リリース

要対応 (6)

• securityhighgolang.org/x依存関係の脆弱性修正

  golang.org/x/netをv0.58.0、golang.org/x/textをv0.41.0、golang.org/x/cryptoをv0.55.0へ更新し、CVE-2026-46600、CVE-2026-56852、CVE-2026-56854を修正しました。

• securityhighgoogle.golang.org/grpcの脆弱性修正

  google.golang.org/grpcをv1.83.2へ更新し、CVE-2026-84304、CVE-2026-84445、CVE-2026-84303、GHSA-vp52-pcj8-j9qc、GHSA-2v4p-qf9q-27wj、GHSA-hrxh-6v49-42gfに対応しました。

• securityGo 1.26.5および1.26.6への更新

  Goを1.26.5へ更新し、続いて1.26.6へ更新しました。goコマンドと、crypto/tls、encoding/asn1、encoding/xml、html/template、net、net/http、net/urlパッケージに含まれるセキュリティ修正を取り込みます。

• securitymediumgithub.com/google/cel-goの脆弱性修正

  github.com/google/cel-goをv0.30.0へ更新し、GHSA-gcjh-h69q-9w9gで報告された脆弱性を修正しました。

• securityセキュリティスキャナーで指摘された依存関係の更新

  golang.org/x/mod、go.opentelemetry.io/otel、go.etcd.io/etcd/client/pkg/v3を、セキュリティスキャナーで更新対象として示されたバージョンへ引き上げました。

• securitymediumsoftware.sslmate.com/src/go-pkcs12の脆弱性修正

  software.sslmate.com/src/go-pkcs12をv0.7.2へ更新し、GHSA-mpwr-8vm7-h73fで報告された脆弱性を修正しました。

要対応 (4)

• securityhigh無制限のロケールキャッシュによるサービス拒否の修正

  認証なしで無制限にロケールがキャッシュされ、サービス拒否につながる問題を修正しました。CVE-2026-79651に対応しています。

• securityhighPathMatcherのマトリックスパラメーター除去回避の修正

  パーセントエンコードされたセミコロンによって、PathMatcherのマトリックスパラメーター除去を回避できる問題を修正しました。CVE-2026-74909に対応しています。

• securityhighimpersonationロールによるレルム管理者のなりすまし防止

  impersonationロールでレルム管理者になりすませる権限昇格の問題を修正しました。CVE-2026-17526に対応しています。

• securitymediumユーザー名の乗っ取りによるアカウントロックアウトの修正

  ユーザー名の乗っ取りによってアカウントがロックアウトされる問題を修正しました。CVE-2026-19607に対応しています。

要対応 (1)

• breakingIngress HostFW Policy の削除

  bpf の nodeport で、RevSNAT と RevDNAT の間にある Ingress HostFW Policy を削除しました。

要対応 (3)

• securitygoogle.golang.org/grpc v1.83.1 への更新

  google.golang.org/grpc を v1.83.1 に更新しました。

• securitygoogle.golang.org/grpc v1.83.2 への更新

  google.golang.org/grpc を v1.83.2 に更新しました。

• breakingIngress HostFW Policy の削除

  RevSNAT と RevDNAT の間にあった Ingress HostFW Policy が削除されました。

要対応 (3)

• securityhighgoogle.golang.org/grpcの更新

  google.golang.org/grpcをv1.83.2へ更新し、上流のCVE修正を取り込みます。gRPCの勧告GHSA-2v4p-qf9q-27wjも対象です。

• securityGo toolchainと依存関係のセキュリティ更新

  Go toolchainを1.26.7へ更新し、上流で修正されたCVEを取り込みます。あわせてgoogle.golang.org/grpcをv1.83.2、golang.org/x/cryptoをv0.56.0へ更新し、github.com/crossplane/crossplane/apis/v2をv2.4.0へ更新、ロックファイルも刷新しています。

