リリース

securityhighPyJWT の CVE-2026-32597 対応
PyJWT の crit ヘッダー検証に関する CVE-2026-32597 を修正しました。
securityhighpyasn1 の CVE-2026-30922 対応
pyasn1 の DoS 脆弱性に関する CVE-2026-30922 を修正しました。
breakingMaxReplicas の必須化
MaxReplicas が必須の int32 になりました。

影響確認 (2)

breakingcert-hash 再起動アノテーションの削除
cert-hash を設定している場合に適用されます。
breakingPYTHONPATH 環境変数の遮断
PYTHONPATH を設定している場合に適用されます。

原文 ↗

Kyvernov1.18.0Security2026年4月29日

ACTION 4CHECK 2OTHER 102分析を詳しく見る

オペレーター機能を加え、設定、Helm、CLIの改善を含む機能・保守リリースです。多数の不具合修正や出力・依存関係の更新に加え、アクセス制約の見直しとCVE関連の問題3件への修正が含まれます。

要対応 (4)

securityhigh中間証明書の制限によるCVE-2026-32280対策
中間証明書の数を制限し、CVE-2026-32280の影響を抑える修正を加えました。
securityhighGo toolchainの1.26.2への更新
Go toolchainを1.26.2へ更新し、CVE-2026-32283を修正しました。
securitymediumgo-tuf/v2のv2.4.1への更新
go-tuf/v2をv2.4.1へ更新し、CVE-2026-24686を修正しました。
security標準ライブラリのCVE修正
標準ライブラリに関するCVEを修正しました。

影響確認 (2)

breakingnamespaced policiesのconfigmapアクセス制限
namespaced policiesを使用している場合に適用されます。
breakingアンインストール時のfinalizersと回避策の削除
アンインストールを実行する場合に適用されます。

原文 ↗

Strimzi1.0.0Networking & Messaging2026年4月28日

ACTION 2CHECK 4OTHER 12分析を詳しく見る

従来の CRD API の削除、既定値や設定場所の変更、Kafka と HTTP Bridge の機能追加、新しい Operator 設定が含まれます。既存の監視設定やスタンドアロン Topic Operator を利用している環境では、更新が必要になる場合があります。

要対応 (2)

breakingUseConnectBuildWithBuildah をデフォルトで有効化
UseConnectBuildWithBuildah フィーチャーゲートがベータ段階に移行し、デフォルトで有効になりました。
breakingHTTP Bridge の /metrics エンドポイントを管理インターフェースへ移動
HTTP Bridge の /metrics エンドポイントは、通常の HTTP インターフェース（デフォルトではポート 8080）では利用できなくなりました。現在は HTTP 管理インターフェースの 8081 で利用できます。

影響確認 (4)

breakingCRD API の対応範囲を v1 のみに変更
v1beta2、v1beta1、または v1alpha1 CRD API を使用している場合に該当します。
breakingOpen Policy Agent (OPA) authorizer plugin の同梱を終了
Open Policy Agent (OPA) authorizer plugin を使用している場合に該当します。
breakingTLS 関連環境変数の使用を終了
STRIMZI_TLS_ENABLED、STRIMZI_TLS_AUTH_ENABLED、STRIMZI_PUBLIC_CA、STRIMZI_TRUSTSTORE_LOCATION、STRIMZI_TRUSTSTORE_PASSWORD、STRIMZI_KEYSTORE_LOCATION、または STRIMZI_KEYSTORE_PASSWORD のいずれかを設定している場合に該当します。
リリースページにあと 1 件

原文 ↗

NATSv2.12.8Networking & Messaging2026年4月27日

ACTION 1OTHER 22分析を詳しく見る

セキュリティと動作の正確性、性能に関する修正に加え、依存関係およびツールチェーンのマニフェストも更新されています。多くの修正は、アップグレード以外の運用作業を必要としません。

要対応 (1)

security/connz における bearer JWTs の非開示
監視エンドポイント /connz が bearer JWTs を開示しなくなりました。

原文 ↗

OpenFGAv1.15.0Security2026年4月27日

ACTION 1OTHER 2分析を詳しく見る

このリリースでは、Go ツールチェーンを 1.26.2 に更新しています。Go標準ライブラリの脆弱性への対応を含むため、ビルドや実行環境で使用するツールチェーンの確認に関係します。

要対応 (1)

securityGo ツールチェーンを 1.26.2 に更新
ツールチェーンの Go を 1.26.2 に更新しました。Go標準ライブラリで報告された脆弱性に対応する更新です。

