CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
運用者向けの機能追加と既定値の変更を含むリリースです。明示的な CVE やアドバイザリ識別子は含まれていません。
要対応 (1)
breakingistiod の GOMEMLIMIT 自動設定
メモリ管理が改善され、istiod は automemlimit ライブラリを使ってメモリ上限の 90% を GOMEMLIMIT に自動設定します。OOM による強制終了のリスクを抑えながら、パフォーマンスを維持します。
影響確認 (4)
breakingambient mesh の DNS キャプチャを既定で有効化
ambient mesh のワークロードに適用されます。
breakingデバッグエンドポイント認可の既定有効化
ポート 15014 のデバッグエンドポイントに適用されます。
breakingEnvoy メトリクスの HTTP 圧縮を既定で有効化
Prometheus の stats エンドポイントで、クライアントの Accept-Header に応じた Envoy メトリクスを扱う場合に適用されます。
フラグの削除時期が延期され、別のフラグでは非推奨化が取り消されます。依存関係とビルドツールチェーンが更新され、識別子付きのセキュリティアドバイザリに対応します。
要対応 (2)
securityhighgo 1. によるバイナリのコンパイル
バイナリのコンパイルに go 1. を使用します。関連するアドバイザリは CVE-2025-61726、GHSA-gm9r-q53w-2gh4、CVE-2025-61731、GHSA-xvqr-69v8-f3gv、CVE-2025-61732、GHSA-8jvr-vh7g-f8gx です。
securitymediumgolang. の更新
golang. を 0. に更新し、CVE-2025-47914 と CVE-2025-58181 に対応します。
事前準備 (1)
deprecated--max-snapshots の削除延期v3.8で削除予定
--max-snapshots を使用している場合に該当します。
Goの依存関係とツールチェーンをgo 1.へ更新し、CVEと対応するGitHubアドバイザリに対応する内容です。プラットフォームの見出しやインストール手順の記載は、リリース変更ではありません。
要対応 (1)
securityhighgo 1.への更新
go 1.への更新で、CVE-2025-61726に対応します。関連するCVE-2025-61731、CVE-2025-61732と、GHSA-8jvr-vh7g-f8gx、GHSA-gm9r-q53w-2gh4、GHSA-xvqr-69v8-f3gvも対象です。
OpenTelemetry SDKを更新するリリースです。以前のバージョンに関する SNYK-GOLANG-GOOPENTELEMETRYIOOTELSDKRESOURCE-15182758 への対応が含まれます。
要対応 (1)
securityotel/sdk の v1.40.0 への更新
otel/sdk を v1.40.0 に更新し、以前のバージョンに存在する SNYK-GOLANG-GOOPENTELEMETRYIOOTELSDKRESOURCE-15182758 に対応します。
アップグレードが必要なセキュリティ修正を含み、デバッグエンドポイントの利用制限も適用されます。Helmチャートの設定項目追加と、動作の正確性に関する修正も含まれます。
要対応 (1)
securityリソースアノテーションの文字検証
リソースアノテーションの検証で、改行文字と制御文字を拒否するようになりました。テンプレートのレンダリングによって Pod 仕様へコンテナが注入されることを防ぎます。関連する Issue は #58889 です。
影響確認 (2)
securityゲートウェイデプロイメントコントローラーのリソース検証
gateway deployment controller が動作する場合に適用されます。
breakingデバッグエンドポイントの名前空間単位認可
ポート 15014 のデバッグエンドポイントを利用している場合に適用されます。
セキュリティ上の問題を修正しており、該当する環境ではアップグレードが必要です。通常の不具合修正も含まれています。
要対応 (4)
securityhighCVE-2026-1609 による無効化ユーザーのトークン取得を修正
CVE-2026-1609 により、無効化されたユーザーでも JWT Authorization Grant を使ってトークンを取得できる問題を修正しました。
securityhighCVE-2026-1529 による組織間自己登録を修正
CVE-2026-1529 により、偽造した招待用 JWT で組織をまたいだ自己登録が可能になる問題を修正しました。
securityhighCVE-2026-1486 の JWT Authorization Grant の認証バイパスを修正
