リリース

要対応 (1)

• breakingQuiesceFailed indication の QuiesceTimeout への変更

  QuiesceFailed の表示が QuiesceTimeout に置き換わります。

要対応 (1)

• securityhighCVE-2025-47913 への対処

  golang/x/crypto を openshift/golang-crypto の修正版モジュールに向ける replace directive が追加され、CVE-2025-47913 に対処しました。

要対応 (13)

• securitycriticalh11の不正なボディ処理を修正

  不正なボディを受け入れるh11の問題として、CVE-2025-43859に対処しました。

• securityhighstarletteを0.49.1に固定

  starletteをバージョン0.49.1に固定し、CVE-2025-62727に対処しました。

• securityhighlightgbmを4.6.0に更新

  lightgbmをバージョン4.6.0に更新し、CVE-2024-43598に対処しました。

• securityhighCVE-2025-66418への対処

  解凍チェーン内のリンク数が無制限になる問題として、CVE-2025-66418に対処しました。

• securityhighexpr-lang/exprをv1.17.7に更新

  expr-lang/exprをv1.17.7に更新し、CVE-2025-68156に対処しました。

• securityhighcryptographyのCVE-2026-26007対策

  cryptographyのsubgroup attackに関するCVE-2026-26007に対処しました。

• securityhighpython-multipartのCVE-2026-24486対策

  python-multipartで任意のファイルを書き込める問題として、CVE-2026-24486に対処しました。

• securitymedium複数のCVEへの対処

  CVE-2025-22872、CVE-2025-47914、CVE-2025-58181に対処しました。

• securityhttps.goのパストラバーサル対策

  https.goでパストラバーサルが発生しないよう修正しました。

• security複数のCVEへの対処

  複数のCVEsに対処しました。

• securityAIOHTTPの自動解凍処理を修正

  AIOHTTPのHTTP Parserにあるauto_decompress機能のzip bomb脆弱性を修正しました。

• securityextractTarFilesのパストラバーサル対策

  extractTarFilesのパストラバーサル脆弱性を修正しました。

• breakingminioからseaweedfsへの置き換え

  minioをseaweedfsに置き換えました。

要対応 (2)

• securityhighgo ツールチェーンの更新

  go ツールチェーンを 1.25.8 に更新し、標準ライブラリの脆弱性 GO-2026-4603 と GO-2026-4601 に対応しました。

• breakingタプル文字列の検証条件変更

  タプル文字列に unicode control characters または null bytes が含まれている場合、タプル検証が失敗するようになりました。

要対応 (8)

• securityhighGRPC Netty ShadedのCVE-2025-55163対応

  GRPC Netty Shaded を更新し、CVE-2025-55163 に対応しました。

• securitymediumZookeeperのCVE-2024-47554対応

  Zookeeper を更新し、CVE-2024-47554 に対応しました。

• securitymediumNimbus Jose JWT 10.0.2への更新

  Nimbus Jose JWT を 10.0.2 に更新し、CVE-2025-53864 に対応しました。

• securitymediumNetty 4.1.130.Finalへの更新

  Netty を 4.1.130.Final に更新し、CVE-2025-67735 に対応しました。

• securitymediumApache Log4J 2.25.3への更新

  Apache Log4J を 2.25.3 に更新し、CVE-2025-68161 に対応しました。

• securitymediumVertx 4.5.24への更新

  Vertx を 4.5.24 に更新し、CVE-2026-1002 に対応しました。

• securitymediumJacksonのGHSA-72hv-8253-57qq対応

  Jackson を更新し、GHSA-72hv-8253-57qq に対応しました。

• securityVert.xとNettyのCVE対応

  0.45.xブランチで、Vert.x と Netty が更新され、CVEへの対応が行われました。

要対応 (1)

• securitymediumTLSハンドシェイク中のDoS対策

  TLSハンドシェイク中に発生する可能性があるサービス拒否（DoS）を修正するため、すべてのコントローラーをGo 1.26.1でビルドします。対象はCVE-2026-27138です。

要対応 (1)

• securityhighOpenTelemetry SDKの更新

  go.opentelemetry.io/otel/sdkをv1.40.0へ更新し、GO-2026-4394に対応しました。

要対応 (1)

• securityバックエンドプラグインのセキュリティ修正

  @backstage/plugin-auth-backend と @backstage/plugin-scaffolder-backend のセキュリティ修正が含まれています。

要対応 (3)

• securitymediumスコープ付き IPv6 アドレスのクラッシュ修正

  スコープ付き IPv6 アドレスで getAddressWithPort() が呼び出された際のクラッシュを修正しました。対象の識別子は CVE-2026-26310 と GHSA-3cw6-2j68-868p です。

