CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
セキュリティ対応と、PulsarおよびSchedulerの動作修正を含むリリースです。PulsarではAvroとJSONスキーマ処理、Schedulerではクラスタ復旧に関する不具合が扱われています。
要対応 (1)
securitycriticalgRPC依存関係の更新
google.の依存関係を、CVE-2026-33186を解消するバージョンに更新しました。
影響確認 (2)
breakingrawPayload指定時の公開制約
CloudEventsでラップされたトピックにrawPayloadが設定されている場合に適用されます。
breakingJSONスキーマの構造検証
.を設定している場合に適用されます。
対応環境の一部が削除または絞り込まれ、CoCo operator と packer images は非推奨になりました。ストレージ、アテステーション、GPU、API、署名、イメージ処理に関する機能も追加されています。
影響確認 (5)
breakingCDH の Go サポートを削除
CDH を利用している場合に該当します。
breakingCanonical TDX Tech preview のサポート終了
Canonical TDX Tech preview を利用している場合に該当します。
breaking対応する Ubuntu バージョンの変更
Ubuntu 24. または 25. を利用している場合に該当します。
事前準備 (1)
deprecatedpacker images のサポート終了予定削除時期は未定
packer images を利用している場合に該当します。
運用時の互換性に関わる変更に加え、CVEに対応する依存関係の更新、複数の不具合修正、新しいサービス機能とアーキテクチャ対応が含まれます。Helm chartや設定を利用している環境では、既存の運用方法に影響する変更があります。
要対応 (1)
security依存関係とPythonインタープリターを更新
CVEを解消するため、多数の依存関係とPythonインタープリターが更新されました。
影響確認 (6)
breakingカスタムエラーレスポンスとヘッダーケース変更機能の削除
Ambassador Edge Stackのカスタムエラーレスポンスまたはヘッダーケース変更機能を使用している場合に適用されます。
breakingHelm chartとEmissaryのバージョン番号を統一
Helm chartを使用している場合に適用されます。
breakingHelm chartの配布先をGHCRに限定
EmissaryのHelm chartを使用している場合に適用されます。
v1.15.0では、カスタムのHTTPAuthPlugin実装における認証処理の配置が変わりました。該当する実装では、リクエストごとの処理をNewClient()からPrepare()へ移す契約になっています。
影響確認 (1)
breakingHTTPAuthPluginの認証処理位置の変更
カスタムのHTTPAuthPlugin実装を使用している場合に適用されます。
インストール用スクリプトの扱いが変わり、GoツールチェーンとJSON-RPC依存関係が更新されています。ダッシュボードとWebhookの不具合が修正され、GoおよびUIパッケージには脆弱性修正が含まれています。
要対応 (2)
securitygoパッケージの更新
脆弱性を修正するため、goパッケージを更新しました。
securityuiパッケージの更新
脆弱性を修正するため、uiパッケージを更新しました。
影響確認 (1)
breakinginstall.の削除
install.を使用している場合に該当します。
事前準備 (1)
deprecatedinstall.の非推奨化
install.を使用している場合に該当します。
運用者向けの機能追加と保守変更を含むリリースです。APIや挙動、依存関係、非推奨化と削除に加え、監視、CRD検出、feature gate、スケジューリング、セキュリティ関連の挙動も更新されています。アップグレード時は記録ルール名や監視、設定への影響を確認する必要がありますが、セキュリティアドバイザリや明示的な脆弱性の報告はありません。
影響確認 (7)
breakingvirt-controller ClusterRole の取得権限削除
適用対象はリリースノートに明記されていません。
breaking一時停止中のVMIに対する停止要求の拒否
一時停止中のVMIを実行している場合に該当します。
breakingEnableVirtioFsConfigVolumes のGA移行
EnableVirtioFsConfigVolumes feature gate を使用している場合に該当します。
事前準備 (4)
deprecatedDisableMDEVConfiguration feature gate の非推奨化削除時期は未定
DisableMDEVConfiguration feature gate を使用している場合に該当します。
deprecatedVMI移行データメトリクスの名称変更
kubevirt_vmi_migration_data_total_bytes メトリクスを使用している場合に該当します。
deprecatedMultiArchitecture feature gate の非推奨化