• securitygolang.org/x/cryptoの更新

  golang.org/x/cryptoをv0.56.0へ更新し、上流で修正されたCVEを取り込みます。Go toolchainは1.26.7、google.golang.org/grpcはv1.83.2へ更新され、github.com/crossplane/crossplane/apis/v2の更新とロックファイルの刷新も行われています。

要対応 (2)

• securitygolang.org/x/crypto を v0.56.0 に更新

  依存モジュール golang.org/x/crypto を v0.56.0 に更新しました。

• securitygoogle.golang.org/grpc を v1.83.2 に更新

  依存モジュール google.golang.org/grpc を v1.83.2 に更新しました。

要対応 (3)

• securityhighgoogle.golang.org/grpc の更新

  google.golang.org/grpc を v1.83.2 に更新し、gRPC の勧告 GHSA-2v4p-qf9q-27wj を含む上流の CVE 修正を取り込みます。

• securityGo toolchain の更新

  Go toolchain を 1.26.7 に更新し、上流の CVE 修正を取り込みます。ロックファイルも更新されます。

• securitygolang.org/x/crypto の更新

  golang.org/x/crypto を v0.56.0 に更新し、上流の CVE 修正を取り込みます。

要対応 (2)

• securityhighgRPCと脆弱性のある依存関係を更新

  google.golang.org/grpcをv1.83.2へ更新し、脆弱性のある依存関係もまとめて更新します。上流のCVE修正に加え、gRPCのアドバイザリGHSA-2v4p-qf9q-27wjを取り込みます。

• securityGoツールチェーンを1.26.7へ更新

  Goツールチェーンを1.26.7へ更新します。

要対応 (6)

• securityModule Federation依存関係の更新

  Module Federationの依存関係を、既知のセキュリティ脆弱性を回避するバージョンに更新しました。

• securityYarnツール依存関係の更新

  Yarnツールの依存関係を、既知のセキュリティ脆弱性を回避するバージョンに更新しました。

• securityModule Federationの更新

  Module Federationを、既知のセキュリティ脆弱性を回避するバージョンに更新しました。

• securityOpenAPIジェネレーターツールの更新

  OpenAPIジェネレーターツールを、既知のセキュリティ脆弱性を回避するよう更新しました。

• securityOpenAPIジェネレーターツールの更新

  OpenAPIジェネレーターツールを、既知のセキュリティ脆弱性を回避するよう更新しました。

• breakingUnicode文字列変換の一貫性向上

  環境によらず文字列を一貫して処理できるよう、ロケールに依存しないUnicodeの大文字・小文字変換を使用するようにしました。

要対応 (2)

• securityhighCVE-2026-15809 の修正

  CVE-2026-15809 を修正しました。HOME 環境変数に改行文字を含めることで、CVE-2022-4318 の修正を回避して /etc/passwd に注入できる問題に対応しています。

• securityhighGoツールチェーンを1.26.4へ更新

  Go toolchain を 1.26.4 に更新し、CVE-2026-27145、CVE-2026-42504、CVE-2026-42507 を修正しました。

要対応 (1)

• breakingsearchdepthの入力範囲を制限

  searchdepthの上限を10000に設定し、負の値を拒否します。

要対応 (5)

• breakingAddScraper関数の削除

  pkg/scraperhelper/controllerから非推奨のAddScraper関数を削除しました。

• breakingZapOptionsの削除

  pkg/serviceから非推奨のZapOptionsを削除しました。

• breakingWithForceUnmarshaler関数の削除

  pkg/xconfmapから非推奨のWithForceUnmarshaler関数を削除しました。

• breakingDefaultMetricsBuilderConfig関数の削除

  cmd/mdatagenから非推奨のDefaultMetricsBuilderConfig関数を削除しました。

• breakingLoggingOptionsの削除

  pkg/serviceから非推奨の設定オプションLoggingOptionsを削除しました。

要対応 (41)

