リリース

要対応 (1)

• securityhighform-data の CVE-2026-12143 対応

  /ui の form-data を 4.0.6 に更新し、CVE-2026-12143 に対応しました。

要対応 (2)

• securityalpine のベースイメージを alpine:3.24.1 に更新

  ベースイメージ alpine が alpine:3.23.4 から alpine:3.24.1 に更新され、セキュリティ上の懸念に対応しました。

• securityalpine のベースイメージを alpine:3.23.4 に更新

  ベースイメージ alpine が alpine:3.23.3 から alpine:3.23.4 に更新され、セキュリティ上の懸念に対応しました。

要対応 (1)

• breakingControllerPriorityQueue のベータ昇格とデフォルト有効化

  ControllerPriorityQueue がベータ版に昇格し、デフォルトで有効になりました。

要対応 (1)

• securitymediumgithub.com/vektra/mockery の更新

  セキュリティ上の懸念（GO-2025-3900）への対応として、github.com/vektra/mockery が v3.5.5 に更新されました。

要対応 (3)

• securityhighoras.land/oras-go/v2 の更新

  oras.land/oras-go/v2 が 2.6.1 から 2.6.2 に更新され、GHSA-fxhp-mv3v-67qp に対応しました。

• breakingHTTPサーバーの ReadHeaderTimeout 設定

  すべてのHTTPサーバーで ReadHeaderTimeout が 32s に設定されました。

• breaking同名の部分集合ルールと -object ルールの拒否

  部分集合ルールと -object ルールが同じ名前を共有する場合、ast で拒否されるようになりました。

要対応 (2)

• securitycriticalgrpcのセキュリティ更新

  grpcを1.79.3へ更新し、CVE-2026-33186に対処しました。

• securityhighgithub.com/moby/spdystreamのセキュリティ更新

  github.com/moby/spdystreamをv0.5.0からv0.5.1へ更新し、CVE-2026-35469（GHSA-pc3f-x583-g7j2）に対処しました。

要対応 (1)

• breakingディスク同時実行用セマフォを4096スロットに変更

  ディスク同時実行用セマフォのスロット数を、従来のCPUスケール方式から4096に増やしました。

要対応 (2)

• securityhighgolang.org/x/text の v0.39.0 への更新

  golang.org/x/text を v0.38.0 から v0.39.0 へ更新し、CVE-2026-56852 に対応しました。

• securityhighgoogle.golang.org/grpc の v1.82.1 への更新

  google.golang.org/grpc を v1.81.1 から v1.82.1 へ更新し、GHSA-hrxh-6v49-42gf に対応しました。

要対応 (1)

• securitygolang.org/x/cryptoの更新

  golang.org/x/cryptoをv0.49.0からv0.53.0へ更新しました。v0.52.0で公開された上流のSSHセキュリティ修正が取り込まれています。

要対応 (4)

• securitygolang.org/x/text v0.40.0への更新

  golang.org/x/text を v0.40.0 に更新し、報告されたセキュリティ脆弱性を修正します（#9039）。

• securitygoogle.golang.org/grpc v1.82.1への更新

  google.golang.org/grpc を v1.82.1 に更新し、報告されたセキュリティ脆弱性を修正します（#9063）。

• securitygithub.com/google/cel-go v0.29.0への更新

  github.com/google/cel-go を v0.29.0 に更新し、報告されたセキュリティ脆弱性を修正します（#9072）。

• securitygo.opentelemetry.io/otel v1.44.0への更新

  go.opentelemetry.io/otel を v1.44.0 に更新し、報告されたセキュリティ脆弱性を修正します（#9073）。

要対応 (11)

