CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
Goの依存バージョンを更新し、標準ライブラリで報告された2件の脆弱性に対応しています。公式のOPAバイナリを利用している場合は更新が必要で、自前でバイナリやイメージをビルドしている場合はGoのバージョンを個別に管理してください。
要対応 (1)
securitymediumGo 1.への更新による標準ライブラリの脆弱性修正
OPAのビルドにGo 1.を使用し、HTTP handlerとcrypto builtinsが利用する標準ライブラリの脆弱性GO-2026-5037およびGO-2026-5039を修正しました。
依存モジュールの更新を含むリリースです。golang. の更新には [security] の印が付いていますが、具体的な脆弱性は示されていません。
要対応 (1)
securitygolang. を v0.55.0 に更新
依存モジュール golang. を v0.55.0 に更新しました。変更には [security] の印が付いています。
このリリースには、Go標準ライブラリの脆弱性に対応するツールチェーンと関連イメージの更新が含まれています。これらの対応を反映するには、リリースのアップグレードが必要です。
要対応 (2)
securityGoツールチェーンの1.への更新
ツールチェーンのGoを1.へ更新し、Go標準ライブラリの脆弱性に対処しました。
securitygrpc-health-probeのv0.への更新
grpc-health-probeをv0.へ更新し、Go 1.で再ビルドしました。リリース済みイメージに、修正済みのGo標準ライブラリの脆弱性を含む状態が残らなくなります。
セキュリティ修正が1件含まれ、運用に関わる正確性の修正も複数入っています。nftablesバックエンドの自動フォールバックに加え、Istio ambient、ゲートウェイ、ルーティング、CNIの動作が修正されています。
要対応 (1)
securityhighEnvoyのメモリ枯渇を引き起こすサービス拒否の修正
CVE-2026-47774を修正しました。認証されていないリモート攻撃者が、細工したHTTP/2リクエストでEnvoyプロセスのメモリを過剰消費させ、サービス拒否を引き起こせる問題です。Cookieヘッダーのバイト数がリクエストヘッダーサイズの検証に完全には含まれず、HPACKヘッダーブロックの制限もデコード後のヘッダー全体のサイズを制限していませんでした。
公開されたEnvoyのサービス拒否脆弱性と、正確性に関する不具合を修正しています。運用者にはセキュリティ修正のためのアップグレードが該当し、その他の修正では設定変更は必要ありません。
要対応 (1)
securityhighEnvoyのメモリ枯渇によるサービス拒否脆弱性の修正
CVE-2026-47774では、認証なしのリモート攻撃者が細工したHTTP/2リクエストを送信すると、Envoyプロセスのメモリを枯渇させてサービス拒否を引き起こせる問題がありました。リクエストヘッダーサイズの検証でCookieヘッダーのバイト数が完全には計上されず、HPACKヘッダーブロックの制限もデコード後のヘッダー全体のサイズを制限していませんでした。
セキュリティ修正と複数の不具合修正に加え、運用者向けの機能追加や依存関係の更新が含まれます。機能ゲートによる保護が解除された変更も含まれるため、該当する API の利用状況を確認する必要があります。
要対応 (1)
securityhighEnvoy のメモリ枯渇によるサービス拒否を修正
CVE-2026-47774 に対応しました。認証不要のリモート攻撃者が、細工した HTTP/2 リクエストで Envoy プロセスのメモリを枯渇させ、サービス拒否を引き起こせる問題です。リクエストヘッダーサイズの検証で Cookie ヘッダーのバイト数が完全に考慮されていなかったほか、HPACK のヘッダーブロック制限がエンコード後のサイズだけに適用され、デコード後の合計サイズに上限がありませんでした。
影響確認 (1)
breakingListenerSet の機能ゲート保護を解除
ListenerSet APIを利用している場合に適用されます。
HTTP/2のセキュリティ修正、サードパーティ依存関係の脆弱性修正、OAuth2のタイミングサイドチャネル修正を含みます。レスポンスボディの内容とロードバランサー再構築の既定動作も変わるため、該当する構成では運用上の確認が必要です。
要対応 (1)
securityhighnghttp2へのCVE-2026-27135パッチ適用
HTTP/2で使用する nghttp2 に CVE-2026-27135 のパッチを適用しました。
影響確認 (4)
securityhighHTTP/2ヘッダー制限へのCookie計上
HTTP/2を使用しており、envoy.を有効にしていない場合に適用されます。
securityoauth2のHMAC検証におけるタイミングサイドチャネル修正
oauth2を使用している場合に適用されます。
breakingHTTPレスポンスボディからの上流失敗理由の除外
routerを使用しており、envoy.を有効にしていない場合に適用されます。
認証、認可、アカウントおよび管理 API、フェデレーション、依存ライブラリに関するセキュリティ修正を含みます。起動時の動作や SPI の設定、その他の正確性に関する修正も追加されています。
要対応 (2)
securityhighlodash のコードインジェクション脆弱性を修正
CVE-2026-4800 に関連する、lodash のコードインジェクション脆弱性を修正しました。
securitymediumNetty の HTTP/1.0 リクエストスマグリング対策の修正
CVE-2026-42581 に関連する、Netty の HTTP/1.0 における TE と CL の併用がリクエストスマグリング対策を回避する問題を修正しました。
影響確認 (15)
securitymediumKeycloak Server のアクセス制御を修正
account/api を利用している場合に該当します。