• securitycriticalcontainerd のセキュリティ修正

  containerd の CVE-2026-47262 などに対するセキュリティ修正です。

• securitycriticalgo のセキュリティ修正

  go の CVE-2025-61726 などに対するセキュリティ修正です。

• securityhighbind のセキュリティ修正

  bind の CVE-2025-40778 などに対するセキュリティ修正です。

• securityhighglib のセキュリティ修正

  glib の CVE-2025-13601 などに対するセキュリティ修正です。

• securityhighglibc のセキュリティ修正

  glibc の CVE-2026-0861 などに対するセキュリティ修正です。

• securityhighgnutls のセキュリティ修正

  gnutls の CVE-2025-14831 などに対するセキュリティ修正です。

• securityhighincus のセキュリティ修正

  incus の CVE-2026-23953 に対するセキュリティ修正です。

• securityhighlibtasn1 のセキュリティ修正

  libtasn1 の CVE-2025-13151 に対するセキュリティ修正です。

• securityhighnvidia-drivers のセキュリティ修正

  nvidia-drivers の CVE-2025-33219 などに対するセキュリティ修正です。

• securityhighpodman のセキュリティ修正

  podman の CVE-2025-9566 などに対するセキュリティ修正です。

• securityhighsssd のセキュリティ修正

  sssd の CVE-2025-11561 などに対するセキュリティ修正です。

• securityhighurllib3 のセキュリティ修正

  urllib3 の CVE-2025-66418 などに対するセキュリティ修正です。

• securityhighopenssh の追加セキュリティ修正

  openssh の CVE-2026-59995 などに対するセキュリティ修正です。

• securitymediumc-ares のセキュリティ修正

  c-ares の CVE-2025-62408 に対するセキュリティ修正です。

• securityhighcurl のセキュリティ修正

  curl の CVE-2025-13034 などに対するセキュリティ修正です。

• securitymediumlibarchive のセキュリティ修正

  libarchive の CVE-2025-60753 などに対するセキュリティ修正です。

• securitymediumlibxml2 のセキュリティ修正

  libxml2 の CVE-2026-0989 などに対するセキュリティ修正です。

• securitymediumlibxslt のセキュリティ修正

  libxslt の CVE-2025-10911 などに対するセキュリティ修正です。

• securitymediump11-kit のセキュリティ修正

  p11-kit の CVE-2026-2100 に対するセキュリティ修正です。

• securityhighrsync のセキュリティ修正

  rsync の CVE-2025-10158 などに対するセキュリティ修正です。

• securitymediumutil-linux のセキュリティ修正

  util-linux の CVE-2025-14104 などに対するセキュリティ修正です。

• securitylowintel-microcode のセキュリティ修正

  intel-microcode の CVE-2025-31648 に対するセキュリティ修正です。

• securitylowlibpcap のセキュリティ修正

  libpcap の CVE-2025-11961 などに対するセキュリティ修正です。

• securitycriticalLinux の追加セキュリティ修正

  Linux のセキュリティ修正です。

• securityhighbubblewrap のセキュリティ修正

  bubblewrap の CVE-2026-41163 に対するセキュリティ修正です。

• securitymediumexpat のセキュリティ修正

  expat の CVE-2026-24515 などに対するセキュリティ修正です。

• securityhighgnupg のセキュリティ修正

  gnupg の CVE-2026-24881 などに対するセキュリティ修正です。

• securitymediumlibcap のセキュリティ修正

  libcap の CVE-2026-4878 に対するセキュリティ修正です。

• securitymediumlibgcrypt のセキュリティ修正

  libgcrypt の CVE-2026-41989 に対するセキュリティ修正です。

• securityhighopenssh のセキュリティ修正

  openssh の CVE-2026-35385 などに対するセキュリティ修正です。