• securitymediumJSON の文字列終端処理の修正

  境界を 1 つ超えて書き込む処理を修正し、文字列の null 終端文字が破損する問題に対応しました。対象の識別子は CVE-2026-26309 と GHSA-56cj-wgg3-x943 です。

• securitymedium下流側リセット後の decode* メソッド実行制御

  下流側でリセットされた後に decode* メソッドが実行されないよう修正しました。対象の識別子は CVE-2026-26311 と GHSA-84xm-r438-86px です。

要対応 (3)

• securitymediumスコープ付きIPv6アドレス処理のクラッシュ修正

  CVE-2026-26310（GHSA-3cw6-2j68-868p）に対応し、スコープ付きIPv6アドレスを渡して getAddressWithPort() を呼び出した際のクラッシュを修正しました。

• securitymediumjson のオフバイワン書き込み修正

  CVE-2026-26309（GHSA-56cj-wgg3-x943）に対応し、文字列のnull終端を破損させる可能性があったオフバイワン書き込みを json で修正しました。

• securitymedium下流リセット後の decode* メソッド実行防止

  CVE-2026-26311（GHSA-84xm-r438-86px）に対応し、下流リセット後に decode* メソッドが実行されないよう修正しました。

要対応 (4)

• securityhighRBACの複数値ヘッダーバイパス修正

  CVE-2026-26308（GHSA-ghc4-35x6-crw5）に対応し、RBACで複数値ヘッダーを使ったバイパスを修正しました。

• securitymediumスコープ付きIPv6アドレス処理のクラッシュ修正

  CVE-2026-26310（GHSA-3cw6-2j68-868p）に対応し、スコープ付きIPv6アドレスでgetAddressWithPort()を呼び出した際にクラッシュする問題を修正しました。

• securitymediumJSON処理のオフバイワン書き込み修正

  CVE-2026-26309（GHSA-56cj-wgg3-x943）に対応し、JSON処理で文字列のnull終端子を破損させる可能性があったオフバイワン書き込みを修正しました。

• securitymedium下流リセット後のdecode*メソッド実行制御

  CVE-2026-26311（GHSA-84xm-r438-86px）に対応し、下流接続のリセット後にdecode*メソッドが実行されないよう修正しました。

要対応 (1)

• securitypod eventsでの認証情報漏えい防止

  pod eventsで認証情報が漏えいする問題を防ぎます。

要対応 (4)

• securityhighrbac の複数値ヘッダーバイパスを修正

  rbac における複数値ヘッダーのバイパスを修正しました。対象は CVE-2026-26308（GHSA-ghc4-35x6-crw5）です。

• securitymediumスコープ付きIPv6アドレス処理のクラッシュを修正

  スコープ付きIPv6アドレスで呼び出した際に発生する getAddressWithPort() のクラッシュを network で修正しました。対象は CVE-2026-26310（GHSA-3cw6-2j68-868p）です。

• securitymediumjson のオフバイワン書き込みを修正

  json で、文字列のnull終端子を破壊する可能性があるオフバイワン書き込みを修正しました。対象は CVE-2026-26309（GHSA-56cj-wgg3-x943）です。

• securitymedium下流側リセット後の decode* メソッドをブロック

  下流側のリセット後に decode* メソッドが実行されないよう、http の処理を修正しました。対象は CVE-2026-26311（GHSA-84xm-r438-86px）です。

要対応 (1)

• securitymediumCVE-2026-26309のJSONオフバイワン書き込み修正

  JSON処理で発生するオフバイワン書き込みを修正しました。

要対応 (7)

• securityhighRBACの複数値ヘッダーバイパス修正

  CVE-2026-26308 に対応し、RBAC における複数値ヘッダーのバイパスを修正しました。

• securityhighJWKSリゾルバー障害による認証バイパス修正

  CVE-2026-31837 および GHSA-v75c-crr9-733c に対応し、既知のデフォルトキーを使った認証バイパスにつながる JWKS リゾルバーの障害を修正しました。

