CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
v2.5.0では、ランタイムの実行基盤と依存関係に更新があります。wasip3 を使うワークロードでは既定値の変更が関係し、quinn-proto の修正も含まれます。
要対応 (1)
securityhighquinn-proto の RUSTSEC-2026-0185 修正
quinn-proto の RUSTSEC-2026-0185 を修正しました。
影響確認 (1)
breakingWasmtime 46への更新とwasip3の既定有効化
ワークロードで wasip3 を使用している場合に適用されます。
26.6.4では、Keycloakの認証や認可、クライアント管理に関わるセキュリティ修正が含まれています。該当する環境では、これらの修正を反映するための更新が必要です。
要対応 (8)
securityhighgroup-adminからrealm-adminへの権限昇格
CVE-2026-9099により、group-adminからrealm-adminへ権限を昇格できる問題が修正されました。
securityhighURI検証の回避によるクロスサイトスクリプティング
CVE-2026-9086に該当する、URI検証の大文字小文字を区別しない判定を回避したクロスサイトスクリプティング（XSS）の問題が修正されました。
securityhigh不適切なスコープマッピング適用による権限昇格
CVE-2026-9795に該当する、不適切なスコープマッピングの適用による権限昇格の問題が修正されました。
securityhighURI比較の誤りによる認可回避
CVE-2026-9800に該当する、URI比較の誤りによるKeycloak policy enforcerの認可回避の問題が修正されました。
securityhighJWTアルゴリズムの混同による認証回避
CVE-2026-11800に該当する、JWTアルゴリズムの混同を利用した認証回避の問題が修正されました。
securitymedium任意のファイルシステムパス探索による情報漏えい
CVE-2026-9083に該当する、任意のファイルシステムパスの探索による情報漏えいの問題が修正されました。
securitymedium無効化されたクライアントの再有効化と乗っ取り
CVE-2026-9705に該当する、registration access tokenを使って無効化されたクライアントを再有効化し、乗っ取れる問題が修正されました。
securitymediumUMA permission ticket回避によるリソースへの不正アクセス
CVE-2026-9799に該当する、UMA permission ticketの回避によるリソースへの不正アクセスの問題が修正されました。
v1.19.6では、権限設定とGoの更新内容が見直されています。cert-manager-editを使って特定のリソースを操作する構成や、Goの脆弱性対応を確認する利用者に関係します。
要対応 (2)
securityhighGoのv1.への更新
Goがv1.へ更新され、CVE-2026-27145、CVE-2026-42504、CVE-2026-42507への対応が行われました。
securityGoの1.へのアップグレード
報告された脆弱性への対応として、Goが1.へアップグレードされ、依存関係も更新されました。
影響確認 (1)
securitycert-manager-edit集約ClusterRoleのACME権限削除
cert-manager-edit集約ClusterRoleを使い、ChallengeまたはOrderリソースを作成・変更するワークフローに適用されます。
ACME の権限設定と Challenge のガベージコレクションに関する修正を含むリリースです。Go の依存関係も更新され、確認された CVE への修正が取り込まれています。
要対応 (1)
securityhighGo を v1. に更新
Go を v1. に更新し、CVE-2026-27145、CVE-2026-42504、CVE-2026-42507 への修正を取り込みました。
影響確認 (1)
securityACME リソース作成権限の修正
適用対象はリリースノートに明記されていません。
v2.5.0では、運用時の機能やプロキシ、ダウンロードの挙動が変更され、非推奨APIの削除と正確性に関する修正も行われています。セキュリティ脆弱性やアドバイザリの開示はありません。
要対応 (1)
breakingヘルスチェックの/healthyへの統合
ヘルスチェックが/healthyエンドポイントに統合されました。
影響確認 (1)
breaking非推奨のV1 preheat APIエンドポイントの削除
