リリース

要対応 (2)

• breaking公開前のTypeScript設定スキーマ検証

  パッケージ公開前の準備処理で、TypeScript設定スキーマが厳密に検証されるようになりました。

• breakingルート接続タイプの定義元変更

  接続タイプは、ルート接続タイプの定義元として移植可能な設定スキーマを使うようになりました。

影響確認 (3)

• breakingrefspecsによる強制更新と削除の制限

  refspecsを設定している場合に適用されます。

• breakingGCS静的認証のサービスアカウントキー限定

  GCSの静的認証を設定している場合に適用されます。

• breakingallow-webhooksのネットワークポリシー対象の限定

  allow-webhooksを設定している場合に適用されます。

要対応 (3)

• securitymediumredoc/dompurify を v3.4.0 に更新

  /ui の redoc/dompurify を v3.4.0 に更新し、CVE-2026-41240 の修正に対応しました。

• securityformidable を v2.1.3 に更新

  依存関係の formidable を v2.1.3 に更新しました。

• breakingアプリ上部バーの auto-sync トグルを削除

  アプリ上部バーから auto-sync トグルを削除しました。

影響確認 (3)

• securityvela-system definitions のアクセス権限を明示的な許可に限定

  vela-system definitions を利用している場合に適用されます。

• securityTerraform module remote URLs の認証情報をログ出力・保存から除外

  Terraform module remote URLs を設定している場合に適用されます。

• breakingapplication definitions の未宣言パラメータを検証

  application definitions を利用している場合に適用されます。

要対応 (1)

• breakingOpenAPI 破壊的変更検出の oasdiff 移行

  OpenAPI の破壊的変更の検出に使う @useoptic/optic と @useoptic/openapi-utilities が oasdiff に置き換えられました。

影響確認 (1)

• breaking終了したFlux APIのCRDからの削除

  CRDがimage.toolkit.fluxcd.io/v1beta2またはnotification.toolkit.fluxcd.io/v1beta2のAPIを使用している場合に該当します。

影響確認 (2)

• breakingKruise API の v1beta1 への更新

  マニフェストで次の Kruise API を v1alpha1 として使用している場合に適用されます。

• breaking数値文字列の maxUnavailable と maxSurge の検証変更

  maxUnavailable または maxSurge に数値文字列を設定している場合に適用されます。

要対応 (2)

• securityinfinispan の更新

  既知の脆弱性への対応として、infinispan が ^0.12.0 から ^0.13.0 に更新されました。

• breakingjson-schema ランタイム依存関係の削除

  未使用の json-schema ランタイム依存関係が削除されました。

影響確認 (1)

• breaking内部コンテナへのデフォルトリソース適用の変更

  default-container-resource-requirements を設定していない場合に該当します。

影響確認 (1)

• breakingTekton Resolvers の解決対象を制限

  Tekton Resolvers を使用している場合に適用されます。

要対応 (1)

• securitycriticalgoogle.golang.org/grpcを1.79.3へ更新

  google.golang.org/grpcを1.77.0から1.79.3に更新しました。:pathヘッダーの先頭スラッシュ欠落によるgRPC-Goの認可バイパスに関するCVE-2026-33186に対応しています。

要対応 (1)

• securitycriticalgoogle.golang.org/grpc のCVE修正

  google.golang.org/grpc の更新で CVE-2026-33186 を修正しました。

要対応 (1)

• breakingpod ラベルの削除

  pod ラベルを削除しました。

要対応 (2)

• securityModule Federation パッケージの v2.3.3 更新

  既知の脆弱性に対応するため、Module Federation パッケージが v2.3.3 に更新されました。

• breaking@remixicon/react の依存バージョン制限

  ライセンス変更により、@remixicon/react の依存バージョンは 4.9.0 未満に制限されました。

要対応 (4)

