リリース

要対応 (8)

• securitymediumgolang.org/x/imageの更新

  golang.org/x/imageがv0.39.0へ更新され、GO-2026-4962に対応しました。

• securitydurabletask-goとpgxの更新

  durabletask-goがv0.12.1へ更新され、pgxも更新されました。

• breakingWorkflowsRemoteActivityReminderのデフォルト有効化

  WorkflowsRemoteActivityReminderがデフォルトで有効になり、アプリ間のワークフローアクティビティ結果がSchedulerのリマインダー経由で配信されます。

• breakingコンポーネント群のホットリロード

  HotReloadがデフォルトで有効になり、Components、Subscriptions、MCPServers、Configurations、HTTPEndpoints、Resiliencies、WorkflowAccessPoliciesがデフォルトでホットリロードされます。

• breakingサイドカーのプローブ既定値の変更

  サイドカーのlivenessは、kubeletが再起動するまでの時間が約230秒となるよう緩和され、readinessはより短い時間で反応する設定になりました。

• breakingHotReloadのデフォルト有効化

  HotReloadがv1.18でデフォルト有効になりました。

• breakinglivenessとreadinessのプローブ既定値更新

  livenessの既定値が緩和され、readinessの既定値が厳格になりました。

• breakingサイドカープローブ既定値の変更

  サイドカーのプローブ既定値が変更されました。livenessはkubelet再起動まで約230秒となるよう緩和され、readinessはcontrol-planeで約3秒、daprdで約5秒となるよう短縮されました。

影響確認 (3)

• breaking暗号スイートの既定動作変更

  allow_insecure_cipher_suites を有効にする場合に適用されます。

• breakingJetStream strict modeの既定有効化

  JetStreamを使用する場合に適用されます。

• breakingv2.12機能使用時のダウングレード制約

  新しいv2.12機能を使用する場合に適用されます。

影響確認 (1)

• breakingDoH3のHTTP/3リクエストヘッダーサイズ上限

  DoH3を利用している場合に適用されます。

影響確認 (1)

• breakingOSSでの error_flatten 実験の有効化

  適用対象はリリースノートに明記されていません。

影響確認 (3)

• securityステータスページの保存型XSS脆弱性を修正

  Alertmanager または Store Gateway を実行している場合に該当します。

• securityネイティブヒストグラムのprotobufサイズ制限

  ネイティブヒストグラムを利用している場合に該当します。

• breakinggzip展開後の出力サイズ制限

  OTLPの取り込み経路を利用している場合に該当します。

要対応 (1)

• securityhighEnvoy のメモリ枯渇によるサービス拒否を修正

  CVE-2026-47774 に対応しました。認証不要のリモート攻撃者が、細工した HTTP/2 リクエストで Envoy プロセスのメモリを枯渇させ、サービス拒否を引き起こせる問題です。リクエストヘッダーサイズの検証で Cookie ヘッダーのバイト数が完全に考慮されていなかったほか、HPACK のヘッダーブロック制限がエンコード後のサイズだけに適用され、デコード後の合計サイズに上限がありませんでした。

要対応 (1)

• securityhighnghttp2へのCVE-2026-27135パッチ適用

  HTTP/2で使用する nghttp2 に CVE-2026-27135 のパッチを適用しました。

要対応 (2)

• securityhighlodash のコードインジェクション脆弱性を修正

  CVE-2026-4800 に関連する、lodash のコードインジェクション脆弱性を修正しました。

• securitymediumNetty の HTTP/1.0 リクエストスマグリング対策の修正

  CVE-2026-42581 に関連する、Netty の HTTP/1.0 における TE と CL の併用がリクエストスマグリング対策を回避する問題を修正しました。

影響確認 (2)

• breakingCSIドライバー設定の管理方法を変更

  CSIドライバーの設定を構成している場合に適用されます。

• breaking未使用CRUSHルールのデフォルト処理を変更

  Ceph mgrが稼働している場合に適用されます。

影響確認 (5)

• breakingV2 Backing Imagesの削除

  V2 Backing Imagesを利用している場合に該当します。

• breakingdata-engine-cpu-maskのデフォルト値変更

  data-engine-cpu-maskを設定していない場合に該当します。

• breaking旧CLI APIバージョンのengine imageにおけるライブマイグレーション制限

  CLI APIのバージョンが12未満のengine imageを使用している場合に該当します。

• リリースページにあと 2 件

影響確認 (7)

• securityリダイレクト時の認証ヘッダー破棄

  適用対象はリリースノートに明記されていません。

• breaking63文字を超える ScaledObject 名の拒否

  ScaledObject の名前が63文字を超える場合に該当します。

• breaking0以下の unprocessedEventThreshold の拒否

  0以下の unprocessedEventThreshold を設定している場合に該当します。

• リリースページにあと 4 件

影響確認 (1)

• breakingQEMUからの2MB OVMFイメージ削除

  適用対象はリリースノートに明記されていません。

要対応 (4)