• securitymedium下流リセット後のHTTPデコードメソッド処理修正

  CVE-2026-26311 に対応し、下流側のリセット後にHTTPデコードメソッドがブロックされる問題を修正しました。

• securitymediumスコープ付きIPv6アドレス処理のクラッシュ修正

  CVE-2026-26310 に対応し、スコープ付きIPv6アドレスを指定した getAddressWithPort() でクラッシュする問題を修正しました。

• securitymediumJSON処理のオフバイワン書き込み修正

  CVE-2026-26309 に対応し、JSON処理で発生するオフバイワン書き込みを修正しました。

• securitymediumレート制限レスポンスフェーズのクラッシュ修正

  CVE-2026-26330 に対応し、レート制限レスポンスフェーズでクラッシュする問題を修正しました。

• securitymediumデバッグエンドポイントの名前空間越しプロキシデータアクセス修正

  CVE-2026-31838 および GHSA-974c-2wxh-g4ww に対応し、デバッグエンドポイントから別の名前空間にあるプロキシデータへアクセスできる問題を修正しました。

要対応 (3)

• securitymedium下流リセット後のHTTPデコードメソッド処理修正

  CVE-2026-26311 に対応し、下流からのリセット後にHTTPデコードメソッドがブロックされるよう修正しました。

• securitymediumスコープ付きIPv6アドレス使用時のクラッシュ修正

  CVE-2026-26310 に対応し、スコープ付きIPv6アドレスを指定したgetAddressWithPort()のクラッシュを修正しました。

• securitymediumJSONのオフバイワン書き込み修正

  CVE-2026-26309 に対応し、JSONのオフバイワン書き込みを修正しました。

要対応 (2)

• securityhighGo を v1.25.5 に更新

  Go を v1.25.5 に更新し、CVE-2025-61727 と CVE-2025-61729 に対応しました。

• breakingIssuer 参照の kind と group の既定値を変更

  Issuer の参照に使う kind と group の既定値が、v0.19.0 で導入された値から以前の設定に戻りました。

要対応 (1)

• securityプロジェクト作成前に発行されたベアラートークンの拒否

  プロジェクト作成前に発行されたベアラートークンを拒否するよう、セキュリティ関連の検証を変更しました。

要対応 (1)

• securityプロジェクト作成前に発行された bearer token の拒否

  プロジェクト作成前に発行された bearer token を拒否するセキュリティ修正です。

要対応 (1)

• securitygoと依存関係のCVE対応

  goおよび依存関係が更新され、CVEへの対応が行われました。

要対応 (1)

• securityGolang標準ライブラリと共通パッケージの依存関係更新

  Golang標準ライブラリと共通パッケージの脆弱性に関する依存関係更新が含まれています。

要対応 (1)

• breakingpriorities の型を int32 に変更

  priorities の型が文字列から int32 に変更されました。

要対応 (1)

• breakingGo 1.25.7の必須化

  コードベース全体でGoのバージョンを統一し、Go 1.25.7を必須とします。

要対応 (1)

• securityGo 1.25.7の更新

  Go 1.25.7では、go コマンドと crypto/tls パッケージのセキュリティ修正に加え、コンパイラーと crypto/x509 パッケージの不具合修正が行われています。

要対応 (1)

• securityhighGo 1.26.1へのビルド更新

  ビルドに使用するGoをGo 1.26.1へ更新し、CVE-2026-27137、CVE-2026-27138、CVE-2026-27139、CVE-2026-25679、CVE-2026-27142に対応するセキュリティ修正を含めています。

要対応 (2)

• securityhigh公表済み脆弱性への対応

  公表済みの脆弱性2件に対応しました。対象は CVE-2026-27133、CVE-2026-27134、GHSA-2qwx-rq6j-8r6j、GHSA-6x85-j2f7-4xc5 です。

• breakingServerSideApplyPhase1を既定で有効化

  ServerSideApplyPhase1 feature gateがベータに移行し、既定で有効になりました。

要対応 (9)

• security暗号関連依存関係の更新

  x/(net/sync/crypto)を更新し、dvsekhvalnov/jose2goのバージョンを固定しました。

• securityGoの脆弱性修正

  Goの脆弱性を修正しました。

• securityUID確認の対象をrootに限定

  UIDの確認対象をrootだけに更新しました。

• securityHTTPパスマッチングとinvocation自動登録の修正

  HTTPパスのマッチングで発生するcardinality leakを修正し、invocationの自動登録に対応しました。

• securitygolang.org/x/cryptoの更新

  golang.org/x/cryptoを更新しました。

• securitygithub.com/docker/dockerの更新

  github.com/docker/dockerを更新しました。

• securityセキュリティ修正

  セキュリティ修正を追加しました。

• securitygithub.com/coreos/go-oidc/v3の更新

  github.com/coreos/go-oidc/v3を更新しました。

• securityNATSの脆弱性修正

  NATSの脆弱性を修正しました。

要対応 (1)

• securityhighgo.opentelemetry.io 依存関係のセキュリティ修正

  go.opentelemetry.io の依存関係を更新し、GHSA-9h8m-3fm2-qjrq に対する修正を適用しています。

要対応 (2)

