正しました。
影響確認 (3)
security平文ポートのXDSデバッグエンドポイント認証
XDS デバッグエンドポイントを公開している場合に適用されます。
securityWasmPluginイメージ取得時のSSRF対策
WasmPlugin のイメージ取得を使用している場合に適用されます。
securityHTTPデバッグエンドポイントの名前空間認可
HTTPデバッグエンドポイントを公開している場合に適用されます。
セキュリティ修正と、デバッグエンドポイントで認可する名前空間を指定できる新しい設定機能を含みます。セキュリティ修正の適用にはアップグレードが必要で、新しい認可設定は任意です。
要対応 (3)
securitymedium下流リセット後のHTTPデコードメソッド処理修正
CVE-2026-26311 に対応し、下流からのリセット後にHTTPデコードメソッドがブロックされるよう修正しました。
securitymediumスコープ付きIPv6アドレス使用時のクラッシュ修正
CVE-2026-26310 に対応し、スコープ付きIPv6アドレスを指定したgetAddressWithPort()のクラッシュを修正しました。
securitymediumJSONのオフバイワン書き込み修正
CVE-2026-26309 に対応し、JSONのオフバイワン書き込みを修正しました。
影響確認 (6)
securityhighRBACのマルチバリューヘッダーバイパス修正
RBAC を使用している場合に適用されます。
securityhighJWKS Resolverの認証バイパスにつながる障害修正
JWKS Resolver を使用している場合に適用されます。
securitymediumデバッグエンドポイントの名前空間をまたぐプロキシデータアクセス修正
Debug Endpoints を使用している場合に適用されます。
Helm、API、solver、feature gate に関する機能が追加され、既定値や受け付ける動作も変更されています。複数の不具合が修正され、cert-manager と Go に関するセキュリティ修正も含まれています。
要対応 (2)
securityhighGo を v1. に更新
Go を v1. に更新し、CVE-2025-61727 と CVE-2025-61729 に対応しました。
breakingIssuer 参照の kind と group の既定値を変更
Issuer の参照に使う kind と group の既定値が、v0.19.0 で導入された値から以前の設定に戻りました。
影響確認 (4)
securityDNS キャッシュ処理による cert-manager controller のパニックを修正
適用対象はリリースノートに明記されていません。
breakingOtherNames を Beta に昇格し既定で有効化
OtherNames 機能を使用している場合に適用されます。
breakingコンテナの既定 UID と GID を変更
既定のコンテナユーザー（UID）または既定のコンテナグループ（GID）を設定していない場合に適用されます。
v1.42.1では、goと依存関係の更新によるCVE対応が行われています。依存関係の更新内容を確認する必要があるリリースです。
要対応 (1)
securitygoと依存関係のCVE対応
goおよび依存関係が更新され、CVEへの対応が行われました。
v1.14.1は、バグ修正と依存関係更新をまとめたパッチリリースです。Golang標準ライブラリや共通パッケージを利用する環境に関係します。
要対応 (1)
securityGolang標準ライブラリと共通パッケージの依存関係更新
Golang標準ライブラリと共通パッケージの脆弱性に関する依存関係更新が含まれています。
セキュリティ修正を含むビルド依存関係の更新に加え、プロキシプロトコル対応や正確性、運用時の挙動に関する変更を含みます。既存環境ではセキュリティ修正とACLバイパス防止への対応が必要になることがあり、それ以外は新しい機能や値を選ぶ場合を除き情報提供です。
要対応 (1)
securityhighGo 1.へのビルド更新
ビルドに使用するGoをGo 1.へ更新し、CVE-2026-27137、CVE-2026-27138、CVE-2026-27139、CVE-2026-25679、CVE-2026-27142に対応するセキュリティ修正を含めています。
影響確認 (2)
securityhighrewriteとaclの処理順序を変更
rewriteとaclの両方を使用している場合に適用されます。
securityhighplugin/loopのクエリ名生成にcrypto/randを使用
plugin/loopが実行される場合に適用されます。
公表済みの脆弱性への対応に加え、KubernetesとKafkaのサポート対象が見直され、機能ゲートの既定値やリスナー単位のKafkaオプション設定が変更されました。ingressリスナータイプも非推奨になっており、アップグレードにはCRDの更新とKafkaUserフィールドの移行が必要です。
要対応 (2)
securityhigh公表済み脆弱性への対応
公表済みの脆弱性2件に対応しました。対象は CVE-2026-27133、CVE-2026-27134、GHSA-2qwx-rq6j-8r6j、GHSA-6x85-j2f7-4xc5 です。
breakingServerSideApplyPhase1を既定で有効化
ServerSideApplyPhase1 feature gateがベータに移行し、既定で有効になりました。
影響確認 (2)
breakingKubernetesのサポート対象を1.30以降に変更
Kubernetes 1.27、1.28、または1.29を使用している場合に該当します。
breakingKafka 4.0.0および4.0.1のサポートを削除
Kafka 4.0.0または4.0.1を使用している場合に該当します。
事前準備 (1)
deprecatedingressリスナータイプを非推奨化
ingressリスナータイプを設定している場合に該当します。
