CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
containerd v1.7.31は、spdystreamのセキュリティ修正と、Pod イベントに関わるエラー処理の修正を含むリリースです。Pod イベントを利用する環境では、エラー返却時の認証情報の扱いが変わります。
要対応 (1)
securityhighspdystreamのCVE-2026-35469対応
spdystreamに関するCVE-2026-35469のセキュリティ修正です。
影響確認 (1)
securityPod イベントにおけるエラー内容のサニタイズ
Pod イベントを利用している場合に適用されます。
Kubernetes ネイティブなサービスルーティングへの移行を軸に、関連する CRD フィールド、Helm、NATS 初期化、ランタイムゲートウェイ経路に関わる更新を含みます。多くの変更はアップグレードで反映されますが、非推奨となったゲートウェイ設定と削除されたチャートの挙動には対応が必要です。
要対応 (1)
breakingchart. の appVersion を使うデフォルトタグの削除
chart. の appVersion を使うため、デフォルトタグが削除されました。
影響確認 (1)
breakingruntime-gateway から Kubernetes ネイティブな Service ルーティングへ移行
runtime-gateway を使用している場合に該当します。
事前準備 (1)
deprecatedHelm の gateway セクションを非推奨化
gateway を設定している場合に該当します。
新しいHelm v4（server-side apply）対応と、正確性に関する多数の修正が含まれています。HTTP経由で取得するWASMバイナリでは、これまで受け入れられていた入力にもサイズ制限が適用されるため、運用環境の確認が必要になる場合があります。セキュリティアドバイザリや、明示的に説明された脆弱性は含まれていません。
要対応 (1)
breakingWASMバイナリの展開後サイズ制限
HTTP経由で取得するWASMバイナリについて、gzip展開後のサイズ制限が適用されるようになりました。
このリリースには、報告された脆弱性に対応するgo依存関係の更新が含まれます。個別のアドバイザリ情報は示されていません。
要対応 (1)
security報告された脆弱性を含むgo依存関係の更新
報告された脆弱性に対応するため、go依存関係が更新されました。変更は#8704に関連します。
セキュリティ関連の更新を含むリリースです。個別の脆弱性や修正内容は示されていません。
要対応 (1)
securityvulnerability-updates の更新
セキュリティ関連の変更として、vulnerability-updates が更新されました。
セキュリティ関連のvulnerability-updatesが更新されています。更新内容の詳細は各Issueとコミットで確認できます。
要対応 (2)
securityvulnerability-updatesの更新
vulnerability-updatesを更新しました。関連するIssueは#1933、コミットは04338dcです。
securityvulnerability-updatesの更新
vulnerability-updatesを更新しました。関連するIssueは#1934、コミットは40d444aです。
脆弱性更新に関する変更が含まれています。変更内容は vulnerability-updates の更新として記録されています。
要対応 (2)
securityvulnerability-updates の更新
vulnerability-updates を更新しました。関連する追跡項目は #1933 で、コミットは 04338dc です。
securityvulnerability-updates の更新
vulnerability-updates を更新しました。関連する追跡項目は #1934 で、コミットは 40d444a です。
セキュリティ修正を含むため、アップグレードが必要です。プラグイン読み込み時のエラー処理も変更されています。
要対応 (1)
securitymediumGHSA-hr2v-4r36-88hr の修正
GHSA-hr2v-4r36-88hr に関するセキュリティ修正です。
影響確認 (2)
securityhighGHSA-q5jf-9vfq-h4h7 に関するプラグイン検証の修正
プラグインを使用している場合に該当します。
securityhighGHSA-vmx8-mqv2-9gmg に関するパス検証の修正
プラグインを使用している場合に該当します。
このリリースでは、Goのバージョンが更新されています。複数の公開済みCVEへの対応を含むため、Goのバージョンを確認する環境に関係します。
要対応 (1)
securitycriticalGo 1.への更新
Goを1.へ更新し、CVE-2026-32282、CVE-2026-32289、CVE-2026-33810、CVE-2026-27144、CVE-2026-27143、CVE-2026-32288、CVE-2026-32283、CVE-2026-27140、CVE-2026-32281に対応しました。
このリリースでは、Goの更新により複数のCVEに対応しています。Goを1.へ更新する内容です。