MultiArchitecture feature gate を使用している場合に該当します。
セキュリティ修正に加え、運用者の対応が必要になる権限や利用条件の変更、依存関係マニフェストの記載が含まれます。通常の正確性修正と改善も行われています。
要対応 (1)
breakingJWTのサイズ上限を1MBに変更
JWTのサイズ上限を1MBに設定しました。#7960に対応しています。
影響確認 (13)
securityhighMQTTに関する脆弱性の修正
MQTTを利用している場合に適用されます。
securityhighleafnodesに関する脆弱性の修正
leafnodesを利用している場合に適用されます。
securityhighコマンドラインで渡す認証情報に関する脆弱性の修正
コマンドラインで認証情報を渡している場合に適用されます。
開示済みのCVE識別子に関するセキュリティ修正に加え、正確性の修正、検証と権限制約の強化が含まれています。依存関係とツールチェーンも更新されています。
要対応 (1)
breakingJWTのサイズ上限を1MBに変更
JWTのサイズ上限を1MBに設定しました。
影響確認 (11)
securityhighMQTTに関するCVE-2026-33216、CVE-2026-33217、CVE-2026-33215の修正
MQTTを利用している場合に適用されます。
securityhighleafnodesに関するCVE-2026-33218の修正
leafnodesを利用している場合に適用されます。
securityhighコマンドラインの認証情報に関するCVE-2026-33247の修正
コマンドラインで認証情報を設定している場合に適用されます。
セキュリティ対応の依存関係更新と、例示マニフェストの設定変更が含まれます。互換性テストの対象はKubernetes 1.32から1.34です。
要対応 (2)
securitycriticalgoogle.をv1.79.3へ更新
google.をv1.79.3へ更新しました。この更新はCVE-2026-33186（GHSA-p77j-4mvh-x3m3）に対応しますが、Contourは影響を受けません。
securityEnvoyをv1.35.9へ更新
セキュリティ脆弱性への対応として、Envoyをv1.35.9へ更新しました。
影響確認 (1)
breaking例示マニフェストのhostPort: 8002を削除
例示マニフェストでhostPortを使用している場合に適用されます。
依存関係の更新とサンプルマニフェストの変更を含むリリースです。Kubernetes 1.31から1.33でテストされており、運用者向けに単独の変更を伴わない見出しもあります。
要対応 (2)
securitycriticalgoogle.をv1.に更新
google.をv1.に更新します。この更新はCVE-2026-33186に対処していますが、Contourは影響を受けません。
securityEnvoyをv1.に更新
Envoyをv1.に更新し、セキュリティ上の脆弱性に対処するとともに安定性を改善します。
影響確認 (1)
breakingサンプルマニフェストのhostPort: 8002を削除
hostPort: 8002をサンプルマニフェストで設定している場合に適用されます。
依存関係の更新と、example manifestsの設定変更を含むリリースです。Kubernetes 1.30から1.32までの範囲でテストされています。
要対応 (2)
securitycriticalgoogle.のv1.への更新
google.をv1.へ更新します。この更新にはCVE-2026-33186への対応が含まれますが、Contourは影響を受けません。
securityEnvoyのv1.への更新
Envoyをv1.へ更新します。
影響確認 (1)
breakingexample manifestsからのEnvoyメトリクス設定削除
example manifestsでhostPort: 8002を使用している場合に適用されます。
ベンダー中立なAPIと、ユーザーが制御する移行フローを導入し、プレビュー段階のDynamic Zones対応、イメージとHelmの配布先変更、依存関係の更新を含みます。多くは追加または段階的な変更ですが、APIの移行やレジストリの変更には運用計画や対応が必要になる場合があります。
影響確認 (2)
breakingHelmリポジトリのOCI化
Helmを使用している場合に該当します。
breakingベンダー中立なAPIグループへの切り替え
k8gb.を使用している場合に該当します。
バージョン管理、対応する Kubernetes と PSS の構成、インストール動作、同梱コンポーネントのバージョンが変わります。Kubernetes 1.の要件と Pod Security enforcement の既定値変更を除き、アップグレード後に追加の設定変更は必要ありません。
要対応 (1)
breakingPod Security enforcement の既定値変更
Pod Security enforcement の既定値が baseline に変わります。
影響確認 (1)
breaking対応する Kubernetes バージョン
Kubernetes 1.を使用している場合に適用されます。