非推奨のV1 preheat APIエンドポイントを利用している場合に適用されます。
Envoy に関するセキュリティ修正を含むリリースです。修正の一部は特定のフィルター、シンク、またはランタイム設定を使用する環境に適用され、アップグレードで対応できます。
要対応 (7)
securityhighZstd decompressor の展開比率制限を修正
Zstd decompressor で MaxInflateRatio の上限を入力スライス全体の処理後にしか確認していなかった問題を修正しました。上限を内部の展開ループ内で適用し、しきい値を超えた時点で展開を中止します。
securitymediumPROXY プロトコルヘッダーの TLV 長計算を修正
PROXY プロトコルヘッダーでパススルー TLV と追加 TLV を組み合わせた際、最大長を超えてヘッダーに示すサイズと実際の書き込みバイト数が一致しなくなる問題を修正しました。
securitymediumHTTP 303 内部リダイレクトのセグメンテーションフォールトを修正
HTTP 303 の内部リダイレクトをボディーのないリクエストで処理する際、確保されていないリクエストボディーバッファーを排出しようとしてセグメンテーションフォールトが発生する問題を修正しました。
securitymedium破棄後の非同期トークン変更コールバックを修正
フィルターの破棄後、onDestroy() の呼び出し後に非同期トークン変更コールバックが実行され、解放済みポインターにアクセスして UAF やクラッシュが発生する問題を修正しました。
securitymediumピア証明書の SAN 検証における NUL バイト処理を修正
SAN に埋め込まれた NUL バイトがあるピア証明書で、Subject Alternative Name（SAN）を正しく検証できない問題を修正しました。構成によって SAN の解析が NUL バイトで途中切り詰めされ、誤った信頼判断につながる可能性がありました。
securitymediumクエリー名の長さの妥当性確認を修正
クエリー名の長さに対する妥当性確認を修正し、異常なプロセス終了を防ぐようにしました。確認に失敗した場合は ENVOY_BUG を使用します。
securityHTTP/3 の QPACK 処理におけるメモリ枯渇の修正
HTTP/3 スタックの QPACK ブロック解除処理を修正しました。動的テーブルの更新待ちでブロックされたヘッダーブロックについて、内部デコーダーバッファーに保持されたデータが QUIC の受信フロー制御の計上から外れ、メモリが無制限に増加する問題に対応しています。
影響確認 (7)
securityhighHTTP/3 のヘッダーのみの content-length 検証を修正
envoy. を有効にしている場合に適用されます。
securityhighJSON パーサーのネスト深度制限を追加
envoy. を false に設定している場合に適用されます。
securitymediumext_proc server の予期しない ProcessingResponses を修正
ext_proc server を使用している場合に適用されます。
通常の不具合修正に加え、Envoyに関するセキュリティ修正が含まれています。セキュリティ修正を含むためアップグレードが必要です。非推奨化や、オペレーターに設定変更を強制する告知はありません。
要対応 (4)
securitymediumHTTP 303内部リダイレクトの処理修正
ボディーのないリクエストでHTTP 303の内部リダイレクトを処理する際、確保されていないリクエストボディーバッファを解放しようとしてセグメンテーションフォールトが発生する問題を修正しました。
securitymedium非同期トークン変更コールバックの破棄後実行を修正
フィルターの破棄処理であるonDestroy()の呼び出し後に、非同期トークン変更コールバックが実行される問題を修正しました。解放済みポインターへのアクセスによるuse-after-freeやクラッシュにつながる状態でした。
securitymedium証明書SANのNULバイト処理を修正
ピア証明書のSubject Alternative Name（SAN）に埋め込みNULバイトが含まれる場合に、SANを正しく検証できない問題を修正しました。一部の設定でNULバイト以降が切り詰められ、誤った信頼判断につながる可能性がありました。
securitymediumクエリ名の長さの整合性確認を修正
クエリ名の長さに対する整合性確認を修正し、異常なプロセス終了を防ぐようにしました。確認に失敗した場合はENVOY_BUGを使用します。
影響確認 (11)
securityhigh%REQUESTED_SERVER_NAME%フォーマッターのクラッシュ修正