要対応 (1)
securitycriticalGo 1.25.9への更新
Goを1.へ更新し、CVE-2026-32282、CVE-2026-32289、CVE-2026-27144、CVE-2026-27143、CVE-2026-32288、CVE-2026-32283、CVE-2026-27140、CVE-2026-32281に対応しています。
このリリースでは、OPAのバイナリとイメージをビルドするGoのバージョンが更新されています。更新先には複数のセキュリティ修正が含まれます。
要対応 (1)
securityビルド用Goの1.への更新
OPAのバイナリとイメージのビルドに使うGoのバージョンが1.へ更新されました。このGoバージョンには複数のセキュリティ修正が含まれています。
運用者向けの機能追加と保守改善に加え、設定やデプロイ方法、性能、既定値に関する変更を含むリリースです。Token Exchange v1 の非推奨化に加え、認可回避、IDやURLの扱い、SCIMのアクセス制御、フィッシング対策、UMAトークン検証に関する修正も含まれます。
要対応 (6)
securityパスワードとOTPのブルートフォース保護の分離
パスワードと OTP のブルートフォース保護が分離され、OTP バイパス攻撃を防ぐ設定がデフォルトになりました。
securityResourceAdminManagerのURL構築検証の修正
ResourceAdminManager で、Matrix Parameter InjectionによるURLが検証されないまま構築される問題が修正されました。
securityクライアント取得時のフィッシング対策チェックの修正
クライアント取得時にanti-ID phishingチェックが欠落していた問題が修正されました。
breakingゼロダウンタイムパッチリリースの既定有効化
zero-downtime patch releases がサポート対象となり、デフォルトで有効になります。
breakingKubernetes向けトラストストア設定の既定有効化
--truststore-kubernetes-enabled の動作がデフォルトで有効になりました。
breakingnot-before検証の既定値変更
not-before検証のデフォルト値が0秒から10秒に変更されました。
影響確認 (7)
securityWorkflows 実行時の管理権限境界回避の修正
Workflows を使用している場合に該当します。
securityOrganizationsログイン時のIdPエイリアス漏えいの修正
Organizations を使用している場合に該当します。
securitySCIM PUTエンドポイントのID上書きによるリソース変更の修正
SCIM を使用している場合に該当します。
事前準備 (1)
deprecatedToken Exchange v1 の非推奨化
Token Exchange v1 を使用している場合に該当します。
core/v0.15.1では、依存モジュールの更新が行われています。github.のセキュリティ対応を含むリリースです。
要対応 (1)
securitygithub.のv4.1.4への更新
github.をv4.1.4へ更新しました。セキュリティ対応に伴う変更です。
このリリースでは、セキュリティ対応として依存モジュールを更新しています。脆弱性の内容は公開されていません。
要対応 (1)
securitygithub.をv4.1.4へ更新
github.をv4.1.4へ更新しました。
このリリースでは、github. を v4.1.4 に更新しています。セキュリティ対応を含むため、同モジュールを利用する環境に関係します。
要対応 (1)
securitygithub. の更新
セキュリティ対応として、github. を v4.1.4 に更新しました。
運用者向けメトリクスの追加、ListObjectsの性能変更、Playgroundの認証制約と非推奨化が含まれます。PostgreSQLおよびListObjectsの不具合修正に加え、BatchCheckのポリシー適用不備に関するセキュリティ修正も行われています。
要対応 (1)
securitymediumBatchCheckのポリシー適用不備を修正
同じタプルに対する複数のチェックを含むBatchCheck呼び出しで、ポリシーが正しく適用されない問題を修正しました。CVE-2026-34972およびGHSA-jwvj-g8pc-cx45に関係する修正です。
影響確認 (1)
breakingPlaygroundの認証方式をnoneに限定
Playgroundをpresharedキー認証で実行している場合に適用されます。
事前準備 (2)
deprecated組み込みOpenFGA Playgroundの非推奨化削除時期は未定
組み込みのOpenFGA Playgroundを使用している場合に適用されます。
deprecatedPlaygroundポート設定の非推奨化
--playground-portまたはOPENFGA_PLAYGROUND_PORTを設定している場合に適用されます。
公開された7件のセキュリティ脆弱性を修正し、Quarkusの依存関係を更新しています。Hostヘッダーのないリクエストで未捕捉エラーが発生する不具合も修正しました。
要対応 (1)
securitymediumCVE-2026-1002の静的ファイルアクセス拒否を修正