レジストリ、キャッシュ、署名、プロファイリング、設定、互換性に関する機能が追加され、依存関係や基盤コンポーネントの更新、各種不具合の修正も含まれています。GCRレプリケーションの削除とプロキシキャッシュの動作変更があるため、これらを利用している環境では影響を確認してください。アドバイザリ識別子は提供されていません。
要対応 (2)
securityプロジェクト作成前に発行された bearer tokens の拒否
プロジェクト作成前に発行された bearer tokens は拒否されるようになりました。
breakingwebhook event check 用 harbor IP のポート 9443 削除
webhook event check 用の harbor IP からポート 9443 が削除されました。
影響確認 (2)
breakingpull-through cache から proxy cache への変更
Harborで pull-through cache を使用している場合に適用されます。
breakingGCR replication の削除
Harborで GCR replication を使用している場合に適用されます。
Go 標準ライブラリのセキュリティ修正、Go ツールチェーンの更新、Configuration CRD の変更、新しい RavenDB ステートストア登録を含むリリースです。pub/sub、スケジューラー、サービス呼び出し、ワークフロー、アクター、会話コンポーネント、ステートストア、Sentry にも正確性と性能に関する修正があります。
要対応 (3)
securityhighGo 1. へのツールチェーン更新
リポジトリ内のすべてのモジュールと Docker イメージで、Go ツールチェーンを 1.24.13 から Go 1. に更新しました。
securitymediumGO-2026-4603 に対応した html/template の URL エスケープ修正
html/template の meta content 属性で URL のアクションがエスケープされず、細工した URL によってクロスサイトスクリプティングが発生する可能性を修正しました。
securitylowGO-2026-4602 に対応した os. の境界逸脱修正
os の FileInfo が Root の外へ抜け、想定したディレクトリ境界の外にあるファイルへアクセスできる可能性を修正しました。
影響確認 (2)
securityhighGO-2026-4601 に対応した IPv6 ホストリテラル解析の修正
net/url を使用している場合に適用されます。
breakingstateRetentionPolicy の Configuration CRD スキーマ修正
stateRetentionPolicy を設定している場合に適用されます。
既存の API、設定、CLI、フロントエンド、カタログ、統合に互換性のない変更が含まれ、削除や既定値の変更、利用条件の見直しが発生しています。非推奨機能も残っているため、利用状況に応じた移行計画が必要です。セキュリティ修正は含まれていません。
影響確認 (14)
breaking新規アプリの既定フロントエンドシステムを変更
適用対象はリリースノートに明記されていません。
breakingcreate-app のフラグ名を変更
create-app で --next フラグを使用している場合に該当します。
breaking非推奨の型とオプションを削除
非推奨の型やオプションを使用している場合に該当します。
事前準備 (7)
deprecated従来の表示設定 props を非推奨化
variant、columns、tableOptions のいずれかの props を使用している場合に該当します。
deprecatedRelatedEntitiesCard を非推奨化
RelatedEntitiesCard を使用している場合に該当します。
deprecatedCLI の組み込みセットへのフォールバックを非推奨化
適用対象はリリースノートに明記されていません。
公開されたセキュリティ修正と indication 名の変更に加え、正確性、動作、可観測性に関する更新が含まれます。大半の変更では、アップグレード以外に運用者の対応は必要ありません。
要対応 (1)
securityhighCVE-2025-47913 への対処
golang/x/crypto を openshift/golang-crypto の修正版モジュールに向ける replace directive が追加され、CVE-2025-47913 に対処しました。
影響確認 (2)
breakingQuiesceTimeout indication への名称変更
Windows VSSを利用している場合に適用されます。
breakingDefaultVirtWebhookClient{QPS,Burst} の既定値調整
適用対象はリリースノートに明記されていません。
設定項目とLLMInferenceServiceの機能が広がり、チャートや依存関係の更新も含まれます。動作の変更や削除、複数の不具合修正も行われています。運用者が確認して適用するセキュリティ修正も含まれます。
要対応 (13)
securitycriticalh11の不正なボディ処理を修正
不正なボディを受け入れるh11の問題として、CVE-2025-43859に対処しました。
securityhighstarletteを0.に固定