securitymediumOIDC トークンイントロスペクションの notBefore 処理を修正
oidc を利用している場合に該当します。
securitymediumサーバー側 WebAuthn 検証の不足を修正
authentication/webauthn を利用している場合に該当します。
アップグレードが必要となるセキュリティ修正に加え、通常の正確性修正が含まれています。残る見出しのみの項目には、運用者向けの変更はありません。
要対応 (1)
securityhighnghttp2のCVE-2026-27135パッチ適用
nghttp2 の CVE-2026-27135 パッチが適用されました。
影響確認 (2)
securityhighHTTP/2ヘッダー制限とCookieのメモリ使用対策
HTTP/2を使用している場合に適用されます。
securityoauth2のHMAC検証におけるタイミングサイドチャネルの修正
oauth2を使用している場合に適用されます。
このリリースには、HTTP通信と認証に関わるセキュリティ修正が含まれます。HTTP/2の上限設定やOAuth2フィルターなど、該当する機能を使う構成に関係します。
要対応 (1)
securityhighnghttp2へのCVE-2026-27135パッチ適用
nghttp2にCVE-2026-27135のパッチを適用しました。
影響確認 (2)
securityhighHTTP/2のヘッダー上限処理の変更
HTTP/2でヘッダーリストまたはリクエストヘッダーの上限を設定している場合に適用されます。
securityoauth2のHMAC検証におけるタイミングサイドチャネル修正
OAuth2フィルターを使用している場合に適用されます。
v1.35.11は、HTTP/2やOAuth2に関するセキュリティ修正と依存関係の更新を含むリリースです。該当機能を利用している場合は更新が必要で、その他の変更はこのリリースを採用する以外の運用作業を求めません。
要対応 (1)
securityhighnghttp2のCVE-2026-27135パッチ適用
http2でnghttp2のCVE-2026-27135パッチを適用しました。
影響確認 (2)
securityhighHTTP/2ヘッダー上限違反時のストリームリセット
HTTP/2のリクエストヘッダー上限を使用している場合に適用されます。
securityOAuth2 HMAC検証のタイミングサイドチャネル修正
OAuth2のHMAC検証を使用している場合に適用されます。
セキュリティ対応、記録ルールの移行、正確性に関する修正を含むリリースです。通常の修正ではオペレーターの対応は必要ありませんが、セキュリティ修正はアップグレードで適用し、非推奨の記録ルールは移行計画を立てる必要があります。
要対応 (2)
securitycriticalgoogle. のセキュリティ更新
google. を 1.79.3 に更新し、GHSA-p77j-4mvh-x3m3 に対応しました。
securityVMExport ディレクトリハンドラーのシンボリックリンク走査修正
VMExport のディレクトリハンドラーで、シンボリックリンクをたどる問題を修正しました。
事前準備 (1)
deprecated記録ルールの非推奨化
kubevirt_vm_created_total または kubevirt_vm_created_by_pod_total を使用している場合に適用されます。
v2.3.0には、依存関係に関するセキュリティ対応が含まれます。個別の脆弱性の内容は示されていないため、依存関係を管理する環境では確認対象となります。
要対応 (2)
securitywasmtime 44.のセキュリティパッチ適用
wasmtimeを44.へ更新し、セキュリティパッチを適用しました。
security報告済みセキュリティアドバイザリへの対応
報告されたセキュリティアドバイザリに対応する依存関係のパッチを適用しました。対象となる脆弱性の内容は示されていません。
containerd v2.1.8には、CVE-2026-46680に関する修正が含まれます。該当する脆弱性を確認している環境に関係するリリースです。
要対応 (1)
securityhighCVE-2026-46680の修正
CVE-2026-46680に関する修正です。
アルファ段階のスケジューリング機能、新しいフラグやHelm設定が加わり、スケジューラと統合部分の安定性、メトリクスやログの挙動も変わります。アップグレード時にはKubernetesとDRAの互換性要件、DRAスケジューリング統合の既定値、サービス拒否およびPrometheusに関するセキュリティ修正を確認する必要があります。
要対応 (4)
securitymediumgithub.の更新
github.を更新し、格納型XSSのアドバイザリGHSA-vffh-x6r8-xx99に対応しました。
securitymediumadmission webhookのリクエスト本文制限
admission webhookへのリクエスト本文のサイズを制限し、サイズの大きい本文によってwebhookサーバーがメモリ不足になるサービス拒否のリスクを修正しました。関連する識別子はCVE-2026-44247とGHSA-8wxp-xxp2-rcgxです。
breakingDRAスケジューリング統合の既定有効化
DRAスケジューリング統合が既定で有効になりました。対象となる設定項目はpredicate.です。
breakingKubernetes 1.34以降に合わせたDRA既定値の変更
Kubernetes 1.34以降の挙動に合わせ、DRAスケジューリング統合が既定で有効になりました。無効にする場合はpredicate.を設定します。
影響確認 (2)
breakingSchedulingGatesQueueAdmissionの有効化条件
SchedulingGatesQueueAdmissionを有効にする場合に適用されます。
breakinggang-awareプリエンプションとリクレームの設定条件
gangPreemptとgangReclaimを設定し、preemptまたはreclaimを設定していない場合に適用されます。