• securitycriticalopenssl のセキュリティ修正

  openssl の CVE-2026-2673 などに対するセキュリティ修正です。

• securitylowrunc のセキュリティ修正

  runc の CVE-2026-41579 に対するセキュリティ修正です。

• securitymediumsystemd のセキュリティ修正

  systemd の CVE-2026-40223 などに対するセキュリティ修正です。

• securitylowxz-utils のセキュリティ修正

  xz-utils の CVE-2026-34743 に対するセキュリティ修正です。

• securitylowzlib のセキュリティ修正

  zlib の CVE-2026-27171 に対するセキュリティ修正です。

• breakingEquinix Metal (Packet) のサポート終了

  Equinix Metal (Packet) のサポートを終了しました。

• breakingRackspace のサポート終了

  Rackspace と OnMetal を含むサポートを終了しました。

• breakingリリースコードネーム Oklo の廃止

  リリースコードネーム Oklo を廃止しました。

• breakingVMware insecure イメージの廃止

  VMware の insecure イメージを廃止しました。

• breakingVagrant VirtualBox イメージの廃止

  Vagrant VirtualBox イメージを廃止しました。

• breakingVagrant 2.2.5 の必須化

  Vagrant 2.2.5 が必要になりました。

要対応 (6)

• securityACME サーバーレスポンスボディの上限設定

  ACME サーバーのレスポンスボディを 16 MiB までに制限し、上限のないボディによるサービス拒否を防ぎます。

• securityHTTP-01 セルフチェックでのレスポンス内容の非開示

  ACME HTTP-01 のセルフチェックで取得したレスポンスボディを Challenge.status.reason に反映しなくなりました。リダイレクト先から取得した内部レスポンスの内容が開示されることを防ぎます。

• securityGo 1.26.6 への更新

  Go を 1.26.6 に更新しました。go コマンドと、crypto/tls、encoding/asn1、encoding/xml、html/template、net、net/http、net/url パッケージに含まれるセキュリティ修正が反映されています。

• securitygoogle.golang.org/grpc v1.83.2 への更新

  google.golang.org/grpc を v1.83.2 に更新し、報告されていたセキュリティ脆弱性を修正しました。

• securitygolang.org/x/crypto v0.56.0 への更新

  golang.org/x/crypto を v0.56.0 に更新し、報告されていたセキュリティ脆弱性を修正しました。

• breaking変換後リクエストへの検証適用

  適用対象はリリースノートに明記されていません。

  AdmissionReview では、v1 以外の API バージョンから変換された同等のリクエストにも検証を適用します。これまで検証を回避できたリクエストが対象になります。

要対応 (2)

• breakingpromise_based_filter で v2_non_owning_waker_implementation を有効化

  promise_based_filter で v2_non_owning_waker_implementation 実験を有効にしました。

• breakingWRR のカスタムバックエンドメトリクス用環境変数ガードを削除

  WRR のカスタムバックエンドメトリクスに用いる環境変数ガードを削除しました。

要対応 (1)

• securitygoogle.golang.org/grpc の更新

  google.golang.org/grpc モジュールを v1.83.1 に更新しました。

要対応 (2)

• securitygoogle.golang.org/grpc の v1.83.1 更新

  google.golang.org/grpc を v1.83.1 に更新しました。

• securityDependabot のセキュリティアラート解消

  Dependabot のセキュリティアラートを解消しました。

要対応 (1)

• securitygoogle.golang.org/grpc の更新

  セキュリティ対応として、モジュール google.golang.org/grpc を v1.83.1 に更新しました。

要対応 (2)

• securitycriticalGo と x/net の更新

  Go を 1.26.6 に更新し、x/net を更新して CVE-2026-39821 に対応しました。

• securityhighGo の更新

  Go を更新して CVE-2026-56853 に対応しました。

要対応 (3)