原文 ↗

Flatcar Container Linuxlts-4081.3.7Provisioning & Runtime2026年4月27日

ACTION 1OTHER 3分析を詳しく見る

このリリースは、セキュリティ対応を主な内容としています。セキュリティ修正について、アップグレード以外の設定変更や互換性対応は記載されていません。

要対応 (1)

securitycriticalLinux のセキュリティ修正
Linux に多数のセキュリティ修正が含まれています。対象には、記載された CVE-2023-52435 などのアドバイザリが含まれます。

原文 ↗

Flatcar Container Linuxstable-4593.2.0Provisioning & Runtime2026年4月27日

ACTION 18CHECK 1OTHER 99分析を詳しく見る

Linuxと同梱コンポーネントのセキュリティ修正を中心に、依存関係の更新が含まれています。minimal-initrdに伴う回帰の修正や、サービスの起動設定、SSH設定、利用できるカーネルモジュールの構成変更もあります。

要対応 (18)

securitycriticalLinuxの追加セキュリティ修正
Linuxのセキュリティ修正として、CVE-2026-31411を含む更新が反映されています。
securityhighcurlのセキュリティ修正
curlのセキュリティ修正が反映されています。
securityhighexpatのセキュリティ修正
expatのセキュリティ修正が反映されています。
securityhighgnupgのセキュリティ修正
gnupgのセキュリティ修正が反映されています。
securityhighgoのセキュリティ修正
goのセキュリティ修正が反映されています。
securityhighintel-microcodeのセキュリティ修正
intel-microcodeのセキュリティ修正が反映されています。
securityhighlibxsltのセキュリティ修正
libxsltのセキュリティ修正が反映されています。
securityhighnvidia-driversのセキュリティ修正
nvidia-driversのセキュリティ修正が反映されています。
securityhighopensslのセキュリティ修正
opensslのセキュリティ修正が反映されています。
securityhighpamのセキュリティ修正
pamのセキュリティ修正が反映されています。
securitymediumbinutilsのセキュリティ修正
binutilsのセキュリティ修正が反映されています。
securitymediumcoreutilsのセキュリティ修正
coreutilsのセキュリティ修正が反映されています。
securitymediumlibpcre2のセキュリティ修正
libpcre2のセキュリティ修正が反映されています。
securitymediumnet-toolsのセキュリティ修正
net-toolsのセキュリティ修正が反映されています。
securitylowopensshのセキュリティ修正
opensshのセキュリティ修正が反映されています。
securitylibxml2の更新
libxml2がlibxml2-20250908に更新されています。
breakingsshdでOpenSSHのデフォルト設定を使用
sshdの設定からCiphers、MACs、KexAlgorithmsが削除され、OpenSSHの上流デフォルトが使われるようになっています。
breaking最初のinitrdで利用できるカーネルモジュールの縮小
最初のinitrdで利用できるカーネルモジュールの数が減っています。

影響確認 (1)

breakingoverlaybd sysextのサービスを自動起動
overlaybd sysextを使用している場合に適用されます。

原文 ↗

Cortexv1.21.0Observability2026年4月27日

ACTION 1CHECK 1PLAN 3OTHER 81分析を詳しく見る

Store Gateway、フェデレーション、オーバーライド、キャッシュ、メトリクス、クエリに関する機能が追加され、複数の実験的機能が正式機能へ移行しました。デフォルト値や設定名、依存関係も更新され、正確性、メモリ使用量、パニック、データ破損に関する不具合が修正されています。

要対応 (1)

breakingバケットインデックスのデフォルト有効化
Blocks storage では、バケットインデックスがデフォルトで有効になりました。-blocks-storage.bucket-store.bucket-index.enabled=false による無効化は、本番環境では推奨されません。

影響確認 (1)

breakingDistributor のタイプ・単位ラベル用フラグ統合
remote write v2 と OTLP リクエストで -distributor.enable-type-and-unit-labels または -distributor.otlp.enable-type-and-unit-labels を設定している場合に適用されます。

事前準備 (3)

breakingRuler API フラグの名称変更
-experimental.ruler.enable-api を設定している場合に適用されます。
breakingAlertmanager API フラグの名称変更
-experimental.alertmanager.enable-api を設定している場合に適用されます。
breakingUsers Scanner の更新間隔設定の名称変更
-*.users-scanner.user-index.cleanup-interval、clean_up_interval のいずれかを設定している場合に適用されます。

原文 ↗

wasmCloudv2.0.5Orchestration & Management2026年4月24日

ACTION 1OTHER 4分析を詳しく見る

wasmcloud v2.0.5では、rustls-webpkiに関するセキュリティ更新が行われています。RUSTSEC-2026-0049の影響を確認している環境に関係するリリースです。

要対応 (1)

securityrustls-webpkiのセキュリティ更新
rustls-webpkiのセキュリティ更新として、RUSTSEC-2026-0049に対応しました。