静的ファイルへのアクセスを拒否できる、io.の静的ハンドラーコンポーネントキャッシュの操作を修正しました。
影響確認 (6)
securityhighCVE-2026-4634のScope ProcessingによるDoSを修正
Scope Processingを利用している場合に該当します。
securityhighCVE-2026-4636のUMAポリシーリソース注入を修正
UMAを利用している場合に該当します。
securityhighCVE-2026-3872のリダイレクトURI検証回避を修正
OIDCを利用している場合に該当します。
セキュリティ対応と、PulsarおよびSchedulerの動作修正を含むリリースです。PulsarではAvroとJSONスキーマ処理、Schedulerではクラスタ復旧に関する不具合が扱われています。
要対応 (1)
securitycriticalgRPC依存関係の更新
google.の依存関係を、CVE-2026-33186を解消するバージョンに更新しました。
影響確認 (2)
breakingrawPayload指定時の公開制約
CloudEventsでラップされたトピックにrawPayloadが設定されている場合に適用されます。
breakingJSONスキーマの構造検証
.を設定している場合に適用されます。
このリリースでは、不具合の修正と依存関係の更新が行われています。google. の脆弱性については、スキャナーによる報告以外の詳細は公開されていません。
要対応 (1)
securitygoogle. の更新
スキャナーが報告した脆弱性への対応として、google. を更新しました。この脆弱性は cert-manager には影響しないものの、スキャナーの報告を受けて更新されています。
運用時の互換性に関わる変更に加え、CVEに対応する依存関係の更新、複数の不具合修正、新しいサービス機能とアーキテクチャ対応が含まれます。Helm chartや設定を利用している環境では、既存の運用方法に影響する変更があります。
要対応 (1)
security依存関係とPythonインタープリターを更新
CVEを解消するため、多数の依存関係とPythonインタープリターが更新されました。
影響確認 (6)
breakingカスタムエラーレスポンスとヘッダーケース変更機能の削除
Ambassador Edge Stackのカスタムエラーレスポンスまたはヘッダーケース変更機能を使用している場合に適用されます。
breakingHelm chartとEmissaryのバージョン番号を統一
Helm chartを使用している場合に適用されます。
breakingHelm chartの配布先をGHCRに限定
EmissaryのHelm chartを使用している場合に適用されます。
このリリースでは、依存関係の更新によって既知のCVEへの対応が行われています。該当する依存関係を利用している環境に関係する変更です。
要対応 (2)
securitycriticalgoogle. の更新
google. の依存関係が、CVE-2026-33186 を解消するバージョンへ更新されました。
securitymediumgolang. の更新
golang. が v0.25.0 から v0.38.0 に更新され、CVE-2026-33809 が解消されました。
インストール用スクリプトの扱いが変わり、GoツールチェーンとJSON-RPC依存関係が更新されています。ダッシュボードとWebhookの不具合が修正され、GoおよびUIパッケージには脆弱性修正が含まれています。
要対応 (2)
securitygoパッケージの更新
脆弱性を修正するため、goパッケージを更新しました。
securityuiパッケージの更新
脆弱性を修正するため、uiパッケージを更新しました。
影響確認 (1)
breakinginstall.の削除
install.を使用している場合に該当します。
事前準備 (1)
deprecatedinstall.の非推奨化
install.を使用している場合に該当します。
セキュリティ修正に加え、運用者の対応が必要になる権限や利用条件の変更、依存関係マニフェストの記載が含まれます。通常の正確性修正と改善も行われています。
要対応 (1)
breakingJWTのサイズ上限を1MBに変更
JWTのサイズ上限を1MBに設定しました。#7960に対応しています。
影響確認 (13)
securityhighMQTTに関する脆弱性の修正
MQTTを利用している場合に適用されます。
securityhighleafnodesに関する脆弱性の修正
leafnodesを利用している場合に適用されます。
securityhighコマンドラインで渡す認証情報に関する脆弱性の修正
コマンドラインで認証情報を渡している場合に適用されます。
開示済みのCVE識別子に関するセキュリティ修正に加え、正確性の修正、検証と権限制約の強化が含まれています。依存関係とツールチェーンも更新されています。
要対応 (1)
breakingJWTのサイズ上限を1MBに変更
JWTのサイズ上限を1MBに設定しました。
影響確認 (11)
securityhighMQTTに関するCVE-2026-33216、CVE-2026-33217、CVE-2026-33215の修正
MQTTを利用している場合に適用されます。
securityhighleafnodesに関するCVE-2026-33218の修正