%REQUESTED_SERVER_NAME%フォーマッターを設定している場合に該当します。
securityhighZstdデコンプレッサーの膨張率制限の修正
Zstdデコンプレッサーを使用している場合に該当します。
securityhighHTTP/3のヘッダー専用Content-Length検証を修正
HTTP/3を使用し、envoy.を有効にしている場合に該当します。
ログ出力の既定値が変更され、運用者向けの修正や追加が含まれています。pilot-agent のメトリクス取得における許可コンテンツタイプの制約が絞り込まれ、Envoy に関するセキュリティ修正も含まれます。
要対応 (12)
securityhighCVE-2026-47220 のクラッシュを修正
CVE-2026-47220 に関するクラッシュの不具合が修正されました。
securityhighCVE-2026-48044 のメモリ枯渇脆弱性を修正
CVE-2026-48044 に関するメモリ枯渇脆弱性が修正されました。
securityhighCVE-2026-48042 の JSON 入れ子深度を制限
CVE-2026-48042 に関して、JSON の入れ子の深さを 1000 に制限しました。
securitymediumCVE-2026-47692 の不具合を修正
CVE-2026-47692 に関する不具合が修正されました。
securitymediumCVE-2026-47205 の use-after-free クラッシュを修正
CVE-2026-47205 に関する use-after-free によるクラッシュが修正されました。
securitymediumCVE-2026-48090 の非同期コールバック処理を修正
CVE-2026-48090 に関して、フィルターの破棄後に非同期トークン変更コールバックが呼び出される不具合が修正されました。
securitymediumCVE-2026-47778 の SAN 検証を修正
CVE-2026-47778 に関して、Envoy が Subject Alternative Name（SAN）を検証できない問題が修正されました。
securitymediumCVE-2026-47204 のクラッシュと use-after-free を修正
CVE-2026-47204 に関するクラッシュまたは use-after-free が修正されました。
securitymediumCVE-2026-48497 のクエリ名長検査を修正
CVE-2026-48497 に関して、クエリ名の長さを検査する処理が修正されました。
securitymediumCVE-2026-47775 のパディングオラクルに対処
CVE-2026-47775 に関するパディングオラクルの問題に対処しました。
securityGHSA-p7c7-7c47-pwch のサービス拒否脆弱性を修正
GHSA-p7c7-7c47-pwch に関するサービス拒否脆弱性が修正されました。
breakingメッセージのログレベルを warn に変更
メッセージのログ出力レベルが warn になりました。
影響確認 (5)
securityhighCVE-2026-48743 の HTTP/3 content-length 検証を修正
HTTP/3 を使用している場合に適用されます。
securitymediumCVE-2026-47207 の予期しない ProcessingResponses を修正
ext_proc 拡張機能を使用している場合に適用されます。
securitymediumCVE-2026-47221 の HTTP 303 内部リダイレクト処理を修正
適用対象はリリースノートに明記されていません。
複数のセキュリティ修正と、セキュリティ関連の依存関係更新を含むリリースです。拡張機能の強制的な削除と、TLS証明書圧縮の既定値変更も行われています。
要対応 (16)
securityhighWasm依存関係の更新
Wasmで使用する com_github_wasmtime を更新し、CVE-2026-47261 に対応しました。
securityhighREQUESTED_SERVER_NAME のクラッシュ修正
REQUESTED_SERVER_NAME の処理でクラッシュする問題を修正しました。CVE-2026-47220 と GHSA-j9wh-4qfm-wf2v に対応しています。
securityhighzstd RLE zip bombの修正
zstdのRLE zip bombに関する問題を修正しました。CVE-2026-48044 と GHSA-m3p9-47wh-88wg に対応しています。
securityhigh入れ子の深いJSONによるスタックオーバーフロー修正
