リリース

影響確認 (4)

• breakingspec.resourceSelectors の namespace 検証

  PropagationPolicy または OverridePolicy を使用している場合に適用されます。

• breakingWorkloadAffinity の GroupByLabelKey 設定制約

  WorkloadAffinity で GroupByLabelKey を設定している場合に適用されます。

• breaking既定コンポーネントイメージの更新

  適用対象はリリースノートに明記されていません。

• リリースページにあと 1 件

要対応 (9)

• security暗号関連依存関係の更新

  x/(net/sync/crypto)を更新し、dvsekhvalnov/jose2goのバージョンを固定しました。

• securityGoの脆弱性修正

  Goの脆弱性を修正しました。

• securityUID確認の対象をrootに限定

  UIDの確認対象をrootだけに更新しました。

• securityHTTPパスマッチングとinvocation自動登録の修正

  HTTPパスのマッチングで発生するcardinality leakを修正し、invocationの自動登録に対応しました。

• securitygolang.org/x/cryptoの更新

  golang.org/x/cryptoを更新しました。

• securitygithub.com/docker/dockerの更新

  github.com/docker/dockerを更新しました。

• securityセキュリティ修正

  セキュリティ修正を追加しました。

• securitygithub.com/coreos/go-oidc/v3の更新

  github.com/coreos/go-oidc/v3を更新しました。

• securityNATSの脆弱性修正

  NATSの脆弱性を修正しました。

要対応 (1)

• securityhighgo.opentelemetry.io 依存関係のセキュリティ修正

  go.opentelemetry.io の依存関係を更新し、GHSA-9h8m-3fm2-qjrq に対する修正を適用しています。

影響確認 (1)

• breakingアラート注釈の初期表示変更

  UIで/alertsページを利用している場合に適用されます。

影響確認 (1)

• breakingプローブの host フィールドの受け付け値を制限

  プローブ設定で host フィールドを使用している場合に適用されます。

影響確認 (1)

• breakingプローブの host フィールドを制限

  host を設定している場合に適用されます。

影響確認 (1)

• breakingnvmeof のデフォルトゲートウェイトポロジー分散制約

  nvmeof を使用している場合に適用されます。

影響確認 (1)

• breaking非推奨の v1beta2 と v2beta2 APIを CRDs から削除

  CRDs でFlux APIの v1beta2 または v2beta2 を利用している場合に該当します。

要対応 (1)

• securitycriticalgrpc-health-probeをv0.4.45へ更新

  grpc-health-probeがv0.4.45に更新され、CVE-2025-68121に対応しました。

要対応 (1)

• securitycriticalCVE-2025-68121の修正

  CVE-2025-68121を修正しました。

要対応 (7)

• securitygolang.org/x/crypto の v0.45.0 への更新

  セキュリティ修正として、依存モジュール golang.org/x/crypto が v0.45.0 に更新されました。

• securitygithub.com/go-chi/chi/v5 の v5.2.4 への更新

  セキュリティ修正として、依存モジュール github.com/go-chi/chi/v5 が v5.2.4 に更新されました。

• securitygithub.com/sigstore/cosign/v3 の v3.0.4 への更新

  セキュリティ修正として、依存モジュール github.com/sigstore/cosign/v3 が v3.0.4 に更新されました。

• securitygithub.com/theupdateframework/go-tuf/v2 の v2.4.1 への更新

  セキュリティ修正として、依存モジュール github.com/theupdateframework/go-tuf/v2 が v2.4.1 に更新されました。

• securitygithub.com/sigstore/rekor の v1.5.0 への更新

  セキュリティ修正として、依存モジュール github.com/sigstore/rekor が v1.5.0 に更新されました。

• securitygithub.com/sigstore/sigstore の v1.10.4 への更新

  セキュリティ修正として、依存モジュール github.com/sigstore/sigstore が v1.10.4 に更新されました。

• securitygithub.com/quic-go/quic-go の v0.57.0 への更新

  セキュリティ修正として、依存モジュール github.com/quic-go/quic-go が v0.57.0 に更新されました。

影響確認 (7)

• breakingカタログ拡張ポイントの安定版エクスポートへの移行

  カタログにカスタムプロセッサーやエンティティープロバイダーを追加し、catalogProcessingExtensionPoint を使用している場合に該当します。

• breakingAPIオーバーライドのエラー拒否

  適用対象はリリースノートに明記されていません。

• breaking動的クライアント登録のトークン有効期限設定の削除

  auth.experimentalDynamicClientRegistration.tokenExpiration を設定している場合に該当します。

• リリースページにあと 4 件

要対応 (1)