ワークフローやコンポーネント、API、認証、トレーシング、設定、CLI、可観測性に関する機能を追加し、複数の不具合修正と依存関係・ツールチェーンの更新を含むリリースです。セキュリティ修正に加え、Alpha Bulk PubSub APIとAlphaアプリケーションコールバックの非推奨化、従来の動作の削除や縮小も含まれますが、多くの更新では運用者による特別な対応は必要ありません。
要対応 (9)
security暗号関連依存関係の更新
x/(net/sync/crypto)を更新し、dvsekhvalnov/jose2goのバージョンを固定しました。
securityGoの脆弱性修正
Goの脆弱性を修正しました。
securityUID確認の対象をrootに限定
UIDの確認対象をrootだけに更新しました。
securityHTTPパスマッチングとinvocation自動登録の修正
HTTPパスのマッチングで発生するcardinality leakを修正し、invocationの自動登録に対応しました。
securitygolang.の更新
golang.を更新しました。
securitygithub.の更新
github.を更新しました。
securityセキュリティ修正
セキュリティ修正を追加しました。
securitygithub.の更新
github.を更新しました。
securityNATSの脆弱性修正
NATSの脆弱性を修正しました。
影響確認 (3)
securityPlacementでのDapr actor type認可
Placement を使用している場合に適用されます。
securitycloudflare workerの脆弱性修正
cloudflare worker を使用している場合に適用されます。
breakingHelm chartからscheduler resourcesを削除
Helm chartを使用している場合に適用されます。
事前準備 (2)
deprecatedAlpha Bulk PubSub APIの非推奨化
/v1.、BulkPublishEventAlpha1、OnBulkTopicEventAlpha1 のいずれかを使用している場合に適用されます。
deprecatedOnBulkTopicEventAlpha1 の非推奨化
OnBulkTopicEventAlpha1 を使用している場合に適用されます。
ランタイムとAPIの機能追加に加え、サポート対象の挙動や出力の変更、複数の不具合修正、依存関係の更新が含まれます。依存関係の更新の一つでは、GHSA-9h8m-3fm2-qjrq への対応も行われています。
要対応 (1)
securityhighgo. 依存関係のセキュリティ修正
go. の依存関係を更新し、GHSA-9h8m-3fm2-qjrq に対する修正を適用しています。
影響確認 (1)
breaking--h2c の Unix ドメインソケット対応
--h2c を Unix ドメインソケット（UDS）で使用する場合に適用されます。
v1.18.6は、報告された脆弱性に対応するパッチリリースです。Go の更新も含まれています。
要対応 (2)
securitycritical報告された脆弱性の修正
報告された脆弱性を修正するパッチリリースです。特に CVE-2025-68121 への対応が含まれています。
securitycriticalGo の更新
CVE-2025-68121 に対応するため、Go を更新しました。
v1.は、報告された脆弱性を修正するパッチリリースです。依存関係の更新も含まれており、利用中のユーザーにはアップグレードが案内されています。
要対応 (3)
securitycriticalgoの更新
CVE-2025-68121への対応として、goが更新されました。
securityhigh報告された脆弱性を修正するパッチリリース
v1.は、報告された脆弱性を修正するパッチリリースです。CVE-2026-24051とCVE-2025-68121が修正対象として挙げられており、すべてのユーザーにアップグレードが案内されています。
securityhighotel SDKの更新
GO-2026-4394への対応として、otel SDKが更新されました。
ListObjectsの既定の動作が変わり、読み取り専用コンテナで必要な指定が限定されました。grpc-health-probeはCVE-2025-68121に対応する版へ更新され、grpc-gatewayクライアントの移行は内部実装に限られます。
要対応 (1)
securitycriticalgrpc-health-probeをv0.へ更新
grpc-health-probeがv0.に更新され、CVE-2025-68121に対応しました。
影響確認 (1)
breaking読み取り専用コンテナでの一時ファイルシステム指定の変更
--read-onlyを使っている場合に適用されます。
セキュリティ修正、新しい機能、既存の不具合修正を含むリリースです。運用担当者が事前に行う作業や、依存関係マニフェストへの追加はありません。
要対応 (2)
securitymediumCVE-2026-0707 のAuthorizationヘッダー解析問題を修正
CVE-2026-0707 に関して、Authorizationヘッダーの解析がセキュリティ制御の回避につながる問題を修正しました。
securitylowCVE-2025-5416 に関する環境情報の問題を修正
keycloak-core における環境情報に関する問題を修正しました。
影響確認 (4)
securitymediumCVE-2026-2575 による過剰なSAMLRequest展開の問題を修正
SAMLを利用している場合に適用されます。
securitylowCVE-2026-1190 によるSAMLブローカリングの応答遅延を修正
SAMLブローカリングを利用している場合に適用されます。
securitylowCVE-2026-2733 の無効化クライアント確認漏れを修正
Docker Registry Protocolを利用している場合に適用されます。