• securitygoogle.golang.org/grpc の更新

  セキュリティ更新として google.golang.org/grpc が v1.79.3 に更新されました。

• securitygoogle.golang.org/grpc の更新

  セキュリティ更新として google.golang.org/grpc が v1.82.1 に更新されました。

• securityhelm.sh/helm/v4 の更新

  セキュリティ更新として helm.sh/helm/v4 が v4.1.4 に更新されました。

• securitygithub.com/cloudflare/circl の更新

  セキュリティ更新として github.com/cloudflare/circl が v1.6.3 に更新されました。

• securitygithub.com/go-jose/go-jose/v4 の更新

  セキュリティ更新として github.com/go-jose/go-jose/v4 が v4.1.4 に更新されました。

• securitygithub.com/moby/spdystream の更新

  セキュリティ更新として github.com/moby/spdystream が v0.5.1 に更新されました。

• breakingデフォルト CNI 設定バージョンの更新

  デフォルトの CNI 設定バージョンが 0.3.1 から 1.0.0 に更新されました。

• breakingIPAM メトリクスの削除

  IPAM メトリクス cilium_operator_ipam_ips と cilium_operator_ipam_available_interfaces が削除されました。

• breakingCNI 設定バージョンのデフォルト変更

  デフォルトの CNI 設定バージョンが 0.3.1 から 1.0.0 に変更されました。

• breakingネイティブヒストグラム出力のデフォルト化

  すべてのヒストグラムで、ネイティブヒストグラムがデフォルトで出力されるようになりました。

• breakingエージェント bootstrap メトリクスの削除

  エージェントの bootstrap メトリクスが削除されました。

要対応 (1)

• breakingNATSでコンシューマーグループをデフォルト使用

  NATSでは、コンシューマーグループがデフォルトで使用されるようになりました。

要対応 (1)

• securitygo text パッケージの更新

  脆弱性のある go text パッケージ v0.37 を、最新バージョンへ更新しました。

要対応 (2)

• securitygoogle.golang.org/grpc の更新

  google.golang.org/grpc を v1.82.1 に更新しました。

• securityvulnerability-updates の更新

  vulnerability-updates を更新しました。

要対応 (2)

• securitygoogle.golang.org/grpc を v1.82.1 に更新

  セキュリティ対応として、モジュール google.golang.org/grpc を v1.82.1 に更新しました。

• securityvulnerability-updates を更新

  セキュリティ関連の vulnerability-updates を更新しました。

要対応 (3)

• securityセキュリティ依存関係の更新

  セキュリティ関連の依存関係が更新されました。

• securitygoogle.golang.org/grpc の更新

  google.golang.org/grpc が v1.82.1 に更新されました。

• securityvulnerability-updates の更新

  vulnerability-updates が更新されました。

要対応 (3)

• securityhighgoogle.golang.org/grpc の 1.82.1 への更新

  google.golang.org/grpc を 1.82.1 に更新し、GHSA-hrxh-6v49-42gf に対応しました。

• breakingsnapshotLimitByte のデフォルト値変更

  snapshotLimitByte に妥当な値を設定するよう、デフォルトを変更しました。

• breakingclient http.Server の ReadHeaderTimeout 設定

  client http.Server に ReadHeaderTimeout を設定しました。

要対応 (5)

• securitycriticalgolang.org/x/net の更新

  golang.org/x/net を 0.54.0 から 0.55.0 に更新し、CVE-2026-25681、CVE-2026-27136、CVE-2026-39821、CVE-2026-42502、CVE-2026-25680、CVE-2026-42506 に対応しました。

• securityhighキーの watch 応答に関する認可問題の修正

  1つのキーへの読み取り権限を付与されたユーザーが、そのキー以降のすべてのキーに関する watch 応答を受け取れていた認可上の問題を修正しました。GHSA-xg4h-6gfc-h4m8 に対応しています。

• securityhightlsListener の TLS ハンドシェイクタイムアウト設定

  tlsListener に tlsHandshakeTimeout を設定しました。GHSA-6vch-q96h-7gc3 に対応しています。

• securityhighgoogle.golang.org/grpc の更新

  google.golang.org/grpc を 1.82.1 に更新し、GHSA-hrxh-6v49-42gf に対応しました。

• breakingsnapshotLimitByte の既定値設定

  snapshotLimitByte に妥当な既定値を設定しました。

要対応 (5)

• securityhighwatch 応答の権限分離を修正

  あるキーの読み取り権限だけを持つユーザーに、そのキー以降のすべてのキーに対する watch 応答が届くセキュリティ問題を修正しました。関連するアドバイザリは GHSA-xg4h-6gfc-h4m8 です。