CVE-2026-1486 により、無効化されたアイデンティティープロバイダーを使った認証が可能になる、JWT Authorization Grant のロジックバイパスを修正しました。
securitymedium/uma-policy/ の所有権チェックを修正
CVE-2025-14778 に関連する /uma-policy/ の所有権チェックの不備を修正しました。
運用者向けの削除、デフォルトや動作の変更、CRDフィールドの追加、設定対応の拡張、依存関係の更新を含むリリースです。セキュリティ脆弱性やアドバイザリの開示はありません。
要対応 (1)
breakingnodes/proxy RBAC有効化設定の削除
不要な nodes/proxy RBACの有効化設定が削除されました。
影響確認 (2)
breakingceph image pull policy のデフォルト設定変更
ceph image pull policy を設定していない場合に適用されます。
breakingautomated node fencing の旧コード削除
automated node fencing が実行される場合に適用されます。
運用者向けの機能追加と保守変更を含むリリースです。DNSプロキシ、インストール、設定、API、メトリクス、データパスに関わる変更に加え、データパスとclustermeshの修正、既定値や互換性の見直し、非推奨機能の整理が行われています。依存関係の更新も含まれます。
要対応 (15)
securitygithub. を v1.7.29 に更新
github. が v1.7.29 に更新されました。
securitygithub. を v2.4.0 に更新
github. が v2.4.0 に更新されました。
securitygithub. を v28.3.3+incompatible に更新
github. が v28.3.3+incompatible に更新されました。
securitygolang. を v0.45.0 に更新
golang. が v0.45.0 に更新されました。
securityhelm. を v3.18.4 に更新
helm. が v3.18.4 に更新されました。
securityhelm. を v3.18.5 に更新
helm. が v3.18.5 に更新されました。
breakingplpmtud の既定値を blackhole に変更
plpmtud の既定値が blackhole（blackhole-detected）になりました。
breakingAddressScopeMax の既定値を254に変更
AddressScopeMax の既定値が254（ホストスコープ）に変わり、新しいGKEメタデータサーバーとHCPのユースケースに対応しました。関連する設定は --local-max-addr-scope です。
breakingtls authMode の既定値を migration に変更
tls authMode の既定値が migration になりました。
breakingcni の削除タイムアウトを1.5秒に短縮
cni の削除時のタイムアウトが1.5秒に短縮されました。
breakingpolicy-default-local-cluster を既定で設定
policy-default-local-cluster が既定で設定されるようになりました。
breakinghost firewall bypassを既定で無効化
host firewall bypassが既定で無効になりました。
breakingFQDNのmatchpattern sanitizationを厳密化
FQDNのmatchpattern sanitizationが見直され、条件がより厳密になりました。
breakingcilium_host 経由の暗号化トラフィック転送を削除
暗号化トラフィックを cilium_host 経由で転送しなくなりました。
breakingコンテナイメージへのCNI設定ファイルの同梱を削除
コンテナイメージにCNI設定ファイルをインストールしなくなりました。
影響確認 (30)
breakingネットワークポリシーの既定クラスタをローカルに変更
ネットワークポリシーのセレクターで cluster を設定していない場合に適用されます。
breakingCiliumBGPPeeringPolicy v1 APIのサポートを削除
CiliumBGPPeeringPolicy を使用している場合に適用されます。
breakingMutual Authentication を既定で無効化
Mutual Authentication を有効にしている場合に適用されます。
事前準備 (7)
deprecated--enable-ipsec-encrypted-overlay を非推奨化削除時期は未定
--enable-ipsec-encrypted-overlay を使用している場合に適用されます。
deprecatedToRequires と FromRequires を非推奨化
ToRequires または FromRequires を使用している場合に適用されます。