公開されたセキュリティ修正と、API変換や証明書出力に関する変更を含むリリースです。依存関係とコンテナイメージも更新され、非推奨となったKafkaUser APIフィールドの設定には移行が必要です。
要対応 (1)
securityhighCVE-2026-27133のセキュリティ修正
CVE-2026-27133に関するセキュリティ上の不具合が修正されました。
事前準備 (1)
deprecated.の非推奨化
.を設定している場合に該当します。
OPA v1.13.2では、バイナリとイメージのビルドに使うGoのバージョンが更新されています。更新先のGo標準ライブラリには、GO-2026-4337の修正が含まれます。
要対応 (1)
securitycriticalビルド用Goを1.25.7へ更新
OPAのバイナリとイメージのビルドに使うGoを1.25.7へ更新しました。Go標準ライブラリには、GO-2026-4337の修正が含まれています。
パッケージのインストールとパッケージキャッシュの扱いに互換性のない変更があり、Function パッケージや未文書のサイドロード方法に影響します。オペレーター機能の追加、依存モジュールの更新、通常の不具合修正も含まれます。セキュリティ修正として示された依存更新には、アドバイザリ識別子や脆弱性の詳細は記載されていません。
要対応 (7)
securitygolang. の v0. への更新
セキュリティ修正として、依存モジュール golang. が v0. に更新されました。
securitygithub. の v5. への更新
セキュリティ修正として、依存モジュール github. が v5. に更新されました。
securitygithub. の v3. への更新
セキュリティ修正として、依存モジュール github. が v3. に更新されました。
securitygithub. の v2. への更新
セキュリティ修正として、依存モジュール github. が v2. に更新されました。
securitygithub. の v1. への更新
セキュリティ修正として、依存モジュール github. が v1. に更新されました。
securitygithub. の v1. への更新
セキュリティ修正として、依存モジュール github. が v1. に更新されました。
securitygithub. の v0. への更新
セキュリティ修正として、依存モジュール github. が v0. に更新されました。
影響確認 (2)
breakingFunction パッケージ内の Input CRDs のインストール停止
Function パッケージと Input CRDs を使用している場合に該当します。
breakingパッケージキャッシュのディスク構造変更
適用対象はリリースノートに明記されていません。
セキュリティ上の問題を修正し、ゲートウェイやデバッグエンドポイント、リソースアノテーションに関する保護を追加しています。TLS、cgoバイナリ、Kubernetesリソースの扱いに関係する環境では、変更内容の確認が必要です。
要対応 (1)
securityhighcgoバイナリへのコード混入を防ぐ修正
GoとC/C++のコメント解析の食い違いによって、生成されるcgoバイナリにコードを紛れ込ませられる問題を修正しました。CVE-2025-61732に対応しています。
影響確認 (4)
securitycriticalTLSセッション再開時の証明書設定検証
Config.で変更を加える場合、またはConfig.を使う場合に適用されます。
securityゲートウェイデプロイメントのリソース検証
ゲートウェイデプロイメントコントローラーが動作している場合に適用されます。
securityリソースアノテーションの文字検証
リソースアノテーションを設定する場合に適用されます。
セキュリティ上の脆弱性に対応しています。利用中の環境では、アップグレードの適用を検討する判断材料となるリリースです。
要対応 (2)
securitycriticalcrypto/tlsのセッション再開処理の修正
crypto/tlsのセッション再開で、初回ハンドシェイク後にClientCAsまたはRootCAsが変更されると、本来は失敗すべき再開ハンドシェイクが成功する問題を修正しました。CVE-2025-68121に対応しています。
securityhighコメント解析の違いによるコード混入の修正
GoとC/C++でコメントの解析方法が異なるため、生成されたcgoバイナリにコードを紛れ込ませられる問題を修正しました。CVE-2025-61732に対応しています。
フラグの削除時期が延期され、別のフラグでは非推奨化が取り消されます。依存関係とビルドツールチェーンが更新され、識別子付きのセキュリティアドバイザリに対応します。
要対応 (2)
securityhighgo 1. によるバイナリのコンパイル
バイナリのコンパイルに go 1. を使用します。関連するアドバイザリは CVE-2025-61726、GHSA-gm9r-q53w-2gh4、CVE-2025-61731、GHSA-xvqr-69v8-f3gv、CVE-2025-61732、GHSA-8jvr-vh7g-f8gx です。
securitymediumgolang. の更新
golang. を 0. に更新し、CVE-2025-47914 と CVE-2025-58181 に対応します。
事前準備 (1)
deprecated--max-snapshots の削除延期v3.8で削除予定
--max-snapshots を使用している場合に該当します。
Goの依存関係とツールチェーンをgo 1.へ更新し、CVEと対応するGitHubアドバイザリに対応する内容です。プラットフォームの見出しやインストール手順の記載は、リリース変更ではありません。
要対応 (1)
securityhighgo 1.への更新
go 1.への更新で、CVE-2025-61726に対応します。関連するCVE-2025-61731、CVE-2025-61732と、GHSA-8jvr-vh7g-f8gx、GHSA-gm9r-q53w-2gh4、GHSA-xvqr-69v8-f3gvも対象です。