starletteをバージョン0.に固定し、CVE-2025-62727に対処しました。
securityhighlightgbmを4.に更新
lightgbmをバージョン4.に更新し、CVE-2024-43598に対処しました。
securityhighCVE-2025-66418への対処
解凍チェーン内のリンク数が無制限になる問題として、CVE-2025-66418に対処しました。
securityhighexpr-lang/exprをv1.に更新
expr-lang/exprをv1.に更新し、CVE-2025-68156に対処しました。
securityhighcryptographyのCVE-2026-26007対策
cryptographyのsubgroup attackに関するCVE-2026-26007に対処しました。
securityhighpython-multipartのCVE-2026-24486対策
python-multipartで任意のファイルを書き込める問題として、CVE-2026-24486に対処しました。
securitymedium複数のCVEへの対処
securityhttps.のパストラバーサル対策
https.でパストラバーサルが発生しないよう修正しました。
security複数のCVEへの対処
複数のCVEsに対処しました。
securityAIOHTTPの自動解凍処理を修正
AIOHTTPのHTTP Parserにあるauto_decompress機能のzip bomb脆弱性を修正しました。
securityextractTarFilesのパストラバーサル対策
extractTarFilesのパストラバーサル脆弱性を修正しました。
breakingminioからseaweedfsへの置き換え
minioをseaweedfsに置き換えました。
影響確認 (6)
breakinginferenceservice CRDのcert-managerアノテーション削除
inferenceservice CRDを使用している場合に適用されます。
breakingPython 3.9のサポート終了
Python 3.9を実行している場合に適用されます。
breaking--disable-log-requestsフラグの削除
--disable-log-requestsを設定している場合に適用されます。
通信設定から実行時処理まで複数の動作が更新され、入力検証も厳格になっています。TLS証明書のローテーション処理と実験的な既定値が見直され、Goツールチェーンは開示されたアドバイザリに対応する更新を受けています。
要対応 (2)
securityhighgo ツールチェーンの更新
go ツールチェーンを 1.25.8 に更新し、標準ライブラリの脆弱性 GO-2026-4603 と GO-2026-4601 に対応しました。
breakingタプル文字列の検証条件変更
タプル文字列に unicode control characters または null bytes が含まれている場合、タプル検証が失敗するようになりました。
影響確認 (1)
breakingpipeline_list_objects の実験的な既定値変更
pipeline_list_objects を設定している場合、listObjects-pipeline-enabled を設定している場合、またはカスタムの featureflag クライアントを使用している場合に適用されます。
Kubernetesの対応範囲を絞り、今後削除される機能を告知したリリースです。Kafka 3.をサポートし、依存関係のセキュリティ修正も含みます。リリース概要や成果物一覧には、個別の運用者向け変更に当たらない記載もあります。
要対応 (8)
securityhighGRPC Netty ShadedのCVE-2025-55163対応
GRPC Netty Shaded を更新し、CVE-2025-55163 に対応しました。
securitymediumZookeeperのCVE-2024-47554対応
Zookeeper を更新し、CVE-2024-47554 に対応しました。
securitymediumNimbus Jose JWT 10.0.2への更新
Nimbus Jose JWT を 10. に更新し、CVE-2025-53864 に対応しました。
securitymediumNetty 4.1.130.Finalへの更新
Netty を 4. に更新し、CVE-2025-67735 に対応しました。
securitymediumApache Log4J 2.25.3への更新
Apache Log4J を 2. に更新し、CVE-2025-68161 に対応しました。
securitymediumVertx 4.5.24への更新
Vertx を 4. に更新し、CVE-2026-1002 に対応しました。
securitymediumJacksonのGHSA-72hv-8253-57qq対応
Jackson を更新し、GHSA-72hv-8253-57qq に対応しました。
securityVert.とNettyのCVE対応
0.45.xブランチで、Vert. と Netty が更新され、CVEへの対応が行われました。
影響確認 (1)
breakingKubernetesの対応範囲を1.25以降に変更
Kubernetes 1. または Kubernetes 1. を使用している場合に該当します。
