リリース

要対応 (1)

• securitymediumgo-gitのCVE-2026-45571修正

  go-gitのCVE-2026-45571を修正しました。

要対応 (2)

• securityModule Federation パッケージの v2.3.3 更新

  既知の脆弱性に対応するため、Module Federation パッケージが v2.3.3 に更新されました。

• breaking@remixicon/react の依存バージョン制限

  ライセンス変更により、@remixicon/react の依存バージョンは 4.9.0 未満に制限されました。

要対応 (6)

• securityhighHTTP/2 CONTINUATION フレーム大量送信によるサービス拒否の修正

  CVE-2026-33871 に関する、HTTP/2 CONTINUATION フレームの大量送信によるサービス拒否の問題を修正しました。

• securityhighChunked Extension 解析を悪用した HTTP リクエストスマグリングの修正

  CVE-2026-33870 に関する、Chunked Extension の Quoted-String 解析を悪用した HTTP リクエストスマグリングの問題を修正しました。

• securityhighbouncycastle に関する複数の問題の修正

  CVE-2026-0636、CVE-2026-3505、CVE-2026-5598 に関する bouncycastle の問題を修正しました。

• securityhighリダイレクト URI 検証回避の修正

  CVE-2026-7504 に関する、Keycloak のリダイレクト URI 検証を回避できる問題を修正しました。

• securitymediumbcpkix モジュールの暗号アルゴリズム問題の修正

  CVE-2026-5588 に関する、Bouncy Castle Crypto Package For Java の bcpkix モジュールで、危険または破損した暗号アルゴリズムが使用される問題を修正しました。

• security権限およびポリシー呼び出し順序による client ID 露出の修正

  権限とポリシーの呼び出し順序によって client ID が露出する問題を修正しました。

要対応 (3)

• securitytensorflow/tensorflowのセキュリティ更新

  tensorflow/tensorflowを2.20.0rc0-gpuから2.21.0rc0-gpuへ更新します。

• securitytensorflow/tensorflowのセキュリティ更新

  tensorflow/tensorflowを2.21.0rc0-gpuから2.21.0rc1-gpuへ更新します。

• securitygolangのセキュリティ更新

  セキュリティ上の問題に対応するため、golangをアップグレードします。

要対応 (1)

• securityhighGo依存関係の脆弱性対応

  脆弱性のあるGo依存関係を更新し、GHSA-xmrv-pmrh-hhx2およびCVE-2026-34986に対応しました。

要対応 (1)

• breakingIstioイメージのデフォルトレジストリ変更

  Istioイメージのデフォルトレジストリが registry.istio.io になりました。

要対応 (1)

• security名前空間をまたぐプロキシ列挙と設定ダンプ取得の認可修正

  認証済みのワークロードが、別の名前空間にあるワークロードのプロキシを列挙し、設定ダンプを取得できていた問題を修正しました。対象には istio.io/debug/syncz と istio.io/debug/config_dump が含まれます。

要対応 (1)

• securityXDSデバッグエンドポイントの名前空間認可を修正

  StatusGenが提供する istio.io/debug/syncz と istio.io/debug/config_dump に、非システム呼び出し元への同一名前空間認可が適用されるようになりました。別の名前空間のワークロードについて、プロキシの列挙や設定ダンプの取得ができないように修正されています。

要対応 (1)

• securitycriticalgoogle.golang.org/grpc を v1.79.3 に更新

  google.golang.org/grpc を v1.79.3 に更新し、CVE-2026-33186 に対応しました。

要対応 (1)

• securitymediumGHSA-qp9x-wp8f-qgjj の修正

  GHSA-qp9x-wp8f-qgjj を修正しました。

要対応 (2)

• securityhigh11件のCVEを修正

  次のCVEを修正しました。CVE-2026-42501、CVE-2026-42499、CVE-2026-39836、CVE-2026-39826、CVE-2026-39825、CVE-2026-39823、CVE-2026-39820、CVE-2026-39819、CVE-2026-39817、CVE-2026-33814、CVE-2026-33811。

• breakingconfig.linkerd.io/proxy-enable-native-sidecar の既定動作を変更

  サイドカーの既定モードを変更し、config.linkerd.io/proxy-enable-native-sidecar で指定されるモードがデフォルトになります。

要対応 (1)

• securityOpenTelemetryパッケージのCVE対応

  opentelemetry packages を更新し、13d5fc4ae0e7222e1af8796ff4fa467b52208471 に関連するCVE修正を取り込みました。

要対応 (1)

• securityhighgo.opentelemetry.io/otel/sdk の v1.40.0 への更新

  GO-2026-4394 への対応として、go.opentelemetry.io/otel/sdk を v1.40.0 に更新しました。

要対応 (2)

• securitygithub.com/moby/spdystream を v0.5.1 に更新

  セキュリティ関連の更新として、依存モジュール github.com/moby/spdystream を v0.5.1 に更新しました。

• breakingloadbalancer/reflectors の EndpointSlice 監視をサービスラベルで絞り込み

  loadbalancer/reflectors が監視する EndpointSlice を、サービスラベルで絞り込むようになりました。

要対応 (1)

• securitygithub.com/moby/spdystream の更新

  依存モジュール github.com/moby/spdystream を v0.5.1 に更新しました。

要対応 (1)

• securitygithub.com/moby/spdystream の更新

  github.com/moby/spdystream を v0.5.1 に更新しました。セキュリティ更新として扱われています。

要対応 (2)