leafnodesを利用している場合に適用されます。
securityhighコマンドラインの認証情報に関するCVE-2026-33247の修正
コマンドラインで認証情報を設定している場合に適用されます。
セキュリティ対応の依存関係更新と、例示マニフェストの設定変更が含まれます。互換性テストの対象はKubernetes 1.32から1.34です。
要対応 (2)
securitycriticalgoogle.をv1.79.3へ更新
google.をv1.79.3へ更新しました。この更新はCVE-2026-33186（GHSA-p77j-4mvh-x3m3）に対応しますが、Contourは影響を受けません。
securityEnvoyをv1.35.9へ更新
セキュリティ脆弱性への対応として、Envoyをv1.35.9へ更新しました。
影響確認 (1)
breaking例示マニフェストのhostPort: 8002を削除
例示マニフェストでhostPortを使用している場合に適用されます。
依存関係の更新とサンプルマニフェストの変更を含むリリースです。Kubernetes 1.31から1.33でテストされており、運用者向けに単独の変更を伴わない見出しもあります。
要対応 (2)
securitycriticalgoogle.をv1.に更新
google.をv1.に更新します。この更新はCVE-2026-33186に対処していますが、Contourは影響を受けません。
securityEnvoyをv1.に更新
Envoyをv1.に更新し、セキュリティ上の脆弱性に対処するとともに安定性を改善します。
影響確認 (1)
breakingサンプルマニフェストのhostPort: 8002を削除
hostPort: 8002をサンプルマニフェストで設定している場合に適用されます。
依存関係の更新と、example manifestsの設定変更を含むリリースです。Kubernetes 1.30から1.32までの範囲でテストされています。
要対応 (2)
securitycriticalgoogle.のv1.への更新
google.をv1.へ更新します。この更新にはCVE-2026-33186への対応が含まれますが、Contourは影響を受けません。
securityEnvoyのv1.への更新
Envoyをv1.へ更新します。
影響確認 (1)
breakingexample manifestsからのEnvoyメトリクス設定削除
example manifestsでhostPort: 8002を使用している場合に適用されます。
v2.0.0では、CRDの配置先が/crdsに変わりました。依存関係のロックファイルも更新され、RUSTSEC-2026-0007への対応が含まれています。
要対応 (2)
securitymediumRUSTSEC-2026-0007に対応するロックファイル更新
依存関係のロックファイルを更新し、RUSTSEC-2026-0007に対応しました。
breakingCRDの配置先を/crdsへ変更
CRDの配置先をtemplates/crdsから/crdsへ移しました。
バージョン管理、対応する Kubernetes と PSS の構成、インストール動作、同梱コンポーネントのバージョンが変わります。Kubernetes 1.の要件と Pod Security enforcement の既定値変更を除き、アップグレード後に追加の設定変更は必要ありません。
要対応 (1)
breakingPod Security enforcement の既定値変更
Pod Security enforcement の既定値が baseline に変わります。
影響確認 (1)
breaking対応する Kubernetes バージョン
Kubernetes 1.を使用している場合に適用されます。
認可回避の修正と、脆弱性に対応した依存関係およびツールチェーンの更新を含むリリースです。正確性に関する修正も含まれますが、オペレーターの設定変更や非推奨化の告知はありません。
要対応 (4)
securitycriticalgoogle. を 1.79.3 に更新
google. を 1.79.3 に更新し、CVE-2026-33186 に対応しました。
securityhigh複数 API の認可回避を修正
etcd server の複数の API で発生していた認可回避を修正しました。CVE-2026-33413 および GHSA-q8m4-xhhv-38mg に対応しています。
securityhighgo. を v1.40.0 に更新
go. を v1.40.0 に更新しました。GO-2026-4394 に対応しています。
securityhighgolang. を v0.51.0 に更新
golang. を v0.51.0 に更新し、GO-2026-4559 に対応しました。
影響確認 (1)
securitylowネストしたトランザクションの RBAC 認可チェックを修正
ネストした etcd トランザクションと RBAC を使用している場合に該当します。
通常の不具合修正に加え、公開済みのセキュリティ修正とセキュリティ対応の依存関係更新が含まれます。対応はアップグレードで行え、運用者による再設定は明示的に必要とされていません。
要対応 (3)
securitycriticalgoogle. を 1. に更新
