リリース

影響確認 (2)

• breakingenvoy.network.connection_balance.dlb の削除

  envoy.network.connection_balance.dlb を使用している場合に適用されます。

  ソースアーカイブの問題を受け、Intel DLB接続バランサーである envoy.network.connection_balance.dlb を、すべてのビルドとプラットフォームでBazelレイヤーから無効にしました。

• breakingTLS証明書圧縮の既定値変更

  envoy.reloadable_features.tls_certificate_compression_brotli を設定していない場合に適用されます。

  envoy.reloadable_features.tls_certificate_compression_brotli のランタイムガードを、既定で無効にしました。

影響確認 (16)

• securityhighREQUESTED_SERVER_NAME設定時のクラッシュ修正

  REQUESTED_SERVER_NAMEを設定している場合に該当します。

  CVE-2026-47220（GHSA-j9wh-4qfm-wf2v）に対応し、REQUESTED_SERVER_NAME の設定時に発生するクラッシュを修正しました。

• securityhighzstd RLE zip bombの修正

  zstdに依存している場合に該当します。

  CVE-2026-48044（GHSA-m3p9-47wh-88wg）に対応し、zstdのRLE zip bombを修正しました。

• securityhigh深くネストしたJSONのスタックオーバーフロー修正

  JSONを使用している場合に該当します。

  CVE-2026-48042（GHSA-f24p-rxw2-g6pv）に対応し、深くネストしたJSONのデストラクターで発生するスタックオーバーフローを修正しました。

• リリースページにあと 13 件

影響確認 (15)

• securityhighzstd の RLE zip bomb 対策

  zstd を使用している場合に適用されます。

  zstd の RLE zip bomb に関する問題を修正しました。CVE-2026-48044 に対応しています。

• securityhighHTTP/3 から HTTP/1 へのリクエストスマグリング修正

  HTTP/3 と HTTP/1 を使用している場合に適用されます。

  HTTP/3 から HTTP/1 へのリクエストで、Content-Length が0以外のヘッダーのみのリクエストを使ったリクエストスマグリングを修正しました。CVE-2026-48743 に対応しています。

• securityhighcom_github_wasmtime の更新

  wasm を使用している場合に適用されます。

  wasm の依存関係 com_github_wasmtime を更新し、CVE-2026-47261 に対応しました。

• リリースページにあと 12 件

影響確認 (14)

• securityhighzstd RLE zip bombの問題を修正

  zstd を使用している場合に該当します。

  zstd のRLE zip bombに関する問題を修正しました。CVE-2026-48044 および GHSA-m3p9-47wh-88wg に対応しています。

• securityhighHTTP/3 のコンテンツ長検証を修正

  HTTP/3 を使用している場合に該当します。

  HTTP/3 のヘッダーだけで構成されたリクエストとレスポンスで、コンテンツ長が検証されない問題を修正しました。CVE-2026-48743 および GHSA-8phg-2h2q-jgxf に対応しています。

• securityhighwasmのcom_github_wasmtimeを更新

  wasm を使用している場合に該当します。

  wasmで使用するcom_github_wasmtimeを更新し、CVE-2026-47261 に対応しました。

• リリースページにあと 11 件

影響確認 (4)

• securityhighHTTP/2ヘッダー制限へのCookie計上

  HTTP/2を使用しており、envoy.reloadable_features.http2_include_cookies_in_limitsを有効にしていない場合に適用されます。

  設定した最大ヘッダーリストサイズに違反したHTTP/2ストリームをリセットするようになりました。非圧縮Cookieも mutable_max_request_headers_kb と max_headers_count の制限に加わり、HPACK cookie-bombによる過剰なメモリ使用を防ぎます。envoy.reloadable_features.http2_include_cookies_in_limits で従来の動作に戻せます。

• securityoauth2のHMAC検証におけるタイミングサイドチャネル修正

  oauth2を使用している場合に適用されます。

  oauth2 のHMAC検証にあったタイミングサイドチャネルを修正しました。HMAC秘密情報が有効かどうか漏えいする可能性があった問題です。

• breakingHTTPレスポンスボディからの上流失敗理由の除外

  routerを使用しており、envoy.reloadable_features.hide_transport_failure_reason_in_response_bodyを有効にしていない場合に適用されます。

  router が下流クライアントへ返すHTTPレスポンスボディに、上流トランスポートの失敗理由を含めなくなりました。失敗理由はアクセスログの %UPSTREAM_TRANSPORT_FAILURE_REASON% で引き続き確認できます。envoy.reloadable_features.hide_transport_failure_reason_in_response_body で従来の動作に戻せます。

• リリースページにあと 1 件

影響確認 (2)

• securityhighHTTP/2ヘッダー制限とCookieのメモリ使用対策

  HTTP/2を使用している場合に適用されます。

  HTTP/2ストリームが設定された最大ヘッダーリストサイズに違反するとリセットされます。非圧縮Cookieも mutable_max_request_headers_kb と max_headers_count の制限対象になり、HPACK cookie-bombによる過剰なメモリ使用を防ぎます。CVE-2026-47774 と GHSA-22m2-hvr2-xqc8 に対応しています。