深く入れ子になったJSONのデストラクタでスタックオーバーフローが発生する問題を修正しました。CVE-2026-48042 と GHSA-f24p-rxw2-g6pv に対応しています。
securityhighHTTP/3からHTTP/1へのリクエストスマグリング修正
Content-Length がゼロ以外のヘッダーのみのリクエストによって、HTTP/3からHTTP/1へのリクエストスマグリングが発生する問題を修正しました。CVE-2026-48743 と GHSA-8phg-2h2q-jgxf に対応しています。
securitymediumルート単位の認可処理のクラッシュ修正
ルート単位の認可処理でクラッシュする問題を修正しました。CVE-2026-47205 と GHSA-mvh9-767w-x47j に対応しています。
securitymediumext_proc レスポンス処理の修正
ext_proc のレスポンスを1つのgRPCメッセージで処理する際の問題を修正しました。CVE-2026-47207 と GHSA-68cv-hq5f-g6xv に対応しています。
securitymediumルーター内部リダイレクトのクラッシュ修正
ルーターの内部リダイレクトでクラッシュする問題を修正しました。CVE-2026-47221 と GHSA-rcff-gw58-pjpr に対応しています。
securitymediumOAuth2コード検証値の修正
OAuth2コード検証値のパディングオラクルに関する問題を修正しました。CVE-2026-47775 と GHSA-396h-jpq4-vc7p に対応しています。
securitymediumgrpc_stats フィルターのセグメンテーション違反修正
Connectプロトコルのリクエストが direct_response ルートに送られた際、grpc_stats フィルターでセグメンテーション違反が発生する問題を修正しました。CVE-2026-47204 と GHSA-3jxh-8p6x-7pf6 に対応しています。
securitymediumPROXY Protocol v2 ヘッダー生成の修正
PROXY Protocol v2 ヘッダー生成器が「skipped」TLVを出力し、攻撃者が制御する最大65 KBのデータが上流アプリケーションのストリームに流れ込む問題を修正しました。CVE-2026-47692 と GHSA-wh36-hm39-mm3r に対応しています。
securitymediumTLS SAN切り詰め処理の認証回避修正
TLS SANの切り詰め処理で埋め込みNULが認証を回避できる問題を修正しました。CVE-2026-47778 と GHSA-f8x4-rw5x-f3r7 に対応しています。
securitymediumOAuth2非同期トークン処理の修正
OAuth2フィルターで、ストリーム破棄後に非同期トークン処理が完了すると解放済みメモリの使用やクラッシュにつながる問題を修正しました。CVE-2026-48090 と GHSA-3cj2-c63f-q26f に対応しています。
securitymediumDNS UDPフィルターの異常終了修正
DNS UDPフィルターでプロセスが異常終了する問題を修正しました。CVE-2026-48497 と GHSA-j6g2-wf95-q66q に対応しています。
securitymediumTcpStatsdSink のヒープバッファオーバーフロー修正
TcpStatsdSink でヒープバッファオーバーフローが発生する問題を修正しました。CVE-2026-48706 と GHSA-7q3f-gwg7-j8g4 に対応しています。
securityHTTP/3のQPACK処理に関するサービス拒否の修正
QPACK のデコードがブロックされた際にHTTP/3スタックでサービス拒否が発生する問題を修正しました。GHSA-p7c7-7c47-pwch に対応しています。
影響確認 (2)
breakingenvoy. の削除
envoy. を使用している場合に適用されます。
breakingTLS証明書圧縮の既定値変更
envoy. を設定していない場合に適用されます。
複数のセキュリティ修正に加え、セキュリティ対応の依存関係更新が含まれています。ソースアーカイブの破損により、envoy.はすべてのビルドとプラットフォームで無効化されました。
要対応 (1)
securityhighcom_github_wasmtimeの更新
CVE-2026-47261への対応として、com_github_wasmtimeを更新しました。
影響確認 (16)
securityhighREQUESTED_SERVER_NAME設定時のクラッシュ修正
REQUESTED_SERVER_NAMEを設定している場合に該当します。