原文 ↗

Crossplanev1.20.7Orchestration & Management2026年4月24日

ACTION 1分析を詳しく見る

v1.20.7では、Goツールチェーンのバージョンが更新されています。Goのバージョンを運用環境で確認している場合に関係します。

要対応 (1)

securityGoツールチェーンを1.25.9へ更新
Goが1.25.9に更新されました。

原文 ↗

Envoyv1.38.0Networking & Messaging2026年4月23日

ACTION 1CHECK 6PLAN 1OTHER 77分析を詳しく見る

設定とフラグに互換性へ影響する変更があり、拡張機能とプロトコル対応が広がっています。CVE-2026-27135 対応やバイパス、インジェクション対策を含むセキュリティ修正に加え、正確性と可観測性に関する改善も含まれます。

要対応 (1)

securityhighnghttp2 の **CVE-2026-27135** 対応
nghttp2 に **CVE-2026-27135** の修正パッチが適用されました。

影響確認 (6)

securityquery_parameter_mutations の値を URL エンコード
query_parameter_mutations を設定している場合に適用されます。
securityRBAC の連結ベースのバイパスを修正
RBAC が実行される場合に適用されます。
breakingmax_early_data_bytes の明示設定を必須化
upstream_connect_mode に IMMEDIATE 以外の値を設定し、max_early_data_bytes を設定していない場合に適用されます。
リリースページにあと 3 件

事前準備 (1)

deprecatedenforce_rsa_key_usage の非推奨化削除時期は未定
enforce_rsa_key_usage を設定している場合に適用されます。

原文 ↗

Kyvernov1.16.4Security2026年4月23日

ACTION 12CHECK 3OTHER 2分析を詳しく見る

セキュリティ修正を中心としたリリースです。依存関係の更新に加え、デフォルト値やアクセス制限が変わる修正が含まれるため、該当する構成ではアップグレードの確認が必要です。

要対応 (12)

securitycriticalCVE-2025-68121の修正
CVE-2025-68121を修正しました。
securitycriticalCVE-2026-33186の修正
CVE-2026-33186を修正しました。
securityhighCVE-2026-24051の修正
release 1.16でCVE-2026-24051を修正しました。
securityhighgithub.com/docker/cliの更新
github.com/docker/cliを更新し、CVE-2025-15558を解消しました。
securityhighCVE-2025-66564の修正
CVE-2025-66564を解消しました。
securitymediumsigstore/rekor v1.5.1への更新
sigstore/rekorをv1.5.1に更新し、CVE-2026-23831を修正しました。
securitymediumgo-tuf/v2 v2.3.1への更新
go-tuf/v2をv2.3.1に更新し、CVE-2026-23992に対応しました。
securitymediumCVE-2026-22772の修正
CVE-2026-22772を修正しました。
securitymediumgo-tuf/v2 v2.4.1への更新
go-tuf/v2をv2.4.1に更新し、CVE-2026-24686に対応しました。
securitylowCVE-2026-1229の修正
release-1.16でCVE-2026-1229を修正しました。
securitylowCVE-2026-26958の修正
CVE-2026-26958を修正しました。
securitystdlibのCVE修正
stdlibに関するCVEを修正しました。

影響確認 (3)

securitycriticalnamespaced policiesのHTTP無効化
namespaced policiesを設定している場合に適用されます。
securitygo < 1.25.8のCVE修正
go < 1.25.8に依存している場合に適用されます。
breakingnamespaced policiesのconfigmapアクセス制限
namespaced policiesを設定している場合に適用されます。

原文 ↗

Kyvernov1.17.2Security2026年4月23日

ACTION 6CHECK 2OTHER 17分析を詳しく見る

複数の正確性修正と、CVEに関連する変更を含むセキュリティ修正が入っています。セキュリティ修正を得るにはアップグレードが必要で、デフォルト値とアクセス制約の変更も確認が必要です。

要対応 (6)

securitycriticalCVE-2026-33186 の修正
CVE-2026-33186 を修正しました。
securityhighCVE-2026-24051 の修正
CVE-2026-24051 を修正しました。
securityhighCVE-2026-34986 の修正
CVE-2026-34986 を修正しました。
securitylowCVE-2026-1229 の修正
CVE-2026-1229 を修正しました。
securityCVES 2026-15558 の修正
CVES 2026-15558 を修正しました。
securitygo の更新による標準ライブラリのCVE修正
go を更新し、標準ライブラリのCVEを修正しました。

影響確認 (2)

securitycriticalnamespaced policies のデフォルトでの HTTP 無効化
namespaced policies を設定している場合に適用されます。
breakingnamespaced policies の configmap アクセス制限
namespaced policies を設定している場合に適用されます。