• securitymediumgithub.com/prometheus/prometheusの更新

  github.com/prometheus/prometheusを更新し、格納型XSSのアドバイザリGHSA-vffh-x6r8-xx99に対応しました。

• securitymediumadmission webhookのリクエスト本文制限

  admission webhookへのリクエスト本文のサイズを制限し、サイズの大きい本文によってwebhookサーバーがメモリ不足になるサービス拒否のリスクを修正しました。関連する識別子はCVE-2026-44247とGHSA-8wxp-xxp2-rcgxです。

• breakingDRAスケジューリング統合の既定有効化

  DRAスケジューリング統合が既定で有効になりました。対象となる設定項目はpredicate.DynamicResourceAllocationEnableです。

• breakingKubernetes 1.34以降に合わせたDRA既定値の変更

  Kubernetes 1.34以降の挙動に合わせ、DRAスケジューリング統合が既定で有効になりました。無効にする場合はpredicate.DynamicResourceAllocationEnable: falseを設定します。

要対応 (1)

• securityalpine ベースイメージを alpine:3.23.4 に更新

  ベースイメージ alpine が alpine:3.23.3 から alpine:3.23.4 に更新されました。

要対応 (1)

• securityhighGo依存関係の更新

  脆弱性のあるGo依存関係が更新され、GHSA-xmrv-pmrh-hhx2 と CVE-2026-34986 に対応しました。

要対応 (3)

• security依存関係の更新

  依存関係を更新し、セキュリティアドバイザリに対応しました。

• securityEnvFromのクリアによるシークレット名漏えい対策

  removeContainersDataでEnvFromをクリアし、シークレット名が漏えいしないようにしました。

• securityEnv[].ValueFromのクリア

  removeContainersDataとremoveEphemeralContainersDataでEnv[].ValueFromをクリアするようにしました。

影響確認 (1)

• breakingaws.iam-access-key の json-diff フィルター削除

  aws.iam-access-key に json-diff フィルターを使うポリシーがある場合に該当します。

要対応 (1)

• breakingfgprofプロファイルの同時実行を拒否

  APIでfgprofプロファイルを同時に実行した場合、その実行を拒否するようになりました。

要対応 (1)

• breakinggRPC server supportの削除

  gRPC server supportを削除しました。

影響確認 (3)

• breakingpdata.useCustomProtoEncoding フィーチャーゲートの削除

  pdata.useCustomProtoEncoding を使用している場合に適用されます。

• breakingcmd/mdatagen の再集約設定生成をデフォルトで有効化

  cmd/mdatagen を実行している場合に適用されます。

• breakingmetadata.yaml の feature_gates 検証を厳格化

  metadata.yaml で feature_gates を設定している場合に適用されます。

要対応 (14)

• securitygithub.com/cloudflare/circl の更新

  github.com/cloudflare/circl を v1.6.3 に更新しました。

• securitygoogle.golang.org/grpc の更新

  google.golang.org/grpc を v1.79.3 に更新しました。

• securityOTLP HTTP エクスポーターの更新

  go.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttp を v1.43.0 に更新しました。

• securitygithub.com/go-git/go-git/v5 の更新

  github.com/go-git/go-git/v5 を v5.17.1 に更新しました。

• securitygithub.com/go-jose/go-jose/v4 の更新

  github.com/go-jose/go-jose/v4 を v4.1.4 に更新しました。

• securitygithub.com/sigstore/cosign/v3 の更新

  github.com/sigstore/cosign/v3 を v3.0.5 に更新しました。

• securitygithub.com/docker/cli の更新

  github.com/docker/cli を v29.2.0+incompatible に更新しました。

• securitygithub.com/sigstore/timestamp-authority/v2 の更新

  github.com/sigstore/timestamp-authority/v2 を v2.0.6 に更新しました。

• securityGo 1.25.9 への更新

  Go を 1.25.9 に更新しました。

• securitygithub.com/moby/spdystream の更新

  github.com/moby/spdystream を v0.5.1 に更新しました。

• securitygithub.com/go-git/go-git/v5 の更新

  github.com/go-git/go-git/v5 を v5.18.0 に更新しました。

• securitygithub.com/in-toto/in-toto-golang の更新

  github.com/in-toto/in-toto-golang を v0.11.0 に更新しました。

• securitygolang.org/x/net の更新

  golang.org/x/net を v0.53.0 に更新しました。

• securityGo 1.25.10 への更新

  標準ライブラリの CVE 修正に対応するため、Go を 1.25.10 に更新しました。

要対応 (1)

• securityhighCVE-2026-46680 の修正

  CVE-2026-46680 に対応しました。関連するアドバイザリは GHSA-fqw6-gf59-qr4w です。

要対応 (1)

• securityhighCVE-2026-46680への対応

  CVE-2026-46680に関する修正が含まれます。

要対応 (2)

• securityModule Federation パッケージの v2.3.3 更新

  既知の脆弱性に対応するため、Module Federation パッケージが v2.3.3 に更新されました。

• breaking@remixicon/react の依存バージョン制限

  ライセンス変更により、@remixicon/react の依存バージョンは 4.9.0 未満に制限されました。

影響確認 (2)

• breakingsnappyリクエストへのmax_request_body_size適用タイミングの変更

  max_request_body_size を設定している場合に適用されます。

• breaking明示的なPrometheusテレメトリ設定の既定値修正

  テレメトリのメトリクス設定を構成している場合に適用されます。

要対応 (6)