securityhighzstd RLE zip bombの修正
zstdに依存している場合に該当します。
securityhigh深くネストしたJSONのスタックオーバーフロー修正
JSONを使用している場合に該当します。
セキュリティ修正を中心に、複数のクラッシュ、メモリ処理、リクエスト処理などの問題に対応しています。wasm の依存関係更新と、envoy. 拡張機能の全ビルドからの削除も含まれます。
要対応 (1)
securityhigh深く入れ子になった JSON のスタックオーバーフロー修正
深く入れ子になった JSON のデストラクタで発生するスタックオーバーフローを修正しました。CVE-2026-48042 に対応しています。
影響確認 (15)
securityhighzstd の RLE zip bomb 対策
zstd を使用している場合に適用されます。
securityhighHTTP/3 から HTTP/1 へのリクエストスマグリング修正
HTTP/3 と HTTP/1 を使用している場合に適用されます。
securityhighcom_github_wasmtime の更新
wasm を使用している場合に適用されます。
セキュリティ上の問題を修正し、関連する依存関係も更新しています。envoy. 拡張機能は無効化されました。
要対応 (1)
securityhigh深くネストしたJSONのスタックオーバーフローを修正
深くネストしたJSONをデストラクターで処理した際にスタックオーバーフローが発生する問題を修正しました。CVE-2026-48042 および GHSA-f24p-rxw2-g6pv に対応しています。
影響確認 (14)
securityhighzstd RLE zip bombの問題を修正
zstd を使用している場合に該当します。
securityhighHTTP/3 のコンテンツ長検証を修正
HTTP/3 を使用している場合に該当します。
securityhighwasmのcom_github_wasmtimeを更新
wasm を使用している場合に該当します。
セキュリティ関連の修正を含み、依存関係とツールチェーンも更新されたリリースです。パッケージ署名の検証処理や Go 環境を利用する構成に関係します。
要対応 (2)
securityパッケージ署名検証における TOCTOU の修正
悪意のある OCI レジストリが、署名済みイメージで検証を通過した後に未署名の内容をインストール用に配信できる TOCTOU の問題を修正しました。crossplane-runtime を v2. に更新してこの修正を取り込みました。関連するアドバイザリは GHSA-mf7q-r4rv-jv94 です。
securityGo とネットワーク関連依存関係の更新
Go を 1. に更新し、CVE 対応として golang. と golang. も更新しました。
パッケージ署名検証に関する問題を修正したリリースです。依存関係の更新も含まれています。
要対応 (1)
securitycriticalパッケージ署名検証の TOCTOU 修正
パッケージ署名検証における TOCTOU の問題を修正しました。関連するアドバイザリは GHSA-wfqx-gjrf-g28r です。
v2.1.7では、依存関係とGoのバージョンに関わる更新が含まれています。セキュリティ関連として記載された変更であり、該当する依存関係やビルド環境を利用する運用に関係します。
要対応 (3)
securitygithub. の v0. 更新
依存モジュール github. を v0. に更新しました。リリースノートでは、セキュリティ関連の更新として記載されています。
securitygolang. の v0. 更新
依存モジュール golang. を v0. に更新しました。リリースノートでは、セキュリティ関連の更新として記載されています。
securityGo の 1. への更新
Go を 1. に更新しました。リリースノートでは、セキュリティ関連の変更として記載されています。
セキュリティ関連のGoツールチェーンとMongoDBドライバーの依存関係更新に加え、通常の依存関係更新を含むリリースです。cosignとDockerの対応項目は適用されず、制限として残っています。
要対応 (2)
securityhighGoツールチェーンを1.へ更新
Goツールチェーンを1.へ更新しました。1.はGo 1.25向けのセキュリティパッチで、CVE-2026-27145、CVE-2026-42504、CVE-2026-42507に対応します。
securitygo.をv1.へ更新
go.をv1.へ更新しました。
セキュリティ修正を含むリリースです。利用中の環境ではアップグレードが必要で、その他の変更は挙動が関係する場合を除き設定変更を伴いません。
要対応 (5)