deprecatedHelm valuesでのTLS証明書とキーの指定を非推奨化
Helm valuesでTLS証明書またはキーを渡している場合に適用されます。
Crossplane v2.1.4では、共有トランジティブ依存関係を更新できない問題を修正し、依存関係のセキュリティ修正を取り込みました。依存関係の更新内容が利用環境に関係する場合は、このリリースの変更対象です。
要対応 (4)
securitygithub.をv0.57.0へ更新
github.をv0.57.0へ更新し、セキュリティ修正を取り込みました。
securitysigstore依存関係のCVE修正
sigstoreの依存関係を更新し、CVEを修正しました。
securitygithub.をv2.4.1へ更新
github.をv2.4.1へ更新し、セキュリティ修正を取り込みました。
securitygithub.をv5.2.4へ更新
github.をv5.2.4へ更新し、セキュリティ修正を取り込みました。
依存関係の更新を含むリリースです。セキュリティに関わるモジュール更新が行われています。
要対応 (1)
securitygithub. の v2. への更新
セキュリティ対応として、モジュール github. を v2. に更新しました。
v1.20.5は、依存関係のアップグレードに関する不具合修正と、セキュリティ対応を含む依存関係の更新を行うリリースです。依存関係の管理や sigstore を利用する環境に関係します。
要対応 (1)
securitysigstore 依存関係の更新によるCVE修正
sigstore の依存関係を更新し、CVEの修正に対応しました。変更は #7066 に基づいています。
v1.18.5は、アップグレードを要するセキュリティ修正を含むリリースです。全ユーザー向けに最新リリースへの更新が案内されています。
要対応 (1)
securitymediumGHSA-gx3x-vq4p-mhhv のDoS問題を修正
GHSA-gx3x-vq4p-mhhv に関するDoS問題を修正しました。全ユーザーに最新リリースへのアップグレードが案内されています。
機能、動作、性能、連携、依存関係に関わる更新を含み、CEL とポリシー機能の追加やコントローラーと API の不具合修正が行われています。詳細が公開されていないセキュリティ修正も含まれるため、運用環境ではアップグレードを優先し、互換性の観点から動作変更を確認するリリースです。
要対応 (2)
securityセキュリティ脆弱性への対処
セキュリティ脆弱性に対処しました。
securitykubectl image の更新による CVEs 対応
kubectl image を更新し、CVEs に対処しました。
影響確認 (2)
breakingnamespaced CEL policy types のリソースアクセス制限
namespaced CEL policy types を使用している場合に適用されます。
breakingVAP/MAP reporting の既定動作変更
VAP/MAP reporting を使用している場合に適用されます。
Argo v3.3.0 は、同期やリソース操作など運用に関わる機能の変更と、保守更新を含むリリースです。依存コンポーネントの更新も含まれるため、該当する設定や利用環境では変更内容の確認が必要です。
要対応 (3)
securityk8s. の v1.34.2 への更新
依存モジュール k8s. が v1.34.2 に更新されました。
securityhelm の v3.19.4 への更新
helm が v3.19.4 に更新されました。更新理由として CVE が記載されています。
securityredis の安定版更新
redis が最新の安定版へ更新され、脆弱性の解消が図られました。
影響確認 (1)
breaking--self-heal-backoff-cooldown-seconds フラグの削除
アプリケーションコントローラーの設定で --self-heal-backoff-cooldown-seconds を使用している場合に該当します。
V2 Data Engine の成熟に伴う機能や動作の更新に加え、V2 Backing Image の非推奨化、依存関係の更新、多数の修正が含まれます。hotfix image への置き換えも行われます。セキュリティアドバイザリの記載はありませんが、SPDK v25. のCVE issue修正が含まれています。
要対応 (1)
securitySPDK v25. の CVE issue を修正
SPDK v25. の CVE issue が修正されます。
影響確認 (7)
breakingLonghorn instance manager の hotfix image への置き換え
longhornio/longhorn-instance-manager:v1. を使用している場合に適用されます。
breakingLonghorn manager の hotfix image への置き換え
longhornio/longhorn-manager:v1. を使用している場合に適用されます。