• securitycriticalgolang.org/x/net の更新

  golang.org/x/net が v0.55.0 に更新され、GO-2026-5026 に対応しました。

• securitymediumgo.opentelemetry.io/otel の更新

  go.opentelemetry.io/otel が v1.44.0 に更新され、GO-2026-5158 に対応しました。

• breakingファイル単位の展開サイズ制限の撤廃

  ファイルごとの展開サイズ制限が削除されました。

要対応 (1)

• breakingInvokeBinding のバイナリ gRPC メタデータ伝播の変更

  受信した gRPC 呼び出しのメタデータに含まれる、キーが -bin で終わるバイナリ gRPC メタデータは、出力バインディングコンポーネントのメタデータへコピーされなくなりました。

要対応 (1)

• breakingmax-guest-memory の適用

  ゲストメモリの上限として max-guest-memory を適用します。

要対応 (1)

• securitycriticalGoツールチェーンとイメージをgo1.26.8に更新

  Goツールチェーンとイメージをgo1.26.8に更新し、CVE-2026-39821（GO-2026-5026）に対応しました。

要対応 (1)

• breakingProvisionerの独立した TryInit 呼び出しの削除

  Provisionerでは、独立した TryInit 呼び出しがなくなりました。

要対応 (1)

• securityhighセキュリティ関連依存関係の更新

  セキュリティ対応として、github.com/klauspost/compress を v1.18.7 に、golang.org/x/crypto を v0.55.0 に更新しました。関連する識別子は GO-2026-5841 と GO-2026-6303 です。

要対応 (3)

• securityEnvoyをv1.38.4へ更新

  Envoyをv1.38.4へ更新し、CVEを修正します。

• securityGoを1.26.8へ更新

  Goを1.26.8へ更新し、CVEを修正します。

• security依存関係の更新によるCVE修正

  依存関係を更新し、CVEを修正します。

要対応 (2)

• breakingクラスタ認証情報での exec auth provider の利用禁止

  linkerd multicluster link が作成するクラスタ認証情報の Secret は token auth provider を使用します。使用も必要もない exec auth provider は利用できなくなりました。

• breakingLink リソース検索の linkerd-multicluster Namespace 限定

  Link リソースの検索範囲を linkerd-multicluster Namespace に限定しました。

要対応 (2)

• securityCVE-2026-53495 の修正

  セキュリティアドバイザリ CVE-2026-53495（GHSA-7jxh-36q5-gcqv）に対応しました。

• securityGHSA-rp3h-jf77-q9p4 の修正

  セキュリティアドバイザリ GHSA-rp3h-jf77-q9p4 に対応しました。

要対応 (2)

• securityCVE-2026-53495の修正

  CVE-2026-53495に関する修正です。関連するアドバイザリはGHSA-7jxh-36q5-gcqvです。

• securityGHSA-rp3h-jf77-q9p4の修正

  GHSA-rp3h-jf77-q9p4に関する修正です。

要対応 (1)

• securityCVE-2026-53495への対応

  containerdでCVE-2026-53495に対応しました。関連するアドバイザリはGHSA-rp3h-jf77-q9p4です。

要対応 (2)

• securityCVE-2026-53495 の修正

  CVE-2026-53495 に対応しました。

• securityGHSA-rp3h-jf77-q9p4 の修正

  GHSA-rp3h-jf77-q9p4 に対応しました。

要対応 (2)

• breakingストリーミング再帰 CTE の再帰深度制限

  ストリーミング再帰 CTE の経路に再帰深度の上限が設けられました。

• breakingストリーミング CALL 経路の安全性チェック

  ストリーミング CALL 経路で、ストアドプロシージャーの安全性チェックが適用されるようになりました。

要対応 (2)

• securityGo依存関係のセキュリティ脆弱性を修正

  Go依存関係に含まれるDependabotのセキュリティ脆弱性を修正しました。

• securitygosec のSAST検出結果を修正

  gosec v2.27.1のSAST検出結果に対応するセキュリティ修正を追加しました。