CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
依存関係とツールチェーンの更新に加え、JetStreamの性能と設定が改善されています。多数の正確性修正が含まれ、認証や権限に関する修正も記載されています。
影響確認 (4)
security空白だけの権限によるサーバークラッシュの修正
JWT 検証を利用している場合に適用されます。
空白文字だけの権限を使う場合でも、JWT 検証によってサーバーがクラッシュしなくなりました。
securityTLS verify_and_map の認証回避の修正
TLS verify_and_map を設定している場合に適用されます。
TLS verify_and_map が空のパスワードを持つユーザーを認証してしまう問題を修正しました。
securityMQTT クライアントの購読権限回避の修正
MQTT を利用している場合に適用されます。
MQTT クライアントが $MQTT. subject を購読できなくなり、権限確認を回避できる問題を修正しました。
依存関係やツールチェーンのバージョン変更に加え、監視機能の変更、動作改善、不具合修正が含まれています。MQTTと認可に関わる修正はセキュリティ上の問題に対応していますが、アドバイザリ識別子は記載されていません。
影響確認 (3)
securityLeaf接続でのNats-Trace-Dest権限チェック回避を修正
Leaf接続を利用している場合に該当します。
Leaf接続がNats-Trace-Destのパブリッシュ権限チェックを回避しなくなりました。
security保持メッセージとQoS再送時のサブスクライブ拒否ルールを適用
MQTTを利用している場合に該当します。
保持メッセージの配信経路とQoS再送経路で、サブスクライブ拒否ルールが適用されるようになりました。
breaking監視エンドポイントのJSONPコールバック対応を削除
JSONPコールバック対応を利用している場合に該当します。
監視エンドポイントからJSONPコールバック対応が削除されました。
JetStream、運用、ロギング、subject transformに関する機能が追加され、いくつかの既定値とサポートされる動作も変わっています。JetStreamのstrict modeの扱いとダウングレード互換性を確認する必要があり、JetStreamの回帰も修正されています。追加機能の多くは、採用する場合に対応が必要です。
影響確認 (3)
breaking暗号スイートの既定動作変更
allow_insecure_cipher_suites を有効にする場合に適用されます。
crypto/tls の暗号スイートが追加されると自動的に取り込まれます。安全でない暗号スイートは既定で無効になり、allow_insecure_cipher_suites を有効にした場合に使用できます。
breakingJetStream strict modeの既定有効化
JetStreamを使用する場合に適用されます。
JetStreamのstrict modeが既定で有効になり、無効なJetStreamリクエストはログに記録されるだけでなく、クライアントにエラーを返して拒否されます。
breakingv2.12機能使用時のダウングレード制約
新しいv2.12機能を使用する場合に適用されます。
ダウングレード先はv2.11.9以降に限られます。新しいv2.12機能を使用するストリームやコンシューマーは、旧バージョンで未サポートまたはオフラインの状態になり、サーバーとデータを保護します。
JetStream、leafnode、設定、プロトコルに関する機能が追加され、Goツールチェーンのバージョンも変更されています。MQTTの保持メッセージのsubject制約が狭まり、ドメイン対応のackやフロー制御を有効にする環境ではACLの更新が必要です。
影響確認 (1)
breaking保持メッセージのsubjectにおけるASCII DELの制限
保持メッセージを利用している場合に適用されます。
保持メッセージのsubjectにASCII DEL文字（0x7F）を含められなくなりました（#8071）。
依存関係やツールチェーンのバージョン更新、設定上の制約変更、性能改善、正確性の修正を含むリリースです。ACL のバイパスを修正するセキュリティ関連の変更も含まれます。
影響確認 (3)
securityキューサブスクリプションによる ACL deny 回避を修正
キューサブスクリプションを使用し、非キュー ACL の deny パターンを設定している場合に適用されます。
キューサブスクリプションが、非キュー ACL の deny パターンを誤って回避することはなくなりました。
breakingno_auth_user の適用範囲をクライアント接続に限定
no_auth_user を設定している場合に適用されます。
no_auth_user はクライアント接続でのみ使用できるようになりました。
breakingsolicited leaf 接続以外での重複した INFO 権限更新を制限
solicited leaf 接続を使用している場合に適用されます。
重複した INFO 権限更新は、solicited leaf 接続でのみ受け付けるようになりました。
Goツールチェーンが更新され、認可、leafnode、WebSocket周りの動作が修正されています。no_auth_user や重複した leaf 権限更新の受け入れ条件も狭まり、既存の設定によっては確認が必要です。
影響確認 (2)
breakingno_auth_user の適用範囲をクライアント接続に限定
no_auth_user を設定している場合に該当します。
no_auth_user はクライアント接続にのみ設定できるよう制限されました。
breakingsolicited leaf接続でのみ受け付ける重複 INFO 権限更新
solicited leaf接続を利用している場合に該当します。
重複した INFO 権限更新は、solicited leaf接続でのみ受け付けるようになりました。
セキュリティ修正に加え、運用者の対応が必要になる権限や利用条件の変更、依存関係マニフェストの記載が含まれます。通常の正確性修正と改善も行われています。
要対応 (1)
breakingJWTのサイズ上限を1MBに変更
JWTのサイズ上限を1MBに設定しました。#7960に対応しています。
影響確認 (13)
securityhighMQTTに関する脆弱性の修正
MQTTを利用している場合に適用されます。
securityhighleafnodesに関する脆弱性の修正
leafnodesを利用している場合に適用されます。
CVE-2026-33218を修正しました。
securityhighコマンドラインで渡す認証情報に関する脆弱性の修正
コマンドラインで認証情報を渡している場合に適用されます。
CVE-2026-33247を修正しました。
開示済みのCVE識別子に関するセキュリティ修正に加え、正確性の修正、検証と権限制約の強化が含まれています。依存関係とツールチェーンも更新されています。
要対応 (1)
breakingJWTのサイズ上限を1MBに変更
JWTのサイズ上限を1MBに設定しました。
影響確認 (11)
securityhighMQTTに関するCVE-2026-33216、CVE-2026-33217、CVE-2026-33215の修正
MQTTを利用している場合に適用されます。
CVE-2026-33216、CVE-2026-33217、CVE-2026-33215を修正しました。
securityhighleafnodesに関するCVE-2026-33218の修正
leafnodesを利用している場合に適用されます。
CVE-2026-33218を修正しました。
securityhighコマンドラインの認証情報に関するCVE-2026-33247の修正
コマンドラインで認証情報を設定している場合に適用されます。
CVE-2026-33247を修正しました。
セキュリティ修正、正確性の修正、JetStream設定機能の拡張、依存関係の更新を含みます。クラスタ構成ではストリーム更新に関する回帰が報告されており、max_connsの挙動も変わっています。
影響確認 (3)
securityCVE-2026-29785の修正
leafnode compressionを有効にしている場合に適用されます。
leafnode compressionを有効にしたシステムに影響するCVE-2026-29785を修正しました。
securityCVE-2026-27889の修正
WebSocketsを有効にしている場合に適用されます。
WebSocketsを有効にしたシステムに影響するCVE-2026-27889を修正しました。
breakingmax_connsの0設定
サーバー設定でmax_connsを指定している場合に適用されます。
サーバー設定のmax_connsに0を指定できるようになり、受信するクライアント接続をすべて拒否できます。
