リリース

要対応 (2)

• breakingService Accountトークンのマウント方式変更

  PodへのService Accountトークンの自動マウントを停止し、トークンはボリューム経由でマウントする方式に変わります。

• breakingServerSideApplyPhase1の恒久的な有効化

  ServerSideApplyPhase1フィーチャーゲートがGA段階に移行し、無効化できない状態で恒久的に有効になります。

影響確認 (4)

• security空白だけの権限によるサーバークラッシュの修正

  JWT 検証を利用している場合に適用されます。

• securityTLS verify_and_map の認証回避の修正

  TLS verify_and_map を設定している場合に適用されます。

• securityMQTT クライアントの購読権限回避の修正

  MQTT を利用している場合に適用されます。

• リリースページにあと 1 件

要対応 (11)

• securitygoogle.golang.org/grpc の更新

  セキュリティ更新として google.golang.org/grpc が v1.79.3 に更新されました。

• securitygoogle.golang.org/grpc の更新

  セキュリティ更新として google.golang.org/grpc が v1.82.1 に更新されました。

• securityhelm.sh/helm/v4 の更新

  セキュリティ更新として helm.sh/helm/v4 が v4.1.4 に更新されました。

• securitygithub.com/cloudflare/circl の更新

  セキュリティ更新として github.com/cloudflare/circl が v1.6.3 に更新されました。

• securitygithub.com/go-jose/go-jose/v4 の更新

  セキュリティ更新として github.com/go-jose/go-jose/v4 が v4.1.4 に更新されました。

• securitygithub.com/moby/spdystream の更新

  セキュリティ更新として github.com/moby/spdystream が v0.5.1 に更新されました。

• breakingデフォルト CNI 設定バージョンの更新

  デフォルトの CNI 設定バージョンが 0.3.1 から 1.0.0 に更新されました。

• breakingIPAM メトリクスの削除

  IPAM メトリクス cilium_operator_ipam_ips と cilium_operator_ipam_available_interfaces が削除されました。

• breakingCNI 設定バージョンのデフォルト変更

  デフォルトの CNI 設定バージョンが 0.3.1 から 1.0.0 に変更されました。

• breakingネイティブヒストグラム出力のデフォルト化

  すべてのヒストグラムで、ネイティブヒストグラムがデフォルトで出力されるようになりました。

• breakingエージェント bootstrap メトリクスの削除

  エージェントの bootstrap メトリクスが削除されました。

要対応 (1)

• breaking未定義のサービスポートへのリクエスト拒否

  定義されていないサービスポート宛てのリクエストを拒否するようになりました。

影響確認 (1)

• breakingHelmでのホストファイアウォール無効化処理の修正

  hostFirewall.enabledをHelmでtrueからfalseに切り替えて無効化する場合に適用されます。

影響確認 (11)

• securityhighHTTP/2のヘッダー制限と大量送信対策の変更

  HTTP/2を使用している場合に適用されます。

• securityhighHTTP/3のQPACKとcontent-length処理の修正

  HTTP/3を使用している場合に適用されます。

• securityhigh各種入力処理と解凍処理のセキュリティ修正

  DNSクエリ検証、JSONネスト制限、PROXY protocol TLV、フォーマッター、TCP StatsD、TLS SAN、またはZstd解凍を使用している場合に適用されます。

• リリースページにあと 8 件

影響確認 (1)

• breakingPython向けprotobuf下限バージョンの引き上げ

  Pythonを使用している場合に適用されます。

影響確認 (1)

• breakinggRPC Python release 1.82.0 のPyPIからの削除

  gRPC Python release 1.82.0 を利用している場合に該当します。

影響確認 (3)

• securityLeaf接続でのNats-Trace-Dest権限チェック回避を修正

  Leaf接続を利用している場合に該当します。

• security保持メッセージとQoS再送時のサブスクライブ拒否ルールを適用

  MQTTを利用している場合に該当します。

• breaking監視エンドポイントのJSONPコールバック対応を削除

  JSONPコールバック対応を利用している場合に該当します。

影響確認 (1)

• breaking監視エンドポイントの JSONP コールバック対応を削除

  JSONP コールバック対応を利用している場合に該当します。

影響確認 (3)

• breakingKafka 4.1.xのサポート終了

  Kafka 4.1.xを使用している場合に該当します。

• breakingTLS認証とトラストストアのPEMファイル対応

  KafkaBridgeまたはKafkaMirrorMaker2でTLS認証もしくはTLSトラストストアを使用している場合に該当します。

• breakingentity-operatorのhealthcheckポート名変更

  entity-operatorのhealthcheckポートを使用している場合に該当します。

要対応 (12)

• securityhighCVE-2026-47220 のクラッシュを修正

  CVE-2026-47220 に関するクラッシュの不具合が修正されました。

• securityhighCVE-2026-48044 のメモリ枯渇脆弱性を修正

  CVE-2026-48044 に関するメモリ枯渇脆弱性が修正されました。

• securityhighCVE-2026-48042 の JSON 入れ子深度を制限

  CVE-2026-48042 に関して、JSON の入れ子の深さを 1000 に制限しました。

• securitymediumCVE-2026-47692 の不具合を修正

  CVE-2026-47692 に関する不具合が修正されました。

• securitymediumCVE-2026-47205 の use-after-free クラッシュを修正

  CVE-2026-47205 に関する use-after-free によるクラッシュが修正されました。

• securitymediumCVE-2026-48090 の非同期コールバック処理を修正

  CVE-2026-48090 に関して、フィルターの破棄後に非同期トークン変更コールバックが呼び出される不具合が修正されました。

• securitymediumCVE-2026-47778 の SAN 検証を修正

  CVE-2026-47778 に関して、Envoy が Subject Alternative Name（SAN）を検証できない問題が修正されました。

• securitymediumCVE-2026-47204 のクラッシュと use-after-free を修正

  CVE-2026-47204 に関するクラッシュまたは use-after-free が修正されました。

• securitymediumCVE-2026-48497 のクエリ名長検査を修正

  CVE-2026-48497 に関して、クエリ名の長さを検査する処理が修正されました。

• securitymediumCVE-2026-47775 のパディングオラクルに対処

  CVE-2026-47775 に関するパディングオラクルの問題に対処しました。

• securityGHSA-p7c7-7c47-pwch のサービス拒否脆弱性を修正

  GHSA-p7c7-7c47-pwch に関するサービス拒否脆弱性が修正されました。

• breakingメッセージのログレベルを warn に変更

  メッセージのログ出力レベルが warn になりました。

要対応 (16)

• securityhighWasm依存関係の更新

  Wasmで使用する com_github_wasmtime を更新し、CVE-2026-47261 に対応しました。

• securityhighREQUESTED_SERVER_NAME のクラッシュ修正

  REQUESTED_SERVER_NAME の処理でクラッシュする問題を修正しました。CVE-2026-47220 と GHSA-j9wh-4qfm-wf2v に対応しています。

• securityhighzstd RLE zip bombの修正

  zstdのRLE zip bombに関する問題を修正しました。CVE-2026-48044 と GHSA-m3p9-47wh-88wg に対応しています。

• securityhigh入れ子の深いJSONによるスタックオーバーフロー修正

  深く入れ子になったJSONのデストラクタでスタックオーバーフローが発生する問題を修正しました。CVE-2026-48042 と GHSA-f24p-rxw2-g6pv に対応しています。

• securityhighHTTP/3からHTTP/1へのリクエストスマグリング修正

  Content-Length がゼロ以外のヘッダーのみのリクエストによって、HTTP/3からHTTP/1へのリクエストスマグリングが発生する問題を修正しました。CVE-2026-48743 と GHSA-8phg-2h2q-jgxf に対応しています。

• securitymediumルート単位の認可処理のクラッシュ修正

  ルート単位の認可処理でクラッシュする問題を修正しました。CVE-2026-47205 と GHSA-mvh9-767w-x47j に対応しています。

• securitymediumext_proc レスポンス処理の修正

  ext_proc のレスポンスを1つのgRPCメッセージで処理する際の問題を修正しました。CVE-2026-47207 と GHSA-68cv-hq5f-g6xv に対応しています。

• securitymediumルーター内部リダイレクトのクラッシュ修正

  ルーターの内部リダイレクトでクラッシュする問題を修正しました。CVE-2026-47221 と GHSA-rcff-gw58-pjpr に対応しています。

• securitymediumOAuth2コード検証値の修正

  OAuth2コード検証値のパディングオラクルに関する問題を修正しました。CVE-2026-47775 と GHSA-396h-jpq4-vc7p に対応しています。

• securitymediumgrpc_stats フィルターのセグメンテーション違反修正

  Connectプロトコルのリクエストが direct_response ルートに送られた際、grpc_stats フィルターでセグメンテーション違反が発生する問題を修正しました。CVE-2026-47204 と GHSA-3jxh-8p6x-7pf6 に対応しています。

• securitymediumPROXY Protocol v2 ヘッダー生成の修正

  PROXY Protocol v2 ヘッダー生成器が「skipped」TLVを出力し、攻撃者が制御する最大65 KBのデータが上流アプリケーションのストリームに流れ込む問題を修正しました。CVE-2026-47692 と GHSA-wh36-hm39-mm3r に対応しています。

• securitymediumTLS SAN切り詰め処理の認証回避修正

  TLS SANの切り詰め処理で埋め込みNULが認証を回避できる問題を修正しました。CVE-2026-47778 と GHSA-f8x4-rw5x-f3r7 に対応しています。

• securitymediumOAuth2非同期トークン処理の修正

  OAuth2フィルターで、ストリーム破棄後に非同期トークン処理が完了すると解放済みメモリの使用やクラッシュにつながる問題を修正しました。CVE-2026-48090 と GHSA-3cj2-c63f-q26f に対応しています。

• securitymediumDNS UDPフィルターの異常終了修正

  DNS UDPフィルターでプロセスが異常終了する問題を修正しました。CVE-2026-48497 と GHSA-j6g2-wf95-q66q に対応しています。

• securitymediumTcpStatsdSink のヒープバッファオーバーフロー修正

  TcpStatsdSink でヒープバッファオーバーフローが発生する問題を修正しました。CVE-2026-48706 と GHSA-7q3f-gwg7-j8g4 に対応しています。

• securityHTTP/3のQPACK処理に関するサービス拒否の修正

  QPACK のデコードがブロックされた際にHTTP/3スタックでサービス拒否が発生する問題を修正しました。GHSA-p7c7-7c47-pwch に対応しています。

要対応 (1)

• securityhighcom_github_wasmtimeの更新

  CVE-2026-47261への対応として、com_github_wasmtimeを更新しました。

要対応 (1)

• securityhigh深く入れ子になった JSON のスタックオーバーフロー修正

  深く入れ子になった JSON のデストラクタで発生するスタックオーバーフローを修正しました。CVE-2026-48042 に対応しています。

要対応 (1)

• securityhigh深くネストしたJSONのスタックオーバーフローを修正

  深くネストしたJSONをデストラクターで処理した際にスタックオーバーフローが発生する問題を修正しました。CVE-2026-48042 および GHSA-f24p-rxw2-g6pv に対応しています。

要対応 (2)

• securityhighCVE-2026-55225の修正

  CVE-2026-55225を修正しました。

• securitymediumCVE-2026-55226の修正

  CVE-2026-55226を修正しました。

影響確認 (3)

• securityipBlock ルールの名前空間バイパス修正

  ipBlock を設定している場合に該当します。

• breakingloadBalancer.standalone オプションの削除

  loadBalancer.standalone を設定している場合に該当します。

• breakingL2 Podアナウンスのインターフェース設定変更

  l2podAnnouncements.interface を設定し、L2 Podアナウンスを有効にしている場合に該当します。

影響確認 (1)

• breakingExternalWorkloads のエンドポイントを同じ namespace 内に限定

  ExternalWorkloads を使用している場合に適用されます。

影響確認 (3)

• breaking暗号スイートの既定動作変更

  allow_insecure_cipher_suites を有効にする場合に適用されます。

• breakingJetStream strict modeの既定有効化

  JetStreamを使用する場合に適用されます。

• breakingv2.12機能使用時のダウングレード制約

  新しいv2.12機能を使用する場合に適用されます。

影響確認 (1)

• breakingOSSでの error_flatten 実験の有効化

  適用対象はリリースノートに明記されていません。

要対応 (1)

• securityhighEnvoy のメモリ枯渇によるサービス拒否を修正

  CVE-2026-47774 に対応しました。認証不要のリモート攻撃者が、細工した HTTP/2 リクエストで Envoy プロセスのメモリを枯渇させ、サービス拒否を引き起こせる問題です。リクエストヘッダーサイズの検証で Cookie ヘッダーのバイト数が完全に考慮されていなかったほか、HPACK のヘッダーブロック制限がエンコード後のサイズだけに適用され、デコード後の合計サイズに上限がありませんでした。

要対応 (1)

• securityhighnghttp2へのCVE-2026-27135パッチ適用

  HTTP/2で使用する nghttp2 に CVE-2026-27135 のパッチを適用しました。

要対応 (1)

• breakingIstioイメージのデフォルトレジストリ変更

  Istioイメージのデフォルトレジストリが registry.istio.io になりました。

要対応 (1)

• security名前空間をまたぐプロキシ列挙と設定ダンプ取得の認可修正

  認証済みのワークロードが、別の名前空間にあるワークロードのプロキシを列挙し、設定ダンプを取得できていた問題を修正しました。対象には istio.io/debug/syncz と istio.io/debug/config_dump が含まれます。

要対応 (2)

• securitygithub.com/moby/spdystream を v0.5.1 に更新

  セキュリティ関連の更新として、依存モジュール github.com/moby/spdystream を v0.5.1 に更新しました。

• breakingloadbalancer/reflectors の EndpointSlice 監視をサービスラベルで絞り込み

  loadbalancer/reflectors が監視する EndpointSlice を、サービスラベルで絞り込むようになりました。

要対応 (1)

• securitygithub.com/moby/spdystream の更新

  依存モジュール github.com/moby/spdystream を v0.5.1 に更新しました。

影響確認 (1)

• breaking対応する Kubernetes の最低バージョンを1.31に変更

  クラスタで Kubernetes 1.31未満を実行している場合に適用されます。

影響確認 (1)

• breaking保持メッセージのsubjectにおけるASCII DELの制限

  保持メッセージを利用している場合に適用されます。

要対応 (2)

• breakingUseConnectBuildWithBuildah をデフォルトで有効化

  UseConnectBuildWithBuildah フィーチャーゲートがベータ段階に移行し、デフォルトで有効になりました。

• breakingHTTP Bridge の /metrics エンドポイントを管理インターフェースへ移動

  HTTP Bridge の /metrics エンドポイントは、通常の HTTP インターフェース（デフォルトではポート 8080）では利用できなくなりました。現在は HTTP 管理インターフェースの 8081 で利用できます。

要対応 (1)

• securityhighnghttp2 の **CVE-2026-27135** 対応

  nghttp2 に **CVE-2026-27135** の修正パッチが適用されました。

影響確認 (2)

• securityhighHTTPProxy の cookieRewritePolicies[].pathRewrite.value によるコード実行脆弱性の修正

  HTTPProxy リソースを使用している場合に該当します。

• breakingEnvoy 1.35.0以降への対応

  Envoy に依存している場合に適用されます。

影響確認 (3)

• securityキューサブスクリプションによる ACL deny 回避を修正

  キューサブスクリプションを使用し、非キュー ACL の deny パターンを設定している場合に適用されます。

• breakingno_auth_user の適用範囲をクライアント接続に限定

  no_auth_user を設定している場合に適用されます。

• breakingsolicited leaf 接続以外での重複した INFO 権限更新を制限

  solicited leaf 接続を使用している場合に適用されます。

影響確認 (2)

• breakingno_auth_user の適用範囲をクライアント接続に限定

  no_auth_user を設定している場合に該当します。

• breakingsolicited leaf接続でのみ受け付ける重複 INFO 権限更新

  solicited leaf接続を利用している場合に該当します。

要対応 (1)

• security依存関係とPythonインタープリターを更新

  CVEを解消するため、多数の依存関係とPythonインタープリターが更新されました。

影響確認 (1)

• breakingEventEngine の既定有効化と fork 対応

  PythonまたはRubyを使用している場合に適用されます。

要対応 (1)

• breakingJWTのサイズ上限を1MBに変更

  JWTのサイズ上限を1MBに設定しました。#7960に対応しています。

要対応 (1)

• breakingJWTのサイズ上限を1MBに変更

  JWTのサイズ上限を1MBに設定しました。

要対応 (2)

• securitycriticalgoogle.golang.org/grpcをv1.79.3へ更新

  google.golang.org/grpcをv1.79.3へ更新しました。この更新はCVE-2026-33186（GHSA-p77j-4mvh-x3m3）に対応しますが、Contourは影響を受けません。

• securityEnvoyをv1.35.9へ更新

  セキュリティ脆弱性への対応として、Envoyをv1.35.9へ更新しました。

要対応 (2)

• securitycriticalgoogle.golang.org/grpcをv1.79.3に更新

  google.golang.org/grpcをv1.79.3に更新します。この更新はCVE-2026-33186に対処していますが、Contourは影響を受けません。

• securityEnvoyをv1.34.13に更新

  Envoyをv1.34.13に更新し、セキュリティ上の脆弱性に対処するとともに安定性を改善します。