リリース

要対応 (2)

• breakingUseConnectBuildWithBuildah をデフォルトで有効化

  UseConnectBuildWithBuildah フィーチャーゲートがベータ段階に移行し、デフォルトで有効になりました。

• breakingHTTP Bridge の /metrics エンドポイントを管理インターフェースへ移動

  HTTP Bridge の /metrics エンドポイントは、通常の HTTP インターフェース（デフォルトではポート 8080）では利用できなくなりました。現在は HTTP 管理インターフェースの 8081 で利用できます。

影響確認 (2)

• security/connz監視エンドポイントでのbearer JWT非開示

  /connz監視エンドポイントを使用している場合に適用されます。

• securityコマンドライン引数で渡したrouteとcluster URLシークレットのマスキング

  routeとcluster URLのシークレットをコマンドライン引数として渡す場合に適用されます。

要対応 (1)

• securityhighnghttp2 の **CVE-2026-27135** 対応

  nghttp2 に **CVE-2026-27135** の修正パッチが適用されました。

影響確認 (2)

• securityhighHTTPProxy の cookieRewritePolicies[].pathRewrite.value によるコード実行脆弱性の修正

  HTTPProxy リソースを使用している場合に該当します。

• breakingEnvoy 1.35.0以降への対応

  Envoy に依存している場合に適用されます。

影響確認 (1)

• securityhighCookie RewritingのLuaコードインジェクション脆弱性を修正

  cookieRewritePolicies[].pathRewrite.value を設定している場合に適用されます。

影響確認 (3)

• securityキューサブスクリプションによる ACL deny 回避を修正

  キューサブスクリプションを使用し、非キュー ACL の deny パターンを設定している場合に適用されます。

• breakingno_auth_user の適用範囲をクライアント接続に限定

  no_auth_user を設定している場合に適用されます。

• breakingsolicited leaf 接続以外での重複した INFO 権限更新を制限

  solicited leaf 接続を使用している場合に適用されます。

影響確認 (2)

• breakingno_auth_user の適用範囲をクライアント接続に限定

  no_auth_user を設定している場合に該当します。

• breakingsolicited leaf接続でのみ受け付ける重複 INFO 権限更新

  solicited leaf接続を利用している場合に該当します。

要対応 (1)

• security依存関係とPythonインタープリターを更新

  CVEを解消するため、多数の依存関係とPythonインタープリターが更新されました。

影響確認 (1)

• breakingEventEngine の既定有効化と fork 対応

  PythonまたはRubyを使用している場合に適用されます。

要対応 (1)

• breakingJWTのサイズ上限を1MBに変更

  JWTのサイズ上限を1MBに設定しました。#7960に対応しています。

要対応 (1)

• breakingJWTのサイズ上限を1MBに変更

  JWTのサイズ上限を1MBに設定しました。

要対応 (2)

• securitycriticalgoogle.golang.org/grpcをv1.79.3へ更新

  google.golang.org/grpcをv1.79.3へ更新しました。この更新はCVE-2026-33186（GHSA-p77j-4mvh-x3m3）に対応しますが、Contourは影響を受けません。

• securityEnvoyをv1.35.9へ更新

  セキュリティ脆弱性への対応として、Envoyをv1.35.9へ更新しました。

要対応 (2)

• securitycriticalgoogle.golang.org/grpcをv1.79.3に更新

  google.golang.org/grpcをv1.79.3に更新します。この更新はCVE-2026-33186に対処していますが、Contourは影響を受けません。

• securityEnvoyをv1.34.13に更新

  Envoyをv1.34.13に更新し、セキュリティ上の脆弱性に対処するとともに安定性を改善します。

要対応 (2)

• securitycriticalgoogle.golang.org/grpcのv1.79.3への更新

  google.golang.org/grpcをv1.79.3へ更新します。この更新にはCVE-2026-33186への対応が含まれますが、Contourは影響を受けません。

• securityEnvoyのv1.34.13への更新

  Envoyをv1.34.13へ更新します。

影響確認 (2)

• securityenvoy 管理ソケットのアクセス範囲を修正

  envoy を実行している場合に適用されます。

• securitylocal backends に対する ingress policies の適用を修正

  ingress policies と local backends を使用している場合に適用されます。

影響確認 (1)

• securityenvoy 管理ソケットのアクセス権を修正

  Envoyが動作している場合に適用されます。

要対応 (8)