原文 ↗

Kubernetesv1.36.0Kubernetes Core2026年4月22日

ACTION 11CHECK 25PLAN 6OTHER 293分析を詳しく見る

API、設定、CLI のデフォルト、スケジューリング、ランタイム、フィーチャーゲート、メトリクス、依存関係にまたがる変更を含む、運用への影響が広いリリースです。削除や非推奨化、成熟度の移行もあるため、アップグレード前の確認とテストが必要です。セキュリティアドバイザリや、明示的に記載された脆弱性は確認されていません。

要対応 (11)

breakingStrictIPCIDRValidation のデフォルト有効化
kube-apiserver の StrictIPCIDRValidation フィーチャーゲートがデフォルトで有効になりました。
breakingデバッグプロファイルのデフォルト変更
デバッグプロファイルのデフォルトが legacy から general に変更されました。
breakingWatchCacheInitializationPostStartHook のデフォルト有効化
WatchCacheInitializationPostStartHook フィーチャーゲートがデフォルトで有効になりました。
breakingKubeletPSI の GA 移行
KubeletPSI が GA に移行し、デフォルトで有効になりました。
breakingRelaxedServiceNameValidation のベータ移行
RelaxedServiceNameValidation フィーチャーゲートがベータ版に移行し、デフォルトで有効になりました。
breakingRestartAllContainersOnContainerExits のベータ移行
RestartAllContainersOnContainerExits フィーチャーゲートがベータ版に移行し、デフォルトで有効になりました。
breaking中断ジョブ関連フィーチャーゲートのデフォルト有効化
MutablePodResourcesForSuspendedJobs と MutableSchedulingDirectivesForSuspendedJobs がデフォルトで有効になりました。
breakingInformer のストア更新順序変更
Informer のデフォルト動作が変わり、list または relist に含まれるすべてのオブジェクトでストア状態を更新してから、個々の削除、追加、更新に対する OnDelete、OnAdd、OnUpdate を呼び出すようになりました。
breakingInformer の watch イベント処理変更
Informer は、キューに入ったイベントの処理中でも新しい watch イベントをキューに追加できるようになりました。
breakingクライアント CA ローテーション機能のデフォルト有効化
この機能がデフォルトで有効になり、ClientsAllowCARotation フィーチャーゲートで無効にできます。
breakingTLS キャッシュ GC 機能のデフォルト有効化
この機能がデフォルトで有効になり、ClientsAllowTLSCacheGC フィーチャーゲートで制御できるようになりました。

影響確認 (25)

breakingvolume_operation_total_errors メトリクスの名称変更
volume_operation_total_errors を利用している場合に該当します。
breakinggit-repo ボリュームプラグインの無効化
git-repo ボリュームプラグインを利用している場合に該当します。
breakingCredential plugin 許可リストのフィールド名変更
AllowlistEntry.Name を設定している場合に該当します。
リリースページにあと 22 件

事前準備 (6)

deprecatedService .spec.externalIPs の非推奨化
Service の .spec.externalIPs を設定している場合に該当します。
deprecatedmetav1.FieldsV1.Raw の直接アクセスを非推奨化
metav1.FieldsV1.Raw を利用している場合に該当します。
deprecatedスコア設定フィールドの非推奨化
MinNodeScore または MaxNodeScore を利用している場合に該当します。
リリースページにあと 3 件

原文 ↗

metal3-iov0.12.4Provisioning & Runtime2026年4月22日

ACTION 1OTHER 4分析を詳しく見る

v0.12.4では、controller ClusterRole の未使用の RBAC 権限が削除されています。コントローラーの権限設定を整理する変更です。

要対応 (1)

breakingcontroller ClusterRole の未使用 RBAC 権限削除
controller ClusterRole から、未使用の RBAC 権限を削除しました。

原文 ↗

metal3-iov0.11.7Provisioning & Runtime2026年4月22日

ACTION 1OTHER 4分析を詳しく見る

このリリースでは、コントローラーの ClusterRole に残っていた未使用の権限を整理しています。権限設定から不要な項目が削除されました。

要対応 (1)

breakingコントローラーの未使用 RBAC 権限の削除
コントローラーの ClusterRole から、未使用の RBAC 権限を削除しました。

原文 ↗

CoreDNSv1.14.3Kubernetes Core2026年4月22日

ACTION 1CHECK 1OTHER 34分析を詳しく見る

運用者向けの機能追加と複数の不具合修正を含むリリースです。開示されたGo依存関係の脆弱性に対処するため、アップグレードが直ちに必要です。その他の変更は、新しいオプションを選ぶ場合や影響を受ける挙動を利用している場合に対応が必要です。