securitycriticalCVE-2026-53488 の修正
CVE-2026-53488 に関するセキュリティ修正です。
securityhighCVE-2026-53492 の修正
CVE-2026-53492 に関するセキュリティ修正です。
securityhighCVE-2026-53489 の修正
CVE-2026-53489 に関するセキュリティ修正です。
securitymediumCVE-2026-50195 の修正
CVE-2026-50195 に関するセキュリティ修正です。
securitymediumCVE-2026-47262 の修正
CVE-2026-47262 に関するセキュリティ修正です。
v1.7.33では、containerdに関するセキュリティ対応が含まれています。依存関係の更新内容を確認している環境に関係するリリースです。
要対応 (2)
securitycriticalcontainerdのCVE-2026-53488対応
containerdでCVE-2026-53488への対応が行われました。
securityhighgo-jose/go-jose/v3のv3.更新
go-jose/go-jose/v3がv3.に更新され、GHSA-78h2-9frx-2jm8への対応が行われました。
このリリースには、セキュリティ勧告への対応と動作変更が含まれています。バンドルされる実行ファイルと Go ツールチェーンも更新されています。
要対応 (1)
securitycriticalcontainerd の CVE-2026-53488 対応
containerd の CVE-2026-53488 に対応しています。
containerd v2.には、セキュリティ修正が含まれます。CVE-2026-50195の影響を受ける環境に関係する更新です。
要対応 (1)
securitycriticalCVE-2026-50195への対応
containerdでCVE-2026-50195に対応しました。
セキュリティ修正に加え、依存関係とツールチェーンの更新、チェックポイントおよびイメージ処理の挙動変更を含むリリースです。アップグレード以外の対応はおおむね必要ありませんが、ユーザーデータベースの読み取り範囲が制限され、これまで受け付けていた入力が拒否される場合があります。
要対応 (2)
securitycriticalCVE-2026-50195の修正
CVE-2026-50195に関するセキュリティ修正が含まれています。
breakingopenUserFileのユーザーデータベースファイル読み取り制限
openUserFileで読み取るユーザーデータベースファイルの範囲が制限されます。
v3. は、シークレット露出の修正と依存関係の更新を含むセキュリティ対応リリースです。コンテナイメージは ghcr. にも公開されるようになりました。
要対応 (2)
securitycriticalgolang. と OpenTelemetry の更新
golang. を v0. に、OpenTelemetry を v1. に更新し、報告された GO-2026-5026、GO-2026-4918、GO-2026-4985 に対応しました。
securityUI依存関係のセキュリティ修正版への更新
UIの依存関係である react-router-dom、vitest、vite、postcss を修正版へ更新し、セキュリティアドバイザリに対応しました。
影響確認 (1)
security/-/config でのシークレット平文露出の修正
/-/config エンドポイントにアクセスする場合に適用されます。
サポート対象のCRD APIが新しいv1のみに変更され、Entity Operatorのクロスネームスペース監視もデフォルト設定が変わっています。開示済みのセキュリティ脆弱性も修正されています。
要対応 (2)
securityhighCVE-2026-55225の修正
CVE-2026-55225を修正しました。
securitymediumCVE-2026-55226の修正
CVE-2026-55226を修正しました。
影響確認 (2)
breakingサポート対象のCRD APIをv1に限定
v1beta2、v1beta1、またはv1alpha1のCRD APIを使用している場合に適用されます。
breakingEntity Operatorのクロスネームスペース監視をデフォルトで無効化
STRIMZI_ENTITY_OPERATOR_WATCHED_NAMESPACE_ENABLEDまたはwatchedNamespaceを設定している場合に適用されます。
オペレーター機能と設定の拡張に加え、動作の正確性や対応プラットフォームに関わる変更を含むリリースです。セキュリティに関わる依存関係の更新も含まれるため、実行環境と依存関係を確認する利用者に関係します。