• securityhighGRPC Netty ShadedのCVE-2025-55163対応

  GRPC Netty Shaded を更新し、CVE-2025-55163 に対応しました。

• securitymediumZookeeperのCVE-2024-47554対応

  Zookeeper を更新し、CVE-2024-47554 に対応しました。

• securitymediumNimbus Jose JWT 10.0.2への更新

  Nimbus Jose JWT を 10.0.2 に更新し、CVE-2025-53864 に対応しました。

• securitymediumNetty 4.1.130.Finalへの更新

  Netty を 4.1.130.Final に更新し、CVE-2025-67735 に対応しました。

• securitymediumApache Log4J 2.25.3への更新

  Apache Log4J を 2.25.3 に更新し、CVE-2025-68161 に対応しました。

• securitymediumVertx 4.5.24への更新

  Vertx を 4.5.24 に更新し、CVE-2026-1002 に対応しました。

• securitymediumJacksonのGHSA-72hv-8253-57qq対応

  Jackson を更新し、GHSA-72hv-8253-57qq に対応しました。

• securityVert.xとNettyのCVE対応

  0.45.xブランチで、Vert.x と Netty が更新され、CVEへの対応が行われました。

影響確認 (1)

• breakingLinkerd Vizのデフォルトスクレイピング対象をRunningまたはPendingのPodに限定

  Linkerd Vizを使用している場合に適用されます。

要対応 (3)

• securitymediumスコープ付き IPv6 アドレスのクラッシュ修正

  スコープ付き IPv6 アドレスで getAddressWithPort() が呼び出された際のクラッシュを修正しました。対象の識別子は CVE-2026-26310 と GHSA-3cw6-2j68-868p です。

• securitymediumJSON の文字列終端処理の修正

  境界を 1 つ超えて書き込む処理を修正し、文字列の null 終端文字が破損する問題に対応しました。対象の識別子は CVE-2026-26309 と GHSA-56cj-wgg3-x943 です。

• securitymedium下流側リセット後の decode* メソッド実行制御

  下流側でリセットされた後に decode* メソッドが実行されないよう修正しました。対象の識別子は CVE-2026-26311 と GHSA-84xm-r438-86px です。

要対応 (3)

• securitymediumスコープ付きIPv6アドレス処理のクラッシュ修正

  CVE-2026-26310（GHSA-3cw6-2j68-868p）に対応し、スコープ付きIPv6アドレスを渡して getAddressWithPort() を呼び出した際のクラッシュを修正しました。

• securitymediumjson のオフバイワン書き込み修正

  CVE-2026-26309（GHSA-56cj-wgg3-x943）に対応し、文字列のnull終端を破損させる可能性があったオフバイワン書き込みを json で修正しました。

• securitymedium下流リセット後の decode* メソッド実行防止

  CVE-2026-26311（GHSA-84xm-r438-86px）に対応し、下流リセット後に decode* メソッドが実行されないよう修正しました。

要対応 (1)

• securitymediumCVE-2026-26309のJSONオフバイワン書き込み修正

  JSON処理で発生するオフバイワン書き込みを修正しました。

要対応 (7)

• securityhighRBACの複数値ヘッダーバイパス修正

  CVE-2026-26308 に対応し、RBAC における複数値ヘッダーのバイパスを修正しました。

• securityhighJWKSリゾルバー障害による認証バイパス修正

  CVE-2026-31837 および GHSA-v75c-crr9-733c に対応し、既知のデフォルトキーを使った認証バイパスにつながる JWKS リゾルバーの障害を修正しました。

• securitymedium下流リセット後のHTTPデコードメソッド処理修正

  CVE-2026-26311 に対応し、下流側のリセット後にHTTPデコードメソッドがブロックされる問題を修正しました。

• securitymediumスコープ付きIPv6アドレス処理のクラッシュ修正

  CVE-2026-26310 に対応し、スコープ付きIPv6アドレスを指定した getAddressWithPort() でクラッシュする問題を修正しました。

• securitymediumJSON処理のオフバイワン書き込み修正

  CVE-2026-26309 に対応し、JSON処理で発生するオフバイワン書き込みを修正しました。

• securitymediumレート制限レスポンスフェーズのクラッシュ修正

  CVE-2026-26330 に対応し、レート制限レスポンスフェーズでクラッシュする問題を修正しました。

• securitymediumデバッグエンドポイントの名前空間越しプロキシデータアクセス修正

  CVE-2026-31838 および GHSA-974c-2wxh-g4ww に対応し、デバッグエンドポイントから別の名前空間にあるプロキシデータへアクセスできる問題を修正しました。

要対応 (3)

• securitymedium下流リセット後のHTTPデコードメソッド処理修正

  CVE-2026-26311 に対応し、下流からのリセット後にHTTPデコードメソッドがブロックされるよう修正しました。

• securitymediumスコープ付きIPv6アドレス使用時のクラッシュ修正

  CVE-2026-26310 に対応し、スコープ付きIPv6アドレスを指定したgetAddressWithPort()のクラッシュを修正しました。

• securitymediumJSONのオフバイワン書き込み修正

  CVE-2026-26309 に対応し、JSONのオフバイワン書き込みを修正しました。

影響確認 (3)