• securityhightlsListener の TLS ハンドシェイクタイムアウト設定

  tlsListener に tlsHandshakeTimeout を設定しました。詳細は GHSA-6vch-q96h-7gc3 を参照してください。

• securityhighgolang.org/x/net の更新

  golang.org/x/net を v0.56.0 に更新し、GO-2026-5942 に対応しました。

• securityhighgolang.org/x/text の更新

  golang.org/x/text を v0.39.0 に更新し、GO-2026-5970 に対応しました。

• securityhighgoogle.golang.org/grpc の更新

  google.golang.org/grpc を 1.82.1 に更新し、GHSA-hrxh-6v49-42gf に対応しました。

要対応 (7)

• securitygithub.com/sigstore/rekor を v1.5.2 に更新

  github.com/sigstore/rekor を v1.5.2 に更新しました。セキュリティ修正を含むバージョンです。

• securitygithub.com/sigstore/cosign/v3 を v3.0.6 に更新

  github.com/sigstore/cosign/v3 を v3.0.6 に更新しました。セキュリティ修正を含むバージョンです。

• securitygithub.com/sigstore/timestamp-authority/v2 を v2.1.0 に更新

  github.com/sigstore/timestamp-authority/v2 を v2.1.0 に更新しました。セキュリティ修正を含むバージョンです。

• securitygithub.com/sigstore/sigstore-go を v1.2.0 に更新

  github.com/sigstore/sigstore-go を v1.2.0 に更新しました。セキュリティ修正を含むバージョンです。

• securitygrpc、golang.org/x/net、golang.org/x/text のセキュリティ更新

  grpc、golang.org/x/net、golang.org/x/text のセキュリティ更新をまとめて適用しました。

• securitygolang.org/x/text を v0.39.0 に更新

  golang.org/x/text を v0.39.0 に更新しました。セキュリティ修正を含むバージョンです。

• securitygolang.org/x/net を v0.56.0 に更新

  golang.org/x/net を v0.56.0 に更新しました。セキュリティ修正を含むバージョンです。

要対応 (5)

• securitygithub.com/sigstore/rekor の v1.5.2 への更新

  github.com/sigstore/rekor を v1.5.2 に更新しました。

• securitygithub.com/sigstore/cosign/v3 の v3.0.6 への更新

  github.com/sigstore/cosign/v3 を v3.0.6 に更新しました。

• securitygithub.com/sigstore/timestamp-authority/v2 の v2.1.0 への更新

  github.com/sigstore/timestamp-authority/v2 を v2.1.0 に更新しました。

• securitygithub.com/sigstore/sigstore-go の v1.2.0 への更新

  github.com/sigstore/sigstore-go を v1.2.0 に更新しました。

• securitygrpc、x/net、x/text の依存関係更新

  grpc、x/net、x/text のセキュリティ関連の依存関係を更新しました。

要対応 (7)

• securitygithub.com/sigstore/rekor の更新

  github.com/sigstore/rekor を v1.5.2 に更新しました。

• securitygithub.com/sigstore/timestamp-authority/v2 の更新

  github.com/sigstore/timestamp-authority/v2 を v2.1.0 に更新しました。

• securitygithub.com/sigstore/cosign/v2 の更新

  github.com/sigstore/cosign/v2 を v2.6.3 に更新しました。

• securityGo 1.25.12 への更新

  ビルドに使用する Go を 1.25.12 に更新しました。

• securitygithub.com/sigstore/sigstore-go の更新

  github.com/sigstore/sigstore-go を v1.2.0 に更新しました。

• securitygrpc、x/net、x/text の更新

  grpc、x/net、x/text のセキュリティ対応更新をまとめて適用しました。

• securitygolang.org/x/text の更新

  golang.org/x/text を v0.39.0 に更新しました。

要対応 (4)

• securitygithub.com/sigstore/rekor の更新

  依存モジュール github.com/sigstore/rekor を v1.5.2 に更新しました。

• securityGo 1.25.12 への更新

  セキュリティ対応として、Go を 1.25.12 に更新しました。

• securityalpine Docker タグの更新

  Docker の alpine タグを v3.24 に更新しました。

• securitygrpc、x/net、x/text の更新

  grpc、x/net、x/text の依存関係をセキュリティ対応の更新にまとめて引き上げました。

要対応 (1)