要対応 (1)

securitycriticalGo 1.26.2への更新と脆弱性修正の取り込み
Go 1.26.2でビルドされ、CVE-2026-32282、CVE-2026-32289、CVE-2026-33810、CVE-2026-27144、CVE-2026-27143、CVE-2026-32288、CVE-2026-32283、CVE-2026-27140、CVE-2026-32936、CVE-2026-33190、CVE-2026-33489、CVE-2026-32934、CVE-2026-35579のセキュリティ修正が含まれています。

影響確認 (1)

breakingDoHのGET DNSクエリパラメータのサイズ検証
DoHを使用している場合に適用されます。

原文 ↗

cert-managerv1.19.5Security2026年4月21日

ACTION 2OTHER 1分析を詳しく見る

報告された脆弱性への対応として、依存関係とgoの更新を含むリリースです。脆弱性に関わる変更があるため、アップグレードが推奨されます。

要対応 (2)

securityGo依存関係の更新
報告された脆弱性に対応するため、Go依存関係を更新しました。
securitygo 1.25.8への更新
報告された複数の脆弱性に対応するため、goを1.25.8へ更新しました。

原文 ↗

KubeVirtv1.8.2Orchestration & Management2026年4月20日

ACTION 1OTHER 11分析を詳しく見る

正確性に関する修正を中心に、RBAC権限の削除とバックエンドボリューム名の挙動変更が含まれます。RBAC権限の削除については、運用者による確認が必要です。

要対応 (1)

breakingkubevirt.io:edit からの vnc と screenshot の削除
kubevirt.io:edit から vnc と screenshot が削除されました。

原文 ↗

Contourv1.32.5Networking & Messaging2026年4月20日

ACTION 1OTHER 1分析を詳しく見る

このリリースでは、Luaコードインジェクションの脆弱性が修正され、Envoyがv1.34.14へ更新されています。セキュリティ修正とEnvoyのバージョン更新を確認するリリースです。

要対応 (1)

securityhighCVE-2026-41246のLuaコードインジェクション修正
CVE-2026-41246（GHSA-x4mj-7f9g-29h4）として報告されたLuaコードインジェクションの脆弱性を修正しました。

原文 ↗

Crossplanev2.2.1Orchestration & Management2026年4月20日

ACTION 10OTHER 3分析を詳しく見る

このリリースでは、セキュリティ対応として Go と複数の依存モジュールを更新しています。依存関係の更新を取り込む環境に関係するリリースです。

要対応 (10)

securitygithub.com/cloudflare/circl の v1.6.3 への更新
github.com/cloudflare/circl を v1.6.3 に更新しました。
securityotlptracehttp の v1.43.0 への更新
go.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttp を v1.43.0 に更新しました。
securitygithub.com/go-jose/go-jose/v4 の v4.1.4 への更新
github.com/go-jose/go-jose/v4 を v4.1.4 に更新しました。
securitygithub.com/sigstore/cosign/v3 の v3.0.5 への更新
github.com/sigstore/cosign/v3 を v3.0.5 に更新しました。
securitygithub.com/go-git/go-git/v5 の v5.17.1 への更新
github.com/go-git/go-git/v5 を v5.17.1 に更新しました。
securitygithub.com/docker/cli の v29.2.0+incompatible への更新
github.com/docker/cli を v29.2.0+incompatible に更新しました。
securityGo の 1.25.9 への更新
Go を 1.25.9 に更新しました。
securitygithub.com/moby/spdystream の v0.5.1 への更新
github.com/moby/spdystream を v0.5.1 に更新しました。
securitygithub.com/sigstore/timestamp-authority/v2 の v2.0.6 への更新
github.com/sigstore/timestamp-authority/v2 を v2.0.6 に更新しました。
securitygithub.com/go-git/go-git/v5 の v5.18.0 への更新
github.com/go-git/go-git/v5 を v5.18.0 に更新しました。

原文 ↗

Crossplanev2.1.5Orchestration & Management2026年4月20日

ACTION 10OTHER 4分析を詳しく見る

Crossplane v2.1.5は、依存関係とGoツールチェーンのセキュリティ対応を中心としたリリースです。複数のモジュールが新しいバージョンに更新されています。