要対応 (1)
securitypostgres クレートの更新
postgres クレートが更新され、RUSTSEC-2026-0178、RUSTSEC-2026-1079、RUSTSEC-2026-0180 に対応しました。
影響確認 (1)
breakings390 での webgpu 無効化
適用対象はリリースノートに明記されていません。
新機能と保守性の改善を含むリリースで、設定や公開APIの変更、正確性・性能・信頼性に関わる修正が行われています。設定名やAPIの変更、新しく生成されるアプリケーションへの影響を確認してからアップグレードしてください。依存関係にはセキュリティ対応の更新も含まれますが、アドバイザリ識別子や個別の脆弱性は示されていません。
要対応 (2)
securityinfinispan の更新
既知の脆弱性への対応として、infinispan が ^0. から ^0. に更新されました。
breakingjson-schema ランタイム依存関係の削除
未使用の json-schema ランタイム依存関係が削除されました。
影響確認 (7)
breakingcatalog. の削除
catalog. を設定している場合に該当します。
breakingComboboxProps の型変更
ComboboxProps を利用している場合に該当します。
breaking/kubernetes のデフォルトページ削除
/kubernetes を利用している場合に該当します。
事前準備 (9)
deprecatedプレーン配列 options の入力状態プロパティ非推奨化
プレーン配列の options を利用している場合に該当します。
deprecated従来トークンの非推奨化削除時期は未定
適用対象はリリースノートに明記されていません。
deprecatedrunCliModule の非推奨化
runCliModule を利用している場合に該当します。
依存ライブラリの更新を含むリリースです。github. の利用環境では、更新後のバージョンと CVE-2026-35469 への対応内容が関係します。
要対応 (1)
securityhighgithub. の v0.5.1 への更新
PR #17962 で github. を v0. から v0. に更新し、CVE-2026-35469（GHSA-pc3f-x583-g7j2）に対応しました。
Linuxのセキュリティ上の不具合を修正したリリースです。該当する環境ではアップグレードが必要です。
要対応 (1)
securitycriticalLinuxのセキュリティ修正
Linuxのセキュリティ上の不具合を修正しました。対象は CVE-2026-46243、CVE-2026-46244、CVE-2026-46275、CVE-2026-46315、CVE-2026-46316、CVE-2026-46321、CVE-2026-46322、CVE-2026-46323です。
正確性に関する修正、セキュリティに関係する依存関係の更新、リゾルバーの互換性に関する制約変更が含まれます。メトリクスの挙動変更や複数の依存関係更新も行われています。
要対応 (1)
securitycriticalgoogle.を1.79.3へ更新
google.を1.77.0から1.79.3に更新しました。:pathヘッダーの先頭スラッシュ欠落によるgRPC-Goの認可バイパスに関するCVE-2026-33186に対応しています。
影響確認 (1)
breakingTekton Resolversの解決対象を制限
Resolver APIを使用している場合に適用されます。
v1.6.3では、Tekton Resolvers の解決対象に関する制約が変更されています。google. に関する依存関係の修正も含まれるため、リゾルバーや gRPC を利用する環境に関係します。
要対応 (1)
securitycriticalgoogle. のCVE修正
google. の更新で CVE-2026-33186 を修正しました。
影響確認 (1)
breakingTekton Resolvers の解決対象を限定
ResolutionRequest オブジェクトで Tekton Resolvers を使用している場合に適用されます。
カレンダーに基づくバージョニングを採用し、コンポーネントや依存関係の更新、新しい機能の追加とデフォルト設定の変更、デプロイや設定に関する不具合修正を含むリリースです。dashboardには破壊的な変更があり、セキュリティ面の強化も含まれますが、具体的な脆弱性やアドバイザリは示されていません。
要対応 (2)
breakingmodel-registryとUIのデフォルト有効化