• breaking未定義のサービスポートへのリクエスト拒否

  定義されていないサービスポート宛てのリクエストを拒否するようになりました。

要対応 (3)

• securitymediumgithub.com/go-chi/chi/v5 の更新

  github.com/go-chi/chi/v5 を v5.2.4 に更新し、CVE-2025-69725 を解消します。

• securitymediumMongoDBドライバーとコンポーネント依存関係の更新

  go.mongodb.org/mongo-driver を v1.17.7 に更新し、github.com/dapr/components-contrib の依存バージョンを v1.18.3 に引き上げます。

• breaking子ワークフローを示す競合エラー

  子ワークフローが作成を妨げている場合、作成リクエストは競合エラーになります。エラーには、該当する子ワークフローが示されます。

要対応 (1)

• breakingテンプレート作成処理の esclient への移行

  テンプレートの作成処理を esclient に移行し、従来の legacy mapping rendering を廃止しました。

要対応 (1)

• securitygraphql/server の依存関係更新

  graphql/server の依存関係を更新し、脆弱性に対処しました。

要対応 (1)

• breakingOpenAPI 破壊的変更検出の oasdiff 移行

  OpenAPI の破壊的変更の検出に使う @useoptic/optic と @useoptic/openapi-utilities が oasdiff に置き換えられました。

要対応 (1)

• securityセキュリティ関連の依存関係更新

  #16340 に含まれるセキュリティ関連の依存関係更新を release-1.18 にバックポートしました。

要対応 (1)

• breakingcoreでGoのTLS既定値を使用

  coreでは、TLSにGoの既定値を使用します。

要対応 (1)

• breakingsandbox実行中でない場合のCreateContainer拒否

  CRIは、sandboxが実行中でない場合のCreateContainerリクエストを拒否します。

要対応 (1)

• securitycontainerd v1 依存の削除

  govulncheck で報告された CVE を解消するため、containerd v1 への依存を削除しました。対象の識別子は 037733e7d51b08e30a0233bd546c345ab3ea3bba です。

要対応 (2)

• securityDocker依存関係のMoby移行

  github.com/docker/docker の依存関係を github.com/moby/moby 相当へ移行し、CVEを解消しました。

• breakingヘルスチェックのRPCメトリクス出力停止

  Agentのヘルスチェックで行うループバック呼び出しは、RPC メトリクスを出力しなくなり、メトリクスのノイズが減りました。

要対応 (1)

• securitycriticalLinuxの脆弱性修正

  Linuxで CVE-2026-46242 をはじめ、列挙された複数の脆弱性が修正されています。

要対応 (1)

• securitycriticalLinuxのCVEアドバイザリ対応

  Linuxについて、CVE-2026-46242 など、列挙されたCVEアドバイザリへの対応が含まれています。

要対応 (1)

• securitymediumsanitize-html の更新

  UIで使用する sanitize-html を v2.17.5 に更新し、CVE-2026-53606 を修正しました。

要対応 (1)

• securityアカウント乗っ取り前の攻撃につながる問題を修正

  アカウント乗っ取り前の攻撃につながる余地が残る問題を修正しました。

要対応 (1)

• securityサードパーティ依存関係の更新

  TiKV 8.5向けに、脆弱性のあるサードパーティ依存関係を更新しました。上流に合わせて互換性に必要な修正も取り込んでいます。

要対応 (1)

• securityhighgolang.org/x/crypto の v0.52.0 への更新

  golang.org/x/crypto を v0.52.0 に更新し、CVE-2026-46598、CVE-2026-39835、CVE-2026-39828、CVE-2026-46597 に対応しました。

要対応 (1)

• securitycriticalCVE-2026-33186 に対応する gRPC 実装を更新

  thanos-community/grpc-go のフォークを更新し、形式不正な :path ヘッダーを利用した認可バイパスを修正しました。対象は CVE-2026-33186 です。