要対応 (10)

securitygithub.com/cloudflare/circl の v1.6.3 への更新
セキュリティ対応として、github.com/cloudflare/circl を v1.6.3 に更新しました。
securitygoogle.golang.org/grpc の v1.79.3 への更新
セキュリティ対応として、google.golang.org/grpc を v1.79.3 に更新しました。
securitygo.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttp の v1.43.0 への更新
セキュリティ対応として、go.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttp を v1.43.0 に更新しました。
securitygithub.com/go-jose/go-jose/v4 の v4.1.4 への更新
セキュリティ対応として、github.com/go-jose/go-jose/v4 を v4.1.4 に更新しました。
securityGo 1.25.9 への更新
セキュリティ対応として、Go を 1.25.9 に更新しました。
securitygithub.com/go-git/go-git/v5 の v5.17.1 への更新
セキュリティ対応として、github.com/go-git/go-git/v5 を v5.17.1 に更新しました。
securitygithub.com/moby/spdystream の v0.5.1 への更新
セキュリティ対応として、github.com/moby/spdystream を v0.5.1 に更新しました。
securitygithub.com/sigstore/timestamp-authority/v2 の v2.0.6 への更新
セキュリティ対応として、github.com/sigstore/timestamp-authority/v2 を v2.0.6 に更新しました。
securitygithub.com/docker/cli の v29.2.0+incompatible への更新
セキュリティ対応として、github.com/docker/cli を v29.2.0+incompatible に更新しました。
securitygithub.com/go-git/go-git/v5 の v5.18.0 への更新
セキュリティ対応として、github.com/go-git/go-git/v5 を v5.18.0 に更新しました。

原文 ↗

Crossplanev2.0.8Orchestration & Management2026年4月20日

ACTION 9OTHER 3分析を詳しく見る

v2.0.8では、運用時に確認される不具合を修正し、Goと複数の依存モジュールを更新しました。セキュリティ更新の詳細な開示内容は示されず、対象コンポーネントのみが記載されています。

要対応 (9)

securitygithub.com/cloudflare/circlをv1.6.3へ更新
github.com/cloudflare/circlをv1.6.3へ更新しました。
securityotlptracehttpをv1.43.0へ更新
go.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttpをv1.43.0へ更新しました。
securitygithub.com/go-jose/go-jose/v4をv4.1.4へ更新
github.com/go-jose/go-jose/v4をv4.1.4へ更新しました。
securityGo 1.25.9への更新
Goを1.25.9へ更新しました。
securitygithub.com/go-git/go-git/v5をv5.17.1へ更新
github.com/go-git/go-git/v5をv5.17.1へ更新しました。
securitygithub.com/moby/spdystreamをv0.5.1へ更新
github.com/moby/spdystreamをv0.5.1へ更新しました。
securitygithub.com/docker/cliをv29.2.0+incompatibleへ更新
github.com/docker/cliをv29.2.0+incompatibleへ更新しました。
securitygithub.com/sigstore/timestamp-authority/v2をv2.0.6へ更新
github.com/sigstore/timestamp-authority/v2をv2.0.6へ更新しました。
securitygithub.com/go-git/go-git/v5をv5.18.0へ更新
github.com/go-git/go-git/v5をv5.18.0へ更新しました。

原文 ↗

Crossplanev1.20.6Orchestration & Management2026年4月20日

ACTION 5OTHER 1分析を詳しく見る

このリリースでは、依存関係の更新によってセキュリティ修正が取り込まれています。該当する依存関係を利用している環境では、修正を得るためにアップグレードが必要です。

要対応 (5)

securitygithub.com/cloudflare/circl を v1.6.3 に更新
github.com/cloudflare/circl が v1.6.3 に更新されました。セキュリティ修正を含む依存関係の更新です。
securityOTLPトレースHTTPエクスポーターを v1.43.0 に更新
go.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttp が v1.43.0 に更新されました。セキュリティ修正を含む依存関係の更新です。
securitygithub.com/go-git/go-git/v5 を v5.17.1 に更新
github.com/go-git/go-git/v5 が v5.17.1 に更新されました。セキュリティ修正を含む依存関係の更新です。
securitygithub.com/moby/spdystream を v0.5.1 に更新
github.com/moby/spdystream が v0.5.1 に更新されました。セキュリティ修正を含む依存関係の更新です。
securitygithub.com/go-git/go-git/v5 を v5.18.0 に更新
github.com/go-git/go-git/v5 が v5.18.0 に更新されました。セキュリティ修正を含む依存関係の更新です。

原文 ↗

Backstagev1.50.2CI/CD & App Delivery2026年4月18日

ACTION 1OTHER 4分析を詳しく見る

v1.50.2では、依存関係の更新範囲が見直されています。更新対象をパッチ版に限定する設定です。

要対応 (1)

breakingReact Ariaの更新範囲をパッチ版に限定
React Ariaの依存関係は、パッチ更新のみに制限されました。

原文 ↗

Daprv1.15.14Orchestration & Management2026年4月16日

ACTION 2分析を詳しく見る

このリリースは、アクセス制御と実行時の依存関係に関わるセキュリティ更新を含みます。サービス呼び出しの経路やGoの1.24系を利用する環境では、変更内容の確認が関係します。

