CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
対応環境の一部が削除または絞り込まれ、CoCo operator と packer images は非推奨になりました。ストレージ、アテステーション、GPU、API、署名、イメージ処理に関する機能も追加されています。
影響確認 (5)
breakingCDH の Go サポートを削除
CDH を利用している場合に該当します。
breakingCanonical TDX Tech preview のサポート終了
Canonical TDX Tech preview を利用している場合に該当します。
breaking対応する Ubuntu バージョンの変更
Ubuntu 24. または 25. を利用している場合に該当します。
事前準備 (1)
deprecatedpacker images のサポート終了予定削除時期は未定
packer images を利用している場合に該当します。
v1.15.0では、カスタムのHTTPAuthPlugin実装における認証処理の配置が変わりました。該当する実装では、リクエストごとの処理をNewClient()からPrepare()へ移す契約になっています。
影響確認 (1)
breakingHTTPAuthPluginの認証処理位置の変更
カスタムのHTTPAuthPlugin実装を使用している場合に適用されます。
セキュリティ上の問題を修正しているため、利用環境ではアップグレードが必要です。その他の不具合修正については、アップグレード以外の運用者対応は必要ありません。
影響確認 (8)
securitymediumOIDC Dynamic Client Registration の SSRF 修正
OIDC Dynamic Client Registration を利用している場合に適用されます。
securitymediumrealm のクライアント操作における IDOR の修正
適用対象はリリースノートに明記されていません。
securitymediummanage-clients permission による権限昇格の修正
manage-clients permission を設定している場合に適用されます。
エージェントバージョンの報告、TLSポリシーの挙動、性能、複数の不具合が更新され、セキュリティ修正も含まれます。セキュリティに関する変更はアップグレードが必要で、その他の修正は該当するデプロイメントを利用している場合を除き情報提供です。
要対応 (1)
securityエージェントレベルでのセレクター記録停止
機密情報が漏えいする可能性を避けるため、エージェントレベルでセレクターをログに記録しなくなりました（#6732）。
影響確認 (1)
securityサーバーTCPエンドポイントのTLSセッションチケット無効化
サーバーのTCPエンドポイントを使用している場合に適用されます。
通信設定から実行時処理まで複数の動作が更新され、入力検証も厳格になっています。TLS証明書のローテーション処理と実験的な既定値が見直され、Goツールチェーンは開示されたアドバイザリに対応する更新を受けています。
要対応 (2)
securityhighgo ツールチェーンの更新
go ツールチェーンを 1.25.8 に更新し、標準ライブラリの脆弱性 GO-2026-4603 と GO-2026-4601 に対応しました。
breakingタプル文字列の検証条件変更
タプル文字列に unicode control characters または null bytes が含まれている場合、タプル検証が失敗するようになりました。
影響確認 (1)
breakingpipeline_list_objects の実験的な既定値変更
pipeline_list_objects を設定している場合、listObjects-pipeline-enabled を設定している場合、またはカスタムの featureflag クライアントを使用している場合に適用されます。
Helm、API、solver、feature gate に関する機能が追加され、既定値や受け付ける動作も変更されています。複数の不具合が修正され、cert-manager と Go に関するセキュリティ修正も含まれています。
要対応 (2)
securityhighGo を v1. に更新
Go を v1. に更新し、CVE-2025-61727 と CVE-2025-61729 に対応しました。
breakingIssuer 参照の kind と group の既定値を変更
Issuer の参照に使う kind と group の既定値が、v0.19.0 で導入された値から以前の設定に戻りました。
影響確認 (4)
securityDNS キャッシュ処理による cert-manager controller のパニックを修正
適用対象はリリースノートに明記されていません。
breakingOtherNames を Beta に昇格し既定で有効化
OtherNames 機能を使用している場合に適用されます。
breakingコンテナの既定 UID と GID を変更
既定のコンテナユーザー（UID）または既定のコンテナグループ（GID）を設定していない場合に適用されます。
SAMLとアイデンティティブローカーに関する公開済みのセキュリティ脆弱性4件を修正しています。運用環境ではアップグレードが必要です。
影響確認 (4)
securityhighCVE-2026-3047 の SAML broker 認証バイパスを修正
SAML brokerを使用し、disabled SAML clientを設定している場合に該当します。
securityhighCVE-2026-3009 の無効なIdentity Providerの扱いを修正
Disabled Identity Providerを設定している場合に該当します。
securityhighCVE-2026-2603 の無効なSAML IdPによるログインを修正
Disabled SAML IdPを設定している場合に該当します。