breakingbackupstore 関連設定の削除
backupstore 関連の設定を構成している場合に適用されます。
事前準備 (2)
deprecatedV2 Data Engine の Backing Image 機能を非推奨化v1.12.0で削除予定
Backing Image と V2 Data Engine を使用している場合に適用されます。
deprecatedV2 Backing Image Feature の非推奨化
V2 Backing Image Feature を使用している場合に適用されます。
設定と可観測性に関する機能が加わり、スロットリングとメトリクスの挙動が変わります。複数の正確性の不具合と、ポリシー適用の不備に関するセキュリティ修正も含まれます。
要対応 (2)
securitymediumポリシー適用の不備を修正
ポリシー適用の不備を修正しました。対象は CVE-2026-24851 と GHSA-jq9f-gm9w-rwm9 で報告されています。
breakingカスタム grpc_prometheus フォークの置き換え
カスタム grpc_prometheus フォークを go-grpc-middleware のプロバイダーに置き換えました。このメトリクスからカスタムの grpc_code ラベルを削除しました。
Version 26.5.2では、セキュリティ修正に加えて、通常の不具合修正と機能改善も行われています。セキュリティ修正に関して、運用者に求められる追加設定変更は明示されておらず、アップグレードが対応内容です。
要対応 (3)
securitymediumnetty-codec-http のリクエストスマグリング脆弱性の修正
netty-codec-http における CVE-2025-67735 の、CRLFインジェクションを利用したリクエストスマグリングの脆弱性が修正されています。
securitymediumQuarkus RESTワーカースレッド枯渇の脆弱性の修正
io. における CVE-2025-66560 の、Quarkus RESTワーカースレッド枯渇の脆弱性が修正されています。
securitymedium無効化ユーザーへの不正なトークン発行の修正
keycloak-services における CVE-2025-14559 の、無効化されたユーザーに不正なトークン発行を許してしまうビジネスロジックの欠陥が修正されています。
動的モジュール、フィルター、ルーティング、可観測性、証明書に関する機能が拡充されています。HTTPリセットのデフォルトとリセット処理が変わり、OpenTelemetryアクセスログの common_config フィールドは移行が必要な非推奨項目になりました。
要対応 (1)
breakingランタイムガードとレガシーコードパスの削除
複数のランタイムガードとレガシーコードパスが削除されました。
影響確認 (2)
breakingHTTPリセットコードのデフォルト変更
適用対象はリリースノートに明記されていません。
breaking上流プロトコルエラーのリセット処理変更
適用対象はリリースノートに明記されていません。
事前準備 (1)
deprecatedOpenTelemetryアクセスログの common_config 非推奨化
common_configを設定している場合に適用されます。
Native Histogramsの扱いが変わり、API、フラグ、メトリクス、PromQL、TSDB、UIにわたる機能追加と改善が含まれています。セキュリティアドバイザリやセキュリティ固有の修正は確認されていません。
要対応 (1)
breakingTSDB status endpoint の統計セット数上限
TSDB status endpoint が返す統計セットの最大数は10,000に制限されます。
影響確認 (1)
breakingNative Histogram の収集設定変更
scrape_native_histograms を設定して exporter から Native Histogram サンプルを収集する場合に該当します。
運用者向けの機能追加、既定値や制限の変更、不具合修正、依存関係とイメージの更新を含むリリースです。見出しやメタデータ、内部向けの変更、重複した記載は対象外です。
要対応 (1)
breakingサービスアカウント権限の制限とサンプルファイルの追加
サービスアカウントの権限を制限し、samples/juicefs/read_job. のサンプルファイルを追加しました。
影響確認 (1)
breakingランタイムエンジンの SYS_ADMIN capability 削除
ランタイムエンジンを利用している場合に適用されます。
セキュリティ関連の修正を含むリリースです。依存関係の更新が含まれるため、該当する構成を利用している場合に関係します。
要対応 (1)
securityhighgolang-jwt の更新による CVE-2025-30204 対応
CVE-2025-30204 に対応するため、golang-jwt を更新しました。