要対応 (2)

securityACLチェックと送信処理で正規化形式を統一
正規化した形式をACLチェックと外向きのディスパッチの両方で使うようになり、両者の不一致が解消されています。
securityGoの1.24系CVE対応に伴うバージョン更新
Goのバージョンが更新され、1.24系のCVEへの対応が行われています。

原文 ↗

Daprv1.17.5Orchestration & Management2026年4月16日

ACTION 1分析を詳しく見る

Dapr v1.17.5では、ACLチェックと送信処理で使う正規化形式の不一致が修正されました。サービス呼び出しのアクセス制御ポリシーを利用する環境に関係する変更です。

要対応 (1)

securityACLチェックと送信処理での正規化形式の統一
正規化した形式をACLチェックと送信処理の両方で使うようになり、両者の不一致が解消されました。

原文 ↗

Daprv1.16.14Orchestration & Management2026年4月16日

ACTION 3OTHER 1分析を詳しく見る

サービス呼び出しでパスの正規化が一致しないことに起因するACLチェックの迂回を修正しました。メソッドパスの受け入れ条件を狭め、ACLパス処理からpurell依存関係を削除しています。

要対応 (3)

securityサービス呼び出し時のメソッドパス正規化を統一
サービス呼び出しの境界でメソッドパスを正規化します。HTTPおよびgRPCの公開API呼び出しではdirectMessaging.Invoke、gRPCの内部呼び出しではcallLocalValidateACL、プロキシ経由の呼び出しではgRPCプロキシハンドラーを使います。正規化後のパスをACLチェックと送信処理の両方に使うため、両者の不一致が解消されました。
securityメソッドパスの受け入れ条件を変更
メソッドパスの正規化にpath.Cleanを使い、../や重複したスラッシュを解決します。#、?、ヌルバイト、制御文字を含むメソッドパスは受け付けなくなりました。
securityACLパス処理からpurell依存関係を削除
ACLパス処理からpurell依存関係を削除しました。

原文 ↗

Ciliumv1.19.3Networking & Messaging2026年4月15日

ACTION 1OTHER 50分析を詳しく見る

このリリースでは、依存モジュールの更新が行われています。github.com/go-jose/go-jose/v4 を利用する環境が対象です。

要対応 (1)

securitygithub.com/go-jose/go-jose/v4 の v4.1.4 への更新
セキュリティ対応として、依存モジュール github.com/go-jose/go-jose/v4 を v4.1.4 に更新しました。

原文 ↗

Ciliumv1.18.9Networking & Messaging2026年4月15日

ACTION 2OTHER 39分析を詳しく見る

v1.18.9 は、動作の正確性を整える修正と依存関係の更新を含むリリースです。セキュリティに関わる変更も含まれます。

要対応 (2)

security正規表現の $ 文字のエスケープ
正規表現内の $ 文字をエスケープし、インジェクションを防ぐ修正です。
securitygithub.com/go-jose/go-jose/v4 の更新
セキュリティ関連の依存更新として、github.com/go-jose/go-jose/v4 を v4.1.4 に更新しました。

原文 ↗

Keycloak26.6.1Security2026年4月15日

ACTION 2OTHER 9分析を詳しく見る

Keycloak 26.6.1では、HTTPリダイレクト処理とidentity-first loginに関する修正が含まれます。これらの機能を利用する環境に関係するリリースです。

要対応 (2)

securitymediumCVE-2026-4366のHTTPリダイレクト処理におけるSSRF修正
HTTPリダイレクト処理を介したブラインドサーバーサイドリクエストフォージェリ（SSRF）を修正しました。対象はcoreです。
securitylowCVE-2026-4633のユーザー列挙問題の修正
identity-first loginでKeycloakユーザーを列挙できる問題を修正しました。対象はcoreです。

原文 ↗

Daprv1.16.13Orchestration & Management2026年4月15日

ACTION 1CHECK 1OTHER 5分析を詳しく見る

v1.16.13では、セキュリティに関わるGoの更新が行われています。スケジューラの信頼性とPulsarのpub/sub処理に関する修正も含まれます。

要対応 (1)

securityGoバージョンの更新
Goのバージョンが1.25.8から1.25.9に更新されました。

影響確認 (1)

breakingprocessModeの無効値検証
processModeを設定している場合に適用されます。

原文 ↗

Litmus3.28.0Observability2026年4月15日

ACTION 2OTHER 3分析を詳しく見る

不具合修正とセキュリティ対応を含むリリースです。ベースイメージの更新により、Pythonの脆弱性にも対処しています。

要対応 (2)

security同じ種類のプローブ間での古い設定漏えいを防止
同じ種類の複数のプローブを実行した際、古い設定が漏えいしないよう修正しました。
securityベースイメージを ubi9 に更新
フロントエンドのベースイメージを ubi9 に更新し、Pythonの脆弱性を解消しました。