• securitycritical報告された脆弱性の修正

  報告された脆弱性を修正するパッチリリースです。特に CVE-2025-68121 への対応が含まれています。

• securitycriticalGo の更新

  CVE-2025-68121 に対応するため、Go を更新しました。

要対応 (3)

• securitycriticalgoの更新

  CVE-2025-68121への対応として、goが更新されました。

• securityhigh報告された脆弱性を修正するパッチリリース

  v1.19.4は、報告された脆弱性を修正するパッチリリースです。CVE-2026-24051とCVE-2025-68121が修正対象として挙げられており、すべてのユーザーにアップグレードが案内されています。

• securityhighotel SDKの更新

  GO-2026-4394への対応として、otel SDKが更新されました。

要対応 (1)

• securitycriticalgrpc-health-probeをv0.4.45へ更新

  grpc-health-probeがv0.4.45に更新され、CVE-2025-68121に対応しました。

要対応 (1)

• breakingクライアントサイド適用移行の失敗を修正

  バージョン 3.3.0 と 3.3.1 で発生していた failed to perform client-side apply migration の問題が修正されました。ServerSideApply=true と ClientSideApplyMigration=false に関係するクライアントサイド適用移行の不具合です。

要対応 (1)

• securitycoredns-plugin のセキュリティ修正反映

  coredns-plugin が、最新のセキュリティ修正を含むものに更新されました。

要対応 (2)

• securitymediumCVE-2026-0707 のAuthorizationヘッダー解析問題を修正

  CVE-2026-0707 に関して、Authorizationヘッダーの解析がセキュリティ制御の回避につながる問題を修正しました。

• securitylowCVE-2025-5416 に関する環境情報の問題を修正

  keycloak-core における環境情報に関する問題を修正しました。

要対応 (1)

• securitycriticalCVE-2025-68121の修正

  CVE-2025-68121を修正しました。

要対応 (1)

• securityhighCVE-2026-27133のセキュリティ修正

  CVE-2026-27133に関するセキュリティ上の不具合が修正されました。

要対応 (1)

• securitycriticalビルド用Goを1.25.7へ更新

  OPAのバイナリとイメージのビルドに使うGoを1.25.7へ更新しました。Go標準ライブラリには、GO-2026-4337の修正が含まれています。

要対応 (7)

• securitygolang.org/x/crypto の v0.45.0 への更新

  セキュリティ修正として、依存モジュール golang.org/x/crypto が v0.45.0 に更新されました。

• securitygithub.com/go-chi/chi/v5 の v5.2.4 への更新

  セキュリティ修正として、依存モジュール github.com/go-chi/chi/v5 が v5.2.4 に更新されました。

• securitygithub.com/sigstore/cosign/v3 の v3.0.4 への更新

  セキュリティ修正として、依存モジュール github.com/sigstore/cosign/v3 が v3.0.4 に更新されました。

• securitygithub.com/theupdateframework/go-tuf/v2 の v2.4.1 への更新

  セキュリティ修正として、依存モジュール github.com/theupdateframework/go-tuf/v2 が v2.4.1 に更新されました。

• securitygithub.com/sigstore/rekor の v1.5.0 への更新

  セキュリティ修正として、依存モジュール github.com/sigstore/rekor が v1.5.0 に更新されました。

• securitygithub.com/sigstore/sigstore の v1.10.4 への更新

  セキュリティ修正として、依存モジュール github.com/sigstore/sigstore が v1.10.4 に更新されました。

• securitygithub.com/quic-go/quic-go の v0.57.0 への更新

  セキュリティ修正として、依存モジュール github.com/quic-go/quic-go が v0.57.0 に更新されました。

要対応 (1)

• securityhighcgoバイナリへのコード混入を防ぐ修正

  GoとC/C++のコメント解析の食い違いによって、生成されるcgoバイナリにコードを紛れ込ませられる問題を修正しました。CVE-2025-61732に対応しています。

要対応 (2)

• securitycriticalcrypto/tlsのセッション再開処理の修正

  crypto/tlsのセッション再開で、初回ハンドシェイク後にClientCAsまたはRootCAsが変更されると、本来は失敗すべき再開ハンドシェイクが成功する問題を修正しました。CVE-2025-68121に対応しています。

• securityhighコメント解析の違いによるコード混入の修正

  GoとC/C++でコメントの解析方法が異なるため、生成されたcgoバイナリにコードを紛れ込ませられる問題を修正しました。CVE-2025-61732に対応しています。