事前準備 (3)
breakingStrimzi MirrorMaker 2 Extensionsの削除予定0.28.0から · 0.46で削除予定
Strimzi MirrorMaker 2 Extensions を使用している場合に該当します。
breakingStrimzi EnvVar Configuration Providerの削除予定0.38.0から · 0.46で削除予定
Strimzi EnvVar Configuration Provider を使用している場合に該当します。
deprecatedZooKeeperベースのKafkaクラスタとMirrorMaker 1のサポート終了予定0.46で削除予定
ZooKeeper-based Apache Kafka clusters または MirrorMaker 1 deployments を使用している場合に該当します。
Windowsとデバイス管理に関する機能が加わり、エッジデータベースとノード取得の挙動が変わります。エッジデータベースのORMは置き換わり、Kubernetesはv1.へ更新され、Device CRDの利用者はデバイスのステータスを新しいDeviceStatus CRDから取得する形になります。
影響確認 (1)
breakingDevice CRDのステータスをDeviceStatus CRDへ分離
Device CRDを使用している場合に適用されます。
Helm、API、solver、feature gate に関する機能が追加され、既定値や受け付ける動作も変更されています。複数の不具合が修正され、cert-manager と Go に関するセキュリティ修正も含まれています。
要対応 (2)
securityhighGo を v1. に更新
Go を v1. に更新し、CVE-2025-61727 と CVE-2025-61729 に対応しました。
breakingIssuer 参照の kind と group の既定値を変更
Issuer の参照に使う kind と group の既定値が、v0.19.0 で導入された値から以前の設定に戻りました。
影響確認 (4)
securityDNS キャッシュ処理による cert-manager controller のパニックを修正
適用対象はリリースノートに明記されていません。
breakingOtherNames を Beta に昇格し既定で有効化
OtherNames 機能を使用している場合に適用されます。
breakingコンテナの既定 UID と GID を変更
既定のコンテナユーザー（UID）または既定のコンテナグループ（GID）を設定していない場合に適用されます。
セキュリティ修正、正確性の修正、JetStream設定機能の拡張、依存関係の更新を含みます。クラスタ構成ではストリーム更新に関する回帰が報告されており、max_connsの挙動も変わっています。
影響確認 (3)
securityCVE-2026-29785の修正
leafnode compressionを有効にしている場合に適用されます。
securityCVE-2026-27889の修正
WebSocketsを有効にしている場合に適用されます。
breakingmax_connsの0設定
サーバー設定でmax_connsを指定している場合に適用されます。
設定やAPIの互換性に関わる変更があり、GoツールチェーンにはGo 1.が必要です。新しい機能の追加と不具合および性能の修正も含まれますが、セキュリティアドバイザリやセキュリティ固有の修正は確認されていません。
要対応 (1)
breakingGo 1.の必須化
コードベース全体でGoのバージョンを統一し、Go 1.を必須とします。
影響確認 (2)
breakingremote sampling endpointのレガシー形式削除
remote sampling endpointを使用している場合に適用されます。
breakingtraces.からtraces.への変更
traces.を設定している場合に適用されます。
公表済みの脆弱性への対応に加え、KubernetesとKafkaのサポート対象が見直され、機能ゲートの既定値やリスナー単位のKafkaオプション設定が変更されました。ingressリスナータイプも非推奨になっており、アップグレードにはCRDの更新とKafkaUserフィールドの移行が必要です。
要対応 (2)
securityhigh公表済み脆弱性への対応
公表済みの脆弱性2件に対応しました。対象は CVE-2026-27133、CVE-2026-27134、GHSA-2qwx-rq6j-8r6j、GHSA-6x85-j2f7-4xc5 です。
breakingServerSideApplyPhase1を既定で有効化
ServerSideApplyPhase1 feature gateがベータに移行し、既定で有効になりました。
影響確認 (2)
breakingKubernetesのサポート対象を1.30以降に変更
Kubernetes 1.27、1.28、または1.29を使用している場合に該当します。
breakingKafka 4.0.0および4.0.1のサポートを削除
Kafka 4.0.0または4.0.1を使用している場合に該当します。
事前準備 (1)
deprecatedingressリスナータイプを非推奨化
ingressリスナータイプを設定している場合に該当します。