原文 ↗

Rookv1.19.4Storage & Data2026年4月14日

ACTION 1OTHER 6分析を詳しく見る

v1.19.4は、オペレーター向けの機能や設定の変更に加え、依存関係やイメージの更新を含むリリースです。明示的なセキュリティ修正やセキュリティアドバイザリは記載されていません。

要対応 (1)

breakingCOSIサイドカーイメージのデフォルトバージョン更新
COSIサイドカーイメージのデフォルトバージョンが更新されました。

原文 ↗

Backstagev1.50.0CI/CD & App Delivery2026年4月14日

ACTION 4CHECK 22PLAN 6OTHER 274分析を詳しく見る

機能追加と保守更新を含むリリースで、APIやUI、プラグインの変更、非推奨化、デフォルト動作の変更があります。移行が必要な変更に加えて、認証トークンの扱いと依存関係のセキュリティ修正も含まれるため、運用環境やプラグインへの影響確認が必要です。

要対応 (4)

securityhighglobとrollupの脆弱性に対応
globをv13へ、rollupをv4.59以降へ更新しました。旧バージョンのglobの脆弱性と、GHSA-mw96-cpmx-2vgcに該当するrollupのパストラバーサル脆弱性に対応しています。
securityglobをv13へ更新
globの依存バージョンをv7/v8/v11からv13へ更新し、旧バージョンのセキュリティ脆弱性に対応しました。
securityrollupをv4.59以降へ更新
rollupをv4.27からv4.59以降へ更新し、パストラバーサル脆弱性（GHSA-mw96-cpmx-2vgc）を修正しました。
securityOAuth保護リソースURLを修正
.well-known/oauth-protected-resourceのリソースURLをRFC 9728 Section 7.3に準拠する形へ修正し、動的なリソースパスに対応しました。

影響確認 (22)

breakingユーザートークンのentクレームをデフォルトで省略
auth.omitIdentityTokenOwnershipClaimを設定していない場合に該当します。
breakingSignInResolverFactoryOptionsの型パラメーターを変更
SignInResolverFactoryOptionsを使用している場合に該当します。
breakingカタログ権限拡張ポイントを削除
CatalogPermissionRuleInput、CatalogPermissionExtensionPoint、またはcatalogPermissionExtensionPointを使用している場合に該当します。
リリースページにあと 19 件

事前準備 (6)

deprecatedshowとshowModalの内部処理をopenに変更
showまたはshowModalを使用している場合に該当します。
deprecatedauth.omitIdentityTokenOwnershipClaimのfalse設定を非推奨化削除時期は未定
auth.omitIdentityTokenOwnershipClaimを設定している場合に該当します。
deprecated従来のconfig.schema形式を非推奨化
config.schemaを使用している場合に該当します。
リリースページにあと 3 件

原文 ↗

containerdv2.2.3Kubernetes Core2026年4月14日

ACTION 1OTHER 14分析を詳しく見る

このリリースには、spdystream に関する依存関係の更新が含まれています。CVE-2026-35469 に関連する変更です。

要対応 (1)

securityhighspdystream の更新
依存関係の変更対象として spdystream が記録され、CVE-2026-35469 に関する更新が含まれています。

原文 ↗

containerdv2.0.8Kubernetes Core2026年4月14日

ACTION 1CHECK 1OTHER 4分析を詳しく見る

containerd v2.0.8は、セキュリティ面の修正を含むリリースです。依存関係とツールチェーンの更新も含まれます。

要対応 (1)

securityhighspdystreamのセキュリティ更新
CVE-2026-35469に関するspdystreamのセキュリティ更新です。

影響確認 (1)

securityPodイベントのエラー処理修正
Container Runtime Interface (CRI)を通じてPodイベントを利用している場合に適用されます。

原文 ↗

containerdv2.1.7Kubernetes Core2026年4月14日

ACTION 2CHECK 1OTHER 14分析を詳しく見る

CRI、ランタイム、イメージ配布に関する不具合を修正し、依存関係とツールチェーンも更新しています。spdystreamのセキュリティ修正と、Podイベントでの認証情報漏えいを防ぐ修正も含まれます。

要対応 (2)

securityhighspdystreamのセキュリティアドバイザリ追加
CVE-2026-35469およびGHSA-pc3f-x583-g7j2に関するセキュリティアドバイザリが追加されています。
securityhighgithub.com/moby/spdystreamの更新
github.com/moby/spdystreamをv0.5.1に更新しています。

影響確認 (1)

securityPodイベントでの認証情報漏えい防止
Podイベントを使用している場合に該当します。

原文 ↗

← 新しい2026年4月30日 – 2026年4月14日古い →

月別に見る