model-registryとUIがデフォルトで有効になります。
breakingdexの2レプリカ構成への変更
dexがsticky serviceなしで2レプリカ構成で動作するようになります。
影響確認 (1)
breaking破壊的な dashboard 変更に伴うアップグレード手順
dashboardを利用している場合に適用されます。
オペレーター向けの修正と追加が含まれ、LLMInferenceService の機能、ステータスの可観測性、依存関係やイメージが更新されています。セキュリティに関係する依存関係とアプリケーションの修正も含まれます。
要対応 (1)
securityhighazure-core>=1. を固定
azure-core>=1. を固定し、CVE-2026-21226 に対応しました。
影響確認 (3)
securityvllm のセットアップと pillow の CVE 対応を修正
vllm または pillow に依存している場合に適用されます。
breakingllmisvc-crd の誤った CRD を削除
llmisvc-crd を使用している場合に適用されます。
breakingHelm の imagePullPolicy デフォルト値を調整
Helm を使用している場合に適用されます。
ワークフローとMCPの機能拡張を中心に、コントロールプレーン、API、コンポーネント、ライフサイクルに関わる変更が含まれています。バグ修正、依存関係や既定値の更新、互換性に関わる制約に加え、セキュリティ修正も含まれるため、アップグレード前に前提条件と設定への影響を確認する必要があります。
要対応 (8)
securitymediumgolang.の更新
golang.がv0.39.0へ更新され、GO-2026-4962に対応しました。
securitydurabletask-goとpgxの更新
durabletask-goがv0.12.1へ更新され、pgxも更新されました。
breakingWorkflowsRemoteActivityReminderのデフォルト有効化
WorkflowsRemoteActivityReminderがデフォルトで有効になり、アプリ間のワークフローアクティビティ結果がSchedulerのリマインダー経由で配信されます。
breakingコンポーネント群のホットリロード
HotReloadがデフォルトで有効になり、Components、Subscriptions、MCPServers、Configurations、HTTPEndpoints、Resiliencies、WorkflowAccessPoliciesがデフォルトでホットリロードされます。
breakingサイドカーのプローブ既定値の変更
サイドカーのlivenessは、kubeletが再起動するまでの時間が約230秒となるよう緩和され、readinessはより短い時間で反応する設定になりました。
breakingHotReloadのデフォルト有効化
HotReloadがv1.18でデフォルト有効になりました。
breakinglivenessとreadinessのプローブ既定値更新
livenessの既定値が緩和され、readinessの既定値が厳格になりました。
breakingサイドカープローブ既定値の変更
サイドカーのプローブ既定値が変更されました。livenessはkubelet再起動まで約230秒となるよう緩和され、readinessはcontrol-planeで約3秒、daprdで約5秒となるよう短縮されました。
影響確認 (6)
securityサービス呼び出しのパストラバーサル修正
サービス呼び出しを利用している場合に適用されます。
breakingフィーチャーゲートの削除
MCPServerResourceまたはWorkflowAccessPolicyのフィーチャーゲートを設定している場合に適用されます。
breaking旧バージョンへの直接ロールバック制約
適用対象はリリースノートに明記されていません。
事前準備 (1)
deprecatedアルファ版スケジュールRPCの非推奨化
ScheduleJobAlpha1を利用している場合に適用されます。
コンテナイメージに関する非公開のCVE修正と、NetworkChaosの復旧不具合修正を含みます。その他の見出しでは、運用者向けの変更はありません。
要対応 (2)
securityGoツールチェーンとcontainerdの更新
Goツールチェーンを1.に、containerdを1.にアップグレードしました。
securitymemStressとchaos-daemonイメージの更新
memStressヘルパーを最新のGoツールチェーンで再ビルドし、chaos-daemonイメージをヘッドレスJREに切り替えました。使用したGoツールチェーンのバージョンはv0.です。