• securityhighcgoバイナリへのコード混入を防ぐ修正

  GoとC/C++のコメント解析の食い違いによって、生成されるcgoバイナリにコードを紛れ込ませられる問題を修正しました。CVE-2025-61732に対応しています。

要対応 (1)

• breakingistiod の GOMEMLIMIT 自動設定

  メモリ管理が改善され、istiod は automemlimit ライブラリを使ってメモリ上限の 90% を GOMEMLIMIT に自動設定します。OOM による強制終了のリスクを抑えながら、パフォーマンスを維持します。

影響確認 (1)

• breakingReceive のシャッフルシャーディングに一貫性ハッシュを採用

  Receive を使用している場合に適用されます。

影響確認 (1)

• breakingSchedulerAsyncAPICalls 機能ゲートの無効化

  SchedulerAsyncAPICalls 機能ゲートを利用している場合に適用されます。

要対応 (1)

• securityリソースアノテーションの文字検証

  リソースアノテーションの検証で、改行文字と制御文字を拒否するようになりました。テンプレートのレンダリングによって Pod 仕様へコンテナが注入されることを防ぎます。関連する Issue は #58889 です。

影響確認 (1)

• breakingトレースとメトリクスのストレージ設定でバックエンド種別を1つに制限

  トレースまたはメトリクスのストレージに複数のバックエンド種別を設定している場合に適用されます。

要対応 (1)

• breakingnodes/proxy RBAC有効化設定の削除

  不要な nodes/proxy RBACの有効化設定が削除されました。

要対応 (15)

• securitygithub.com/containerd/containerd を v1.7.29 に更新

  github.com/containerd/containerd が v1.7.29 に更新されました。

• securitygithub.com/go-viper/mapstructure/v2 を v2.4.0 に更新

  github.com/go-viper/mapstructure/v2 が v2.4.0 に更新されました。

• securitygithub.com/docker/docker を v28.3.3+incompatible に更新

  github.com/docker/docker が v28.3.3+incompatible に更新されました。

• securitygolang.org/x/crypto を v0.45.0 に更新

  golang.org/x/crypto が v0.45.0 に更新されました。

• securityhelm.sh/helm/v3 を v3.18.4 に更新

  helm.sh/helm/v3 が v3.18.4 に更新されました。

• securityhelm.sh/helm/v3 を v3.18.5 に更新

  helm.sh/helm/v3 が v3.18.5 に更新されました。

• breakingplpmtud の既定値を blackhole に変更

  plpmtud の既定値が blackhole（blackhole-detected）になりました。

• breakingAddressScopeMax の既定値を254に変更

  AddressScopeMax の既定値が254（ホストスコープ）に変わり、新しいGKEメタデータサーバーとHCPのユースケースに対応しました。関連する設定は --local-max-addr-scope です。

• breakingtls authMode の既定値を migration に変更

  tls authMode の既定値が migration になりました。

• breakingcni の削除タイムアウトを1.5秒に短縮

  cni の削除時のタイムアウトが1.5秒に短縮されました。

• breakingpolicy-default-local-cluster を既定で設定

  policy-default-local-cluster が既定で設定されるようになりました。

• breakinghost firewall bypassを既定で無効化

  host firewall bypassが既定で無効になりました。

• breakingFQDNのmatchpattern sanitizationを厳密化

  FQDNのmatchpattern sanitizationが見直され、条件がより厳密になりました。

• breakingcilium_host 経由の暗号化トラフィック転送を削除

  暗号化トラフィックを cilium_host 経由で転送しなくなりました。

• breakingコンテナイメージへのCNI設定ファイルの同梱を削除

  コンテナイメージにCNI設定ファイルをインストールしなくなりました。

要対応 (2)

• securityセキュリティ脆弱性への対処

  セキュリティ脆弱性に対処しました。

• securitykubectl image の更新による CVEs 対応

  kubectl image を更新し、CVEs に対処しました。

影響確認 (1)

• breakingNATS Streaming scaler の削除

  NATS Streaming scaler を使用している場合に該当します。

要対応 (3)

• securityk8s.io/kubernetes の v1.34.2 への更新

  依存モジュール k8s.io/kubernetes が v1.34.2 に更新されました。

• securityhelm の v3.19.4 への更新

  helm が v3.19.4 に更新されました。更新理由として CVE が記載されています。

• securityredis の安定版更新

  redis が最新の安定版へ更新され、脆弱性の解消が図られました。