• securityhighHTTP/2 CONTINUATION フレーム大量送信によるサービス拒否の修正

  CVE-2026-33871 に関する、HTTP/2 CONTINUATION フレームの大量送信によるサービス拒否の問題を修正しました。

• securityhighChunked Extension 解析を悪用した HTTP リクエストスマグリングの修正

  CVE-2026-33870 に関する、Chunked Extension の Quoted-String 解析を悪用した HTTP リクエストスマグリングの問題を修正しました。

• securityhighbouncycastle に関する複数の問題の修正

  CVE-2026-0636、CVE-2026-3505、CVE-2026-5598 に関する bouncycastle の問題を修正しました。

• securityhighリダイレクト URI 検証回避の修正

  CVE-2026-7504 に関する、Keycloak のリダイレクト URI 検証を回避できる問題を修正しました。

• securitymediumbcpkix モジュールの暗号アルゴリズム問題の修正

  CVE-2026-5588 に関する、Bouncy Castle Crypto Package For Java の bcpkix モジュールで、危険または破損した暗号アルゴリズムが使用される問題を修正しました。

• security権限およびポリシー呼び出し順序による client ID 露出の修正

  権限とポリシーの呼び出し順序によって client ID が露出する問題を修正しました。

要対応 (3)

• securitytensorflow/tensorflowのセキュリティ更新

  tensorflow/tensorflowを2.20.0rc0-gpuから2.21.0rc0-gpuへ更新します。

• securitytensorflow/tensorflowのセキュリティ更新

  tensorflow/tensorflowを2.21.0rc0-gpuから2.21.0rc1-gpuへ更新します。

• securitygolangのセキュリティ更新

  セキュリティ上の問題に対応するため、golangをアップグレードします。

要対応 (1)

• securityhighGo依存関係の脆弱性対応

  脆弱性のあるGo依存関係を更新し、GHSA-xmrv-pmrh-hhx2およびCVE-2026-34986に対応しました。

要対応 (1)

• breakingIstioイメージのデフォルトレジストリ変更

  Istioイメージのデフォルトレジストリが registry.istio.io になりました。

要対応 (1)

• security名前空間をまたぐプロキシ列挙と設定ダンプ取得の認可修正

  認証済みのワークロードが、別の名前空間にあるワークロードのプロキシを列挙し、設定ダンプを取得できていた問題を修正しました。対象には istio.io/debug/syncz と istio.io/debug/config_dump が含まれます。

要対応 (1)

• securitymediumGHSA-qp9x-wp8f-qgjj の修正

  GHSA-qp9x-wp8f-qgjj を修正しました。

影響確認 (1)

• breakingdrainOngoingCallTimeout の配置情報通知タイムアウト制約変更

  アプリケーションが指定した actor の drainOngoingCallTimeout が、既定値30秒の daprd 側の配置情報通知タイムアウト以上になる場合に適用されます。

要対応 (2)

• securitygithub.com/moby/spdystream を v0.5.1 に更新

  セキュリティ関連の更新として、依存モジュール github.com/moby/spdystream を v0.5.1 に更新しました。

• breakingloadbalancer/reflectors の EndpointSlice 監視をサービスラベルで絞り込み

  loadbalancer/reflectors が監視する EndpointSlice を、サービスラベルで絞り込むようになりました。

要対応 (1)

• securitygithub.com/moby/spdystream の更新

  依存モジュール github.com/moby/spdystream を v0.5.1 に更新しました。

影響確認 (3)

• breakingprotobuf content type の削除

  protobuf content type を使用している場合に該当します。

• breakingsidecar 要件の削除

  sidecar を使用している場合に該当します。

• breaking--output フラグの削除

  --output を設定している場合に該当します。

要対応 (1)

• breakingマネージャー TLS の既定値変更

  マネージャーの TLS の既定値が未設定に戻りました。

影響確認 (1)

• breakingcanary-v2 の削除

  canary-v2 を設定している場合に適用されます。

影響確認 (1)

• breakingVTOrcのセル監視フラグ追加を取り消し

  VTOrcが稼働している場合に適用されます。

要対応 (2)

• breakingSELECT リスト内の修飾なし * を拒否

  vtgate は、SELECT リストでコンマの後に修飾なしの * が続く場合、そのクエリを拒否するようになりました。

• breakingsqlparser の単独 * 制限を文法に適用

  sqlparser の文法で、単独の * に対する制限が適用されるようになりました。

要対応 (4)

• securityk8s.io/kubernetes を v1.34.2 に更新

  k8s.io/kubernetes が v1.34.2 に更新されました。

• securityhelm を 3.19.4 に更新

  cve 対応のため、helm が 3.19.4 に更新されました。

• breakinggRPC サービス設定の DNS TXT 参照をデフォルトで無効化

  gRPC service config DNS TXT lookups は、デフォルトで無効になりました。

• breakingApplicationSet リソースステータス件数のデフォルト値を 5000 に変更

  appset resource status count のデフォルト値が 5000 に変更されました。