• securityCVE-2026-29785の修正

  leafnode compressionを有効にしている場合に適用されます。

• securityCVE-2026-27889の修正

  WebSocketsを有効にしている場合に適用されます。

• breakingmax_connsの0設定

  サーバー設定でmax_connsを指定している場合に適用されます。

影響確認 (2)

• securityhighCVE-2026-29785 の修正

  CVE-2026-29785 が存在し、leafnode compression が有効な場合に適用されます。

• securityhighCVE-2026-27889 の修正

  CVE-2026-27889 が存在し、WebSockets が有効な場合に適用されます。

要対応 (2)

• securityhigh公表済み脆弱性への対応

  公表済みの脆弱性2件に対応しました。対象は CVE-2026-27133、CVE-2026-27134、GHSA-2qwx-rq6j-8r6j、GHSA-6x85-j2f7-4xc5 です。

• breakingServerSideApplyPhase1を既定で有効化

  ServerSideApplyPhase1 feature gateがベータに移行し、既定で有効になりました。

要対応 (1)

• securityhighcgoバイナリへのコード混入を防ぐ修正

  GoとC/C++のコメント解析の食い違いによって、生成されるcgoバイナリにコードを紛れ込ませられる問題を修正しました。CVE-2025-61732に対応しています。

要対応 (1)

• breakingistiod の GOMEMLIMIT 自動設定

  メモリ管理が改善され、istiod は automemlimit ライブラリを使ってメモリ上限の 90% を GOMEMLIMIT に自動設定します。OOM による強制終了のリスクを抑えながら、パフォーマンスを維持します。

要対応 (1)

• securityリソースアノテーションの文字検証

  リソースアノテーションの検証で、改行文字と制御文字を拒否するようになりました。テンプレートのレンダリングによって Pod 仕様へコンテナが注入されることを防ぎます。関連する Issue は #58889 です。

要対応 (15)

• securitygithub.com/containerd/containerd を v1.7.29 に更新

  github.com/containerd/containerd が v1.7.29 に更新されました。

• securitygithub.com/go-viper/mapstructure/v2 を v2.4.0 に更新

  github.com/go-viper/mapstructure/v2 が v2.4.0 に更新されました。

• securitygithub.com/docker/docker を v28.3.3+incompatible に更新

  github.com/docker/docker が v28.3.3+incompatible に更新されました。

• securitygolang.org/x/crypto を v0.45.0 に更新

  golang.org/x/crypto が v0.45.0 に更新されました。

• securityhelm.sh/helm/v3 を v3.18.4 に更新

  helm.sh/helm/v3 が v3.18.4 に更新されました。

• securityhelm.sh/helm/v3 を v3.18.5 に更新

  helm.sh/helm/v3 が v3.18.5 に更新されました。

• breakingplpmtud の既定値を blackhole に変更

  plpmtud の既定値が blackhole（blackhole-detected）になりました。

• breakingAddressScopeMax の既定値を254に変更

  AddressScopeMax の既定値が254（ホストスコープ）に変わり、新しいGKEメタデータサーバーとHCPのユースケースに対応しました。関連する設定は --local-max-addr-scope です。

• breakingtls authMode の既定値を migration に変更

  tls authMode の既定値が migration になりました。

• breakingcni の削除タイムアウトを1.5秒に短縮

  cni の削除時のタイムアウトが1.5秒に短縮されました。

• breakingpolicy-default-local-cluster を既定で設定

  policy-default-local-cluster が既定で設定されるようになりました。

• breakinghost firewall bypassを既定で無効化

  host firewall bypassが既定で無効になりました。

• breakingFQDNのmatchpattern sanitizationを厳密化

  FQDNのmatchpattern sanitizationが見直され、条件がより厳密になりました。

• breakingcilium_host 経由の暗号化トラフィック転送を削除

  暗号化トラフィックを cilium_host 経由で転送しなくなりました。

• breakingコンテナイメージへのCNI設定ファイルの同梱を削除

  コンテナイメージにCNI設定ファイルをインストールしなくなりました。

影響確認 (1)

• breakingconnector.plugin.version 設定の使用禁止

  KafkaConnect または KafkaMirrorMaker2 のコネクター設定で connector.plugin.version を使用している場合に適用されます。

要対応 (1)

• breakingランタイムガードとレガシーコードパスの削除

  複数のランタイムガードとレガシーコードパスが削除されました。

影響確認 (1)

• breakingWebhook-Request-Origin から Webhook-Allowed-Origin への変更

  CloudEvents の HTTP バインディングで Webhook ヘッダーを使用している場合に適用されます。