• breakingmetricstoreのmin step apiを削除

  metricstoreからmin step apiを削除しました。

• breakingjaegermcpのnon-standard health mcp toolを削除

  jaegermcpからnon-standard health mcp toolを削除しました。

要対応 (1)

• securityGo 1.25.9への更新

  release-3.3 の Go を 1.25.9 に更新し、CVEs の解消を図ります。

要対応 (1)

• securityhighgo-git の v5.19.0 への更新

  go-git を v5.19.0 に更新し、CVE-2026-45022 を修正しました。関連するアドバイザリは GHSA-389r-gv7p-r3rp です。

要対応 (1)

• securityビルドに使用するGoを1.26.3へ更新

  OPAのバイナリとイメージのビルドに使用するGoのバージョンを1.26.3へ更新し、複数の脆弱性に対応しています。

要対応 (1)

• securitycriticalLinuxのセキュリティ修正

  Linuxのセキュリティ修正が更新されました。対象にはCVE-2026-31733が含まれます。

要対応 (1)

• breakingマネージャー TLS の既定値変更

  マネージャーの TLS の既定値が未設定に戻りました。

要対応 (2)

• breakingSELECT リスト内の修飾なし * を拒否

  vtgate は、SELECT リストでコンマの後に修飾なしの * が続く場合、そのクエリを拒否するようになりました。

• breakingsqlparser の単独 * 制限を文法に適用

  sqlparser の文法で、単独の * に対する制限が適用されるようになりました。

要対応 (1)

• securityphotonパッケージの更新

  photonパッケージが更新され、CVEsへの対応が行われています。

要対応 (4)

• securityk8s.io/kubernetes を v1.34.2 に更新

  k8s.io/kubernetes が v1.34.2 に更新されました。

• securityhelm を 3.19.4 に更新

  cve 対応のため、helm が 3.19.4 に更新されました。

• breakinggRPC サービス設定の DNS TXT 参照をデフォルトで無効化

  gRPC service config DNS TXT lookups は、デフォルトで無効になりました。

• breakingApplicationSet リソースステータス件数のデフォルト値を 5000 に変更

  appset resource status count のデフォルト値が 5000 に変更されました。

要対応 (1)

• securityhighspdystream の更新による CVE-2026-35469 の修正

  依存関係の spdystream を更新し、CVE-2026-35469 を修正しました。

要対応 (1)

• securityhighGHSA-q49m-57vm-c8ccに関連するCVEの修正

  GHSA-q49m-57vm-c8ccに関連するCVEの修正が含まれます。

要対応 (2)

• securityhighspdystream の更新による CVE-2026-35469 対応

  依存関係の spdystream を更新し、CVE-2026-35469 を修正しました。

• breakingCRI-O CNI monitoring の差し戻し

  ノードのブートストラップで回帰が発生していたため、CRI-O CNI monitoring を差し戻しました。

要対応 (1)

• securityhighspdystream依存関係の更新

  CVE-2026-35469への対処として、spdystream依存関係が更新されました。

要対応 (1)

• securityhighspdystream依存関係の更新によるCVE-2026-35469の修正

  spdystreamの依存関係を更新し、CVE-2026-35469を修正しました。

要対応 (1)

• breakingcanary-v2 の削除

  canary が存在するため、canary-v2 を削除しました。

要対応 (1)

• securitymediumgolang.org/x/imageをv0.39.0に更新

  GO-2026-4962を解消するため、golang.org/x/imageをv0.39.0に更新しました。

要対応 (1)

• securityRBAC認可バイパスの修正

  RBACの認可バイパスを修正しました。etcdトランザクション内のPutリクエストで、PrevKvまたはリースのアタッチメントを介して読み取りアクセスが可能になる問題に対応しています。

要対応 (1)

• breakingOCI hook調整の所有者集約とプラグイン名のカンマ禁止

  OCI hookの調整に関する所有者を集約し、プラグイン名にカンマを使用できなくなりました。

要対応 (1)

• securitydependabotのセキュリティアラート解消

  dependabotが報告したセキュリティアラートを解消しました。

要対応 (1)

• security未解決の Dependabot セキュリティアラートへの対応

  未解決だった Dependabot のセキュリティアラートに対応しました。

要対応 (2)

• securitycriticalGHSA-3v3m-wc6v-x4x3 のセキュリティ修正

  GHSA-3v3m-wc6v-x4x3 に関するセキュリティ修正が含まれています。

• securitygo バージョンの更新

  go のバージョンが更新され、CVEs の解消が図られています。

要対応 (1)

• securitycriticalGHSA-3v3m-wc6v-x4x3 に対するセキュリティ修正

  GHSA-3v3m-wc6v-x4x3 に識別される脆弱性に対するセキュリティ修正が含まれています。

要対応 (1)

• breakingHTMLインデックスページのクエリフォーム削除

  v1.16.0では、HTMLインデックスページにあったクエリフォームが削除されました。

要対応 (3)

• security機密情報の平文ログ出力への対処

  コードスキャンアラートno. 2992で指摘された、機密情報の平文ログ出力に対処しました。

• securityGetBackupsのディレクトリトラバーサル対策

  ファイルバックアップストレージのGetBackups RPCにおけるディレクトリトラバーサルに対処しました。

• breaking修飾なしの*を含むSELECTの扱い変更

  SELECTリストでカンマの後に修飾なしの*を指定した場合、vtgateが拒否するようになりました。