• securityoauth2のHMAC検証におけるタイミングサイドチャネルの修正

  oauth2を使用している場合に適用されます。

  oauth2 のHMAC検証にあったタイミングサイドチャネルが修正され、HMACシークレットの有効性が漏えいする可能性を抑えます。

影響確認 (2)

• securityhighHTTP/2のヘッダー上限処理の変更

  HTTP/2でヘッダーリストまたはリクエストヘッダーの上限を設定している場合に適用されます。

  設定した最大ヘッダーリストサイズに違反するHTTP/2ストリームをリセットするようになりました。圧縮されていないCookieもmutable_max_request_headers_kbとmax_headers_countの上限に算入され、HPACKによるCookie爆弾で過剰なメモリ使用が生じる問題を防ぎます。

• securityoauth2のHMAC検証におけるタイミングサイドチャネル修正

  OAuth2フィルターを使用している場合に適用されます。

  oauth2フィルターのHMAC検証にあったタイミングサイドチャネルを修正しました。これにより、HMACシークレットの有効性が漏れる可能性が抑えられます。

影響確認 (2)

• securityhighHTTP/2ヘッダー上限違反時のストリームリセット

  HTTP/2のリクエストヘッダー上限を使用している場合に適用されます。

  http2ストリームが設定済みの最大ヘッダーリストサイズに違反した場合、リセットされるようになりました。非圧縮Cookieもmutable_max_request_headers_kbとmax_headers_countの上限に算入されます。動作はenvoy.reloadable_features.http2_include_cookies_in_limitsで元に戻せます。CVE-2026-47774（GHSA-22m2-hvr2-xqc8）への対応です。

• securityOAuth2 HMAC検証のタイミングサイドチャネル修正

  OAuth2のHMAC検証を使用している場合に適用されます。

  oauth2のHMAC検証にあるタイミングサイドチャネルを修正しました。これにより、HMACシークレットが有効かどうかの情報が漏れる問題に対処しています。

影響確認 (6)

• securityquery_parameter_mutations の値を URL エンコード

  query_parameter_mutations を設定している場合に適用されます。

  query_parameter_mutations で追加するクエリパラメーターの値が URL エンコードされ、インジェクションを防ぐようになりました。

• securityRBAC の連結ベースのバイパスを修正

  RBAC が実行される場合に適用されます。

  RBAC における連結ベースのバイパスを防ぐ修正が入りました。

• breakingmax_early_data_bytes の明示設定を必須化

  upstream_connect_mode に IMMEDIATE 以外の値を設定し、max_early_data_bytes を設定していない場合に適用されます。

  upstream_connect_mode が IMMEDIATE 以外の場合、max_early_data_bytes の明示設定が必要になりました。未設定のままでは起動時の検証に失敗します。

• リリースページにあと 3 件

事前準備 (1)

• deprecatedenforce_rsa_key_usage の非推奨化削除時期は未定

  enforce_rsa_key_usage を設定している場合に適用されます。

  enforce_rsa_key_usage は非推奨となり、次のリリースで削除されます。

影響確認 (2)

• securityhighrbac の複数値ヘッダーによるバイパス修正

  rbac サブシステムを使用している場合に適用されます。

  複数値ヘッダーによる認可バイパスを rbac で修正しました。対象の識別子は CVE-2026-26308 と GHSA-ghc4-35x6-crw5 です。

• securitymediumレスポンスフェーズの制限処理におけるクラッシュ修正

  ratelimit サブシステムを使用している場合に適用されます。

  レスポンスフェーズの制限処理でクラッシュする不具合を修正しました。対象の識別子は CVE-2026-26330 と GHSA-c23c-rp3m-vpg3 です。

影響確認 (2)

• securityhighrbac の複数値ヘッダーバイパス修正

  rbac を使用している場合に適用されます。

  CVE-2026-26308（GHSA-ghc4-35x6-crw5）に対応し、rbac で複数値ヘッダーを使ったバイパスが発生する問題を修正しました。

• securitymediumratelimit のレスポンスフェーズにおけるクラッシュ修正

  ratelimit を使用している場合に適用されます。

  CVE-2026-26330（GHSA-c23c-rp3m-vpg3）に対応し、ratelimit のレスポンスフェーズで制限処理がクラッシュする不具合を修正しました。

影響確認 (2)

• breakingHTTPリセットコードのデフォルト変更

  適用対象はリリースノートに明記されていません。

  HTTPリセットコードのデフォルトが NO_ERROR から INTERNAL_ERROR に変更されました。

• breaking上流プロトコルエラーのリセット処理変更

  適用対象はリリースノートに明記されていません。

  デフォルトで、上流プロトコルエラーをリセット処理の対象から除外する動作に変わりました。

事前準備 (1)

• deprecatedOpenTelemetryアクセスログの common_config 非推奨化

  common_configを設定している場合に適用されます。

  OpenTelemetryアクセスログの common_config フィールドが非推奨になり、明示的な http_service または grpc_service の設定が推奨されます。