リリース

影響確認 (2)

• securityCVE-2025–30156 に伴う Ceph のアップグレード案内

  Ceph に依存している場合に適用されます。

• breakingrook mgr module の無効化

  rook mgr module を有効にしている場合に適用されます。

要対応 (1)

• breakingrook mgr module の無効化

  rook mgr module が無効化されました。

影響確認 (1)

• securityCephの CVE-2025–30156 に関するセキュリティアドバイザリ

  Cephを使用している場合に適用されます。

要対応 (2)

• securitymediumjackson-databind を 2.21.5 に更新

  CVE-2026-59888 および CVE-2026-59889 への対応として、jackson-databind が 2.21.5 に更新されました。

• securitymediumOpenTelemetry Java SDK の無制限メモリ割り当てを修正

  OpenTelemetry Java SDK の W3C Baggage Propagation におけるメモリの無制限割り当てを修正しました。対象は CVE-2026-45292 です。

要対応 (1)

• securityhighGo 1.26.6 でのビルド

  Go 1.26.6 でビルドされ、CVE-2026-56865、CVE-2026-56864、CVE-2026-33818 の修正が含まれています。

要対応 (2)

• breaking公開前のTypeScript設定スキーマ検証

  パッケージ公開前の準備処理で、TypeScript設定スキーマが厳密に検証されるようになりました。

• breakingルート接続タイプの定義元変更

  接続タイプは、ルート接続タイプの定義元として移植可能な設定スキーマを使うようになりました。

影響確認 (1)

• securityendpoint のCIDRポリシー迂回と再起動後のトラフィック損失を修正

  適用対象はリリースノートに明記されていません。

要対応 (1)

• securityCVE修正のための依存関係更新

  CVEを修正するため、依存関係を更新しました。

要対応 (2)

• securityhigh/ui の brace-expansion を更新

  CVE-2026-69152 対応のため、/ui の brace-expansion を 2.1.4 および 1.1.18 に更新しました。

• securitymediumDOMPurify を 3.4.7 に更新

  CVE-2026-49978 対応のため、DOMPurify を 3.4.7 に更新しました。

影響確認 (12)

• securityhighpathmatcher におけるURI照合による認可回避の修正

  pathmatcher を使用している場合に適用されます。

• securityhighDCRのプロトコルマッパー型置換によるポリシー回避の修正

  DCRを使用している場合に適用されます。

• securityhighSAMLブローカーのリンク限定ログイン回避の修正

  SAMLブローカーを使用している場合に適用されます。

• リリースページにあと 9 件

要対応 (3)

• securityhighoras.land/oras-go/v2 の更新

  oras.land/oras-go/v2 が 2.6.1 から 2.6.2 に更新され、GHSA-fxhp-mv3v-67qp に対応しました。

• breakingHTTPサーバーの ReadHeaderTimeout 設定

  すべてのHTTPサーバーで ReadHeaderTimeout が 32s に設定されました。

• breaking同名の部分集合ルールと -object ルールの拒否

  部分集合ルールと -object ルールが同じ名前を共有する場合、ast で拒否されるようになりました。

影響確認 (4)

• security空白だけの権限によるサーバークラッシュの修正

  JWT 検証を利用している場合に適用されます。

• securityTLS verify_and_map の認証回避の修正

  TLS verify_and_map を設定している場合に適用されます。

• securityMQTT クライアントの購読権限回避の修正

  MQTT を利用している場合に適用されます。

• リリースページにあと 1 件

要対応 (1)

• breakingディスク同時実行用セマフォを4096スロットに変更

  ディスク同時実行用セマフォのスロット数を、従来のCPUスケール方式から4096に増やしました。

要対応 (11)

• securitygoogle.golang.org/grpc の更新

  セキュリティ更新として google.golang.org/grpc が v1.79.3 に更新されました。

• securitygoogle.golang.org/grpc の更新

  セキュリティ更新として google.golang.org/grpc が v1.82.1 に更新されました。

• securityhelm.sh/helm/v4 の更新

  セキュリティ更新として helm.sh/helm/v4 が v4.1.4 に更新されました。

• securitygithub.com/cloudflare/circl の更新

  セキュリティ更新として github.com/cloudflare/circl が v1.6.3 に更新されました。

• securitygithub.com/go-jose/go-jose/v4 の更新

  セキュリティ更新として github.com/go-jose/go-jose/v4 が v4.1.4 に更新されました。

• securitygithub.com/moby/spdystream の更新

  セキュリティ更新として github.com/moby/spdystream が v0.5.1 に更新されました。

• breakingデフォルト CNI 設定バージョンの更新

  デフォルトの CNI 設定バージョンが 0.3.1 から 1.0.0 に更新されました。

• breakingIPAM メトリクスの削除

  IPAM メトリクス cilium_operator_ipam_ips と cilium_operator_ipam_available_interfaces が削除されました。

• breakingCNI 設定バージョンのデフォルト変更

  デフォルトの CNI 設定バージョンが 0.3.1 から 1.0.0 に変更されました。

• breakingネイティブヒストグラム出力のデフォルト化

  すべてのヒストグラムで、ネイティブヒストグラムがデフォルトで出力されるようになりました。

• breakingエージェント bootstrap メトリクスの削除

  エージェントの bootstrap メトリクスが削除されました。

要対応 (3)

• securityhighgoogle.golang.org/grpc の 1.82.1 への更新

  google.golang.org/grpc を 1.82.1 に更新し、GHSA-hrxh-6v49-42gf に対応しました。

• breakingsnapshotLimitByte のデフォルト値変更

  snapshotLimitByte に妥当な値を設定するよう、デフォルトを変更しました。

• breakingclient http.Server の ReadHeaderTimeout 設定

  client http.Server に ReadHeaderTimeout を設定しました。

影響確認 (1)

• securityTLS鍵交換におけるPost-Quantum Cryptographyの既定化

  TLS鍵交換を使用する場合に適用されます。

影響確認 (3)

• securityvela-system definitions のアクセス権限を明示的な許可に限定

  vela-system definitions を利用している場合に適用されます。

• securityTerraform module remote URLs の認証情報をログ出力・保存から除外

  Terraform module remote URLs を設定している場合に適用されます。

• breakingapplication definitions の未宣言パラメータを検証

  application definitions を利用している場合に適用されