リリース

影響確認 (1)

• securityendpoint のCIDRポリシー迂回と再起動後のトラフィック損失を修正

  適用対象はリリースノートに明記されていません。

要対応 (1)

• securityCVE修正のための依存関係更新

  CVEを修正するため、依存関係を更新しました。

影響確認 (4)

• security空白だけの権限によるサーバークラッシュの修正

  JWT 検証を利用している場合に適用されます。

• securityTLS verify_and_map の認証回避の修正

  TLS verify_and_map を設定している場合に適用されます。

• securityMQTT クライアントの購読権限回避の修正

  MQTT を利用している場合に適用されます。

• リリースページにあと 1 件

要対応 (1)

• breakingディスク同時実行用セマフォを4096スロットに変更

  ディスク同時実行用セマフォのスロット数を、従来のCPUスケール方式から4096に増やしました。

要対応 (11)

• securitygoogle.golang.org/grpc の更新

  セキュリティ更新として google.golang.org/grpc が v1.79.3 に更新されました。

• securitygoogle.golang.org/grpc の更新

  セキュリティ更新として google.golang.org/grpc が v1.82.1 に更新されました。

• securityhelm.sh/helm/v4 の更新

  セキュリティ更新として helm.sh/helm/v4 が v4.1.4 に更新されました。

• securitygithub.com/cloudflare/circl の更新

  セキュリティ更新として github.com/cloudflare/circl が v1.6.3 に更新されました。

• securitygithub.com/go-jose/go-jose/v4 の更新

  セキュリティ更新として github.com/go-jose/go-jose/v4 が v4.1.4 に更新されました。

• securitygithub.com/moby/spdystream の更新

  セキュリティ更新として github.com/moby/spdystream が v0.5.1 に更新されました。

• breakingデフォルト CNI 設定バージョンの更新

  デフォルトの CNI 設定バージョンが 0.3.1 から 1.0.0 に更新されました。

• breakingIPAM メトリクスの削除

  IPAM メトリクス cilium_operator_ipam_ips と cilium_operator_ipam_available_interfaces が削除されました。

• breakingCNI 設定バージョンのデフォルト変更

  デフォルトの CNI 設定バージョンが 0.3.1 から 1.0.0 に変更されました。

• breakingネイティブヒストグラム出力のデフォルト化

  すべてのヒストグラムで、ネイティブヒストグラムがデフォルトで出力されるようになりました。

• breakingエージェント bootstrap メトリクスの削除

  エージェントの bootstrap メトリクスが削除されました。

影響確認 (1)

• securityTLS鍵交換におけるPost-Quantum Cryptographyの既定化

  TLS鍵交換を使用する場合に適用されます。

影響確認 (11)

• securityhighHTTP/2のヘッダー制限と大量送信対策の変更

  HTTP/2を使用している場合に適用されます。

• securityhighHTTP/3のQPACKとcontent-length処理の修正

  HTTP/3を使用している場合に適用されます。

• securityhigh各種入力処理と解凍処理のセキュリティ修正

  DNSクエリ検証、JSONネスト制限、PROXY protocol TLV、フォーマッター、TCP StatsD、TLS SAN、またはZstd解凍を使用している場合に適用されます。

• リリースページにあと 8 件

影響確認 (3)

• securityLeaf接続でのNats-Trace-Dest権限チェック回避を修正

  Leaf接続を利用している場合に該当します。

• security保持メッセージとQoS再送時のサブスクライブ拒否ルールを適用

  MQTTを利用している場合に該当します。

• breaking監視エンドポイントのJSONPコールバック対応を削除

  JSONPコールバック対応を利用している場合に該当します。

要対応 (7)

• securityhighZstd decompressor の展開比率制限を修正

  Zstd decompressor で MaxInflateRatio の上限を入力スライス全体の処理後にしか確認していなかった問題を修正しました。上限を内部の展開ループ内で適用し、しきい値を超えた時点で展開を中止します。

• securitymediumPROXY プロトコルヘッダーの TLV 長計算を修正

  PROXY プロトコルヘッダーでパススルー TLV と追加 TLV を組み合わせた際、最大長を超えてヘッダーに示すサイズと実際の書き込みバイト数が一致しなくなる問題を修正しました。

• securitymediumHTTP 303 内部リダイレクトのセグメンテーションフォールトを修正

  HTTP 303 の内部リダイレクトをボディーのないリクエストで処理する際、確保されていないリクエストボディーバッファーを排出しようとしてセグメンテーションフォールトが発生する問題を修正しました。

• securitymedium破棄後の非同期トークン変更コールバックを修正

  フィルターの破棄後、onDestroy() の呼び出し後に非同期トークン変更コールバックが実行され、解放済みポインターにアクセスして UAF やクラッシュが発生する問題を修正しました。

• securitymediumピア証明書の SAN 検証における NUL バイト処理を修正

  SAN に埋め込まれた NUL バイトがあるピア証明書で、Subject Alternative Name（SAN）を正しく検証できない問題を修正しました。構成によって SAN の解析が NUL バイトで途中切り詰めされ、誤った信頼判断につながる可能性がありました。

• securitymediumクエリー名の長さの妥当性確認を修正

  クエリー名の長さに対する妥当性確認を修正し、異常なプロセス終了を防ぐようにしました。確認に失敗した場合は ENVOY_BUG を使用します。

• securityHTTP/3 の QPACK 処理におけるメモリ枯渇の修正

  HTTP/3 スタックの QPACK ブロック解除処理を修正しました。動的テーブルの更新待ちでブロックされたヘッダーブロックについて、内部デコーダーバッファーに保持されたデータが QUIC の受信フロー制御の計上から外れ、メモリが無制限に増加する問題に対応しています。

要対応 (4)

• securitymediumHTTP 303内部リダイレクトの処理修正

  ボディーのないリクエストでHTTP 303の内部リダイレクトを処理する際、確保されていないリクエストボディーバッファを解放しようとしてセグメンテーションフォールトが発生する問題を修正しました。

• securitymedium非同期トークン変更コールバックの破棄後実行を修正

  フィルターの破棄処理であるonDestroy()の呼び出し後に、非同期トークン変更コールバックが実行される問題を修正しました。解放済みポインターへのアクセスによるuse-after-freeやクラッシュにつながる状態でした。

• securitymedium証明書SANのNULバイト処理を修正

  ピア証明書のSubject Alternative Name（SAN）に埋め込みNULバイトが含まれる場合に、SANを正しく検証できない問題を修正しました。一部の設定でNULバイト以降が切り詰められ、誤った信頼判断につながる可能性がありました。

• securitymediumクエリ名の長さの整合性確認を修正

  クエリ名の長さに対する整合性確認を修正し、異常なプロセス終了を防ぐようにしました。確認に失敗した場合はENVOY_BUGを使用します。

要対応 (12)

• securityhighCVE-2026-47220 のクラッシュを修正

  CVE-2026-47220 に関するクラッシュの不具合が修正されました。

• securityhighCVE-2026-48044 のメモリ枯渇脆弱性を修正

  CVE-2026-48044 に関するメモリ枯渇脆弱性が修正されました。

• securityhighCVE-2026-48042 の JSON 入れ子深度を制限

  CVE-2026-48042 に関して、JSON の入れ子の深さを 1000 に制限しました。

• securitymediumCVE-2026-47692 の不具合を修正

  CVE-2026-47692 に関する不具合が修正されました。

• securitymediumCVE-2026-47205 の use-after-free クラッシュを修正

  CVE-2026-47205 に関する use-after-free によるクラッシュが修正されました。

• securitymediumCVE-2026-48090 の非同期コールバック処理を修正

  CVE-2026-48090 に関して、フィルターの破棄後に非同期トークン変更コールバックが呼び出される不具合が修正されました。

• securitymediumCVE-2026-47778 の SAN 検証を修正

  CVE-2026-47778 に関して、Envoy が Subject Alternative Name（SAN）を検証できない問題が修正されました。

• securitymediumCVE-2026-47204 のクラッシュと use-after-free を修正

  CVE-2026-47204 に関するクラッシュまたは use-after-free が修正されました。

• securitymediumCVE-2026-48497 のクエリ名長検査を修正

  CVE-2026-48497 に関して、クエリ名の長さを検査する処理が修正されました。

• securitymediumCVE-2026-47775 のパディングオラクルに対処

  CVE-2026-47775 に関するパディングオラクルの問題に対処しました。

• securityGHSA-p7c7-7c47-pwch のサービス拒否脆弱性を修正

  GHSA-p7c7-7c47-pwch に関するサービス拒否脆弱性が修正されました。

• breakingメッセージのログレベルを warn に変更

  メッセージのログ出力レベルが warn になりました。

要対応 (1)

• securityhighcom_github_wasmtimeの更新

  CVE-2026-47261への対応として、com_github_wasmtimeを更新しました。

要対応 (1)

• securityhigh深く入れ子になった JSON のスタックオーバーフロー修正

  深く入れ子になった JSON のデストラクタで発生するスタックオーバーフローを修正しました。CVE-2026-48042 に対応しています。

要対応 (1)

• securityhigh深くネストしたJSONのスタックオーバーフローを修正

  深くネストしたJSONをデストラクターで処理した際にスタックオーバーフローが発生する問題を修正しました。CVE-2026-48042 および GHSA-f24p-rxw2-g6pv に対応しています。

影響確認 (3)

• securityipBlock ルールの名前空間バイパス修正

  ipBlock を設定している場合に該当します。

• breakingloadBalancer.standalone オプションの削除

  loadBalancer.standalone を設定している場合に該当します。

• breakingL2 Podアナウンスのインターフェース設定変更

  l2podAnnouncements.interface を設定し、L2 Podアナウンスを有効にしている場合に該当します。

要対応 (1)

• securityhighnghttp2へのCVE-2026-27135パッチ適用

  HTTP/2で使用する nghttp2 に CVE-2026-27135 のパッチを適用しました。

要対応 (1)

• securityhighnghttp2のCVE-2026-27135パッチ適用

  nghttp2 の CVE-2026-27135 パッチが適用されました。

要対応 (1)

• securityhighnghttp2へのCVE-2026-27135パッチ適用

  nghttp2にCVE-2026-27135のパッチを適用しました。

要対応 (1)

• securityhighnghttp2のCVE-2026-27135パッチ適用

  http2でnghttp2のCVE-2026-27135パッチを適用しました。

要対応 (1)

• securitycriticalgolang.org/x/net を v0.55.0 に更新

  golang.org/x/net を v0.55.0 に更新しました。対象の脆弱性識別子は CVE-2026-39821 です。

要対応 (1)

• security名前空間をまたぐプロキシ列挙と設定ダンプ取得の認可修正

  認証済みのワークロードが、別の名前空間にあるワークロードのプロキシを列挙し、設定ダンプを取得できていた問題を修正しました。対象には istio.io/debug/syncz と istio.io/debug/config_dump が含まれます。

要対応 (1)

• securityXDSデバッグエンドポイントの名前空間認可を修正

  StatusGenが提供する istio.io/debug/syncz と istio.io/debug/config_dump に、非システム呼び出し元への同一名前空間認可が適用されるようになりました。別の名前空間のワークロードについて、プロキシの列挙や設定ダンプの取得ができないように修正されています。

影響確認 (2)

• security/connz監視エンドポイントでのbearer JWT非開示

  /connz監視エンドポイントを使用している場合に適用されます。

• securityコマンドライン引数で渡したrouteとcluster URLシークレットのマスキング

  routeとcluster URLのシークレットをコマンドライン引数として渡す場合に適用されます。

要対応 (1)

• securityhighnghttp2 の **CVE-2026-27135** 対応

  nghttp2 に **CVE-2026-27135** の修正パッチが適用されました。

影響確認 (2)

• securityhighHTTPProxy の cookieRewritePolicies[].pathRewrite.value によるコード実行脆弱性の修正

  HTTPProxy リソースを使用している場合に該当します。

• breakingEnvoy 1.35.0以降への対応

  Envoy に依存している場合に適用されます。

影響確認 (1)

• securityhighCookie RewritingのLuaコードインジェクション脆弱性を修正

  cookieRewritePolicies[].pathRewrite.value を設定している場合に適用されます。

影響確認 (3)

• securityキューサブスクリプションによる ACL deny 回避を修正

  キューサブスクリプションを使用し、非キュー ACL の deny パターンを設定している場合に適用されます。

• breakingno_auth_user の適用範囲をクライアント接続に限定

  no_auth_user を設定している場合に適用されます。

• breakingsolicited leaf 接続以外での重複した INFO 権限更新を制限

  solicited leaf 接続を使用している場合に適用されます。

要対応 (1)

• breakingJWTのサイズ上限を1MBに変更

  JWTのサイズ上限を1MBに設定しました。#7960に対応しています。

要対応 (1)

• breakingJWTのサイズ上限を1MBに変更

  JWTのサイズ上限を1MBに設定しました。

影響確認 (2)

• securityenvoy 管理ソケットのアクセス範囲を修正

  envoy を実行している場合に適用されます。

• securitylocal backends に対する ingress policies の適用を修正

  ingress policies と local backends を使用している場合に適用されます。

影響確認 (1)

• securityenvoy 管理ソケットのアクセス権を修正

  Envoyが動作している場合に適用されます。

要対応 (3)

• securitymediumスコープ付き IPv6 アドレスのクラッシュ修正

  スコープ付き IPv6 アドレスで getAddressWithPort() が呼び出された際のクラッシュを修正しました。対象の識別子は CVE-2026-26310 と GHSA-3cw6-2j68-868p です。

• securitymediumJSON の文字列終端処理の修正

  境界を 1 つ超えて書き込む処理を修正し、文字列の null 終端文字が破損する問題に対応しました。対象の識別子は CVE-2026-26309 と GHSA-56cj-wgg3-x943 です。

• securitymedium下流側リセット後の decode* メソッド実行制御

  下流側でリセットされた後に decode* メソッドが実行されないよう修正しました。対象の識別子は CVE-2026-26311 と GHSA-84xm-r438-86px です。

要対応 (3)

• securitymediumスコープ付きIPv6アドレス処理のクラッシュ修正

  CVE-2026-26310（GHSA-3cw6-2j68-868p）に対応し、スコープ付きIPv6アドレスを渡して getAddressWithPort() を呼び出した際のクラッシュを修正しました。

• securitymediumjson のオフバイワン書き込み修正

  CVE-2026-26309（GHSA-56cj-wgg3-x943）に対応し、文字列のnull終端を破損させる可能性があったオフバイワン書き込みを json で修正しました。

• securitymedium下流リセット後の decode* メソッド実行防止

  CVE-2026-26311（GHSA-84xm-r438-86px）に対応し、下流リセット後に decode* メソッドが実行されないよう修正しました。

要対応 (1)

• securitymediumCVE-2026-26309のJSONオフバイワン書き込み修正

  JSON処理で発生するオフバイワン書き込みを修正しました。

要対応 (7)

• securityhighRBACの複数値ヘッダーバイパス修正

  CVE-2026-26308 に対応し、RBAC における複数値ヘッダーのバイパスを修正しました。

• securityhighJWKSリゾルバー障害による認証バイパス修正

  CVE-2026-31837 および GHSA-v75c-crr9-733c に対応し、既知のデフォルトキーを使った認証バイパスにつながる JWKS リゾルバーの障害を修正しました。

• securitymedium下流リセット後のHTTPデコードメソッド処理修正

  CVE-2026-26311 に対応し、下流側のリセット後にHTTPデコードメソッドがブロックされる問題を修正しました。

• securitymediumスコープ付きIPv6アドレス処理のクラッシュ修正

  CVE-2026-26310 に対応し、スコープ付きIPv6アドレスを指定した getAddressWithPort() でクラッシュする問題を修正しました。

• securitymediumJSON処理のオフバイワン書き込み修正

  CVE-2026-26309 に対応し、JSON処理で発生するオフバイワン書き込みを修正しました。

• securitymediumレート制限レスポンスフェーズのクラッシュ修正

  CVE-2026-26330 に対応し、レート制限レスポンスフェーズでクラッシュする問題を修正しました。

• securitymediumデバッグエンドポイントの名前空間越しプロキシデータアクセス修正

  CVE-2026-31838 および GHSA-974c-2wxh-g4ww に対応し、デバッグエンドポイントから別の名前空間にあるプロキシデータへアクセスできる問題を修正しました。

要対応 (3)

• securitymedium下流リセット後のHTTPデコードメソッド処理修正

  CVE-2026-26311 に対応し、下流からのリセット後にHTTPデコードメソッドがブロックされるよう修正しました。

• securitymediumスコープ付きIPv6アドレス使用時のクラッシュ修正

  CVE-2026-26310 に対応し、スコープ付きIPv6アドレスを指定したgetAddressWithPort()のクラッシュを修正しました。

• securitymediumJSONのオフバイワン書き込み修正

  CVE-2026-26309 に対応し、JSONのオフバイワン書き込みを修正しました。

影響確認 (3)

• securityCVE-2026-29785の修正

  leafnode compressionを有効にしている場合に適用されます。

• securityCVE-2026-27889の修正

  WebSocketsを有効にしている場合に適用されます。

• breakingmax_connsの0設定

  サーバー設定でmax_connsを指定している場合に適用されます。

影響確認 (2)

• securityhighCVE-2026-29785 の修正

  CVE-2026-29785 が存在し、leafnode compression が有効な場合に適用されます。

• securityhighCVE-2026-27889 の修正

  CVE-2026-27889 が存在し、WebSockets が有効な場合に適用されます。

要対応 (1)

• securityhighcgoバイナリへのコード混入を防ぐ修正

  GoとC/C++のコメント解析の食い違いによって、生成されるcgoバイナリにコードを紛れ込ませられる問題を修正しました。CVE-2025-61732に対応しています。

要対応 (1)

• securityリソースアノテーションの文字検証

  リソースアノテーションの検証で、改行文字と制御文字を拒否するようになりました。テンプレートのレンダリングによって Pod 仕様へコンテナが注入されることを防ぎます。関連する Issue は #58889 です。