• securityk8s.io/kubernetes を v1.34.2 に更新

  k8s.io/kubernetes が v1.34.2 に更新されました。

• securityhelm を 3.19.4 に更新

  cve 対応のため、helm が 3.19.4 に更新されました。

• breakinggRPC サービス設定の DNS TXT 参照をデフォルトで無効化

  gRPC service config DNS TXT lookups は、デフォルトで無効になりました。

• breakingApplicationSet リソースステータス件数のデフォルト値を 5000 に変更

  appset resource status count のデフォルト値が 5000 に変更されました。

影響確認 (1)

• breakingaudience フィールドの設定要件変更

  GCR Receiver secret に audience フィールドを設定している場合に適用されます。

影響確認 (1)

• breaking既存の拡張機能とブループリントの設定スキーマ値を置換

  既存の拡張機能やブループリントを利用している場合に適用されます。

要対応 (4)

• securityhighglobとrollupの脆弱性に対応

  globをv13へ、rollupをv4.59以降へ更新しました。旧バージョンのglobの脆弱性と、GHSA-mw96-cpmx-2vgcに該当するrollupのパストラバーサル脆弱性に対応しています。

• securityglobをv13へ更新

  globの依存バージョンをv7/v8/v11からv13へ更新し、旧バージョンのセキュリティ脆弱性に対応しました。

• securityrollupをv4.59以降へ更新

  rollupをv4.27からv4.59以降へ更新し、パストラバーサル脆弱性（GHSA-mw96-cpmx-2vgc）を修正しました。

• securityOAuth保護リソースURLを修正

  .well-known/oauth-protected-resourceのリソースURLをRFC 9728 Section 7.3に準拠する形へ修正し、動的なリソースパスに対応しました。

影響確認 (1)

• breakingfractional bucketing の改善

  プロバイダーを使用している場合に適用されます。

影響確認 (1)

• breakingカタログエンティティページのページレイアウトヘッダーを無効化

  新しいフロントエンドシステムでカタログエンティティページを利用している場合に適用されます。

影響確認 (14)

• breaking新規アプリの既定フロントエンドシステムを変更

  適用対象はリリースノートに明記されていません。

• breakingcreate-app のフラグ名を変更

  create-app で --next フラグを使用している場合に該当します。

• breaking非推奨の型とオプションを削除

  非推奨の型やオプションを使用している場合に該当します。

• リリースページにあと 11 件

影響確認 (1)

• breakingクラスタバージョンラベルの形式変更

  argocd.argoproj.io/auto-label-cluster-info と argocd.argoproj.io/kubernetes-version を設定している場合に適用されます。

影響確認 (1)

• breakingプローブの host フィールドの受け付け値を制限

  プローブ設定で host フィールドを使用している場合に適用されます。

影響確認 (1)

• breakingプローブの host フィールドを制限

  host を設定している場合に適用されます。

影響確認 (1)

• breaking非推奨の v1beta2 と v2beta2 APIを CRDs から削除

  CRDs でFlux APIの v1beta2 または v2beta2 を利用している場合に該当します。

影響確認 (7)

• breakingカタログ拡張ポイントの安定版エクスポートへの移行

  カタログにカスタムプロセッサーやエンティティープロバイダーを追加し、catalogProcessingExtensionPoint を使用している場合に該当します。

• breakingAPIオーバーライドのエラー拒否

  適用対象はリリースノートに明記されていません。

• breaking動的クライアント登録のトークン有効期限設定の削除

  auth.experimentalDynamicClientRegistration.tokenExpiration を設定している場合に該当します。

• リリースページにあと 4 件

要対応 (3)

• securityk8s.io/kubernetes の v1.34.2 への更新

  依存モジュール k8s.io/kubernetes が v1.34.2 に更新されました。

• securityhelm の v3.19.4 への更新

  helm が v3.19.4 に更新されました。更新理由として CVE が記載されています。

• securityredis の安定版更新

  redis が最新の安定版へ更新され、脆弱性の解消が図られました。