CVE-2026-33186 に対応するため、google. を 1. に更新しました。
securityhighgo. を v1. に更新
GO-2026-4394 に対応するため、go. を v1. に更新しました。
securityhighgolang. を v0. に更新
GO-2026-4559 に対応するため、golang. を v0. に更新しました。
影響確認 (2)
securityhigh未認証エンドポイントの認証チェックを強化
未認証エンドポイントを使用している場合に適用されます。
securitylowネストしたトランザクション操作の認証チェックを強化
ネストしたトランザクション操作を使用している場合に適用されます。
認証チェックの適用により、APIとネストしたトランザクション操作に関わる認可バイパスが修正されています。依存関係も更新されているため、セキュリティ対応を確認している運用環境に関係するリリースです。
要対応 (4)
securitycriticalgoogle.を1.へ更新
google.を1.へ更新し、CVE-2026-33186の問題に対応しました。
securityhigh未認証エンドポイントの認証チェック
認証されていないエンドポイントに認証チェックを適用し、複数のAPIで発生していた認可バイパスを修正しました。対象はCVE-2026-33413およびGHSA-q8m4-xhhv-38mgです。
securityhighgolang.をv0.へ更新
golang.をv0.へ更新し、GO-2026-4559の問題に対応しました。
securitylowネストしたトランザクション操作のRBAC認可チェック
ネストしたetcdトランザクション操作でも認証チェックを強制し、RBACの認可チェックを回避できる問題を修正しました。対象はCVE-2026-33343およびGHSA-rfx7-8w68-q57qです。
レジストリ、キャッシュ、署名、プロファイリング、設定、互換性に関する機能が追加され、依存関係や基盤コンポーネントの更新、各種不具合の修正も含まれています。GCRレプリケーションの削除とプロキシキャッシュの動作変更があるため、これらを利用している環境では影響を確認してください。アドバイザリ識別子は提供されていません。
要対応 (2)
securityプロジェクト作成前に発行された bearer tokens の拒否
プロジェクト作成前に発行された bearer tokens は拒否されるようになりました。
breakingwebhook event check 用 harbor IP のポート 9443 削除
webhook event check 用の harbor IP からポート 9443 が削除されました。
影響確認 (2)
breakingpull-through cache から proxy cache への変更
Harborで pull-through cache を使用している場合に適用されます。
breakingGCR replication の削除
Harborで GCR replication を使用している場合に適用されます。
Go 標準ライブラリのセキュリティ修正、Go ツールチェーンの更新、Configuration CRD の変更、新しい RavenDB ステートストア登録を含むリリースです。pub/sub、スケジューラー、サービス呼び出し、ワークフロー、アクター、会話コンポーネント、ステートストア、Sentry にも正確性と性能に関する修正があります。
要対応 (3)
securityhighGo 1. へのツールチェーン更新
リポジトリ内のすべてのモジュールと Docker イメージで、Go ツールチェーンを 1.24.13 から Go 1. に更新しました。
securitymediumGO-2026-4603 に対応した html/template の URL エスケープ修正
html/template の meta content 属性で URL のアクションがエスケープされず、細工した URL によってクロスサイトスクリプティングが発生する可能性を修正しました。
securitylowGO-2026-4602 に対応した os. の境界逸脱修正
os の FileInfo が Root の外へ抜け、想定したディレクトリ境界の外にあるファイルへアクセスできる可能性を修正しました。
影響確認 (2)
securityhighGO-2026-4601 に対応した IPv6 ホストリテラル解析の修正
net/url を使用している場合に適用されます。
breakingstateRetentionPolicy の Configuration CRD スキーマ修正
stateRetentionPolicy を設定している場合に適用されます。
エージェントバージョンの報告、TLSポリシーの挙動、性能、複数の不具合が更新され、セキュリティ修正も含まれます。セキュリティに関する変更はアップグレードが必要で、その他の修正は該当するデプロイメントを利用している場合を除き情報提供です。
要対応 (1)
securityエージェントレベルでのセレクター記録停止
機密情報が漏えいする可能性を避けるため、エージェントレベルでセレクターをログに記録しなくなりました（#6732）。
影響確認 (1)
securityサーバーTCPエンドポイントのTLSセッションチケット無効化
サーバーのTCPエンドポイントを使用している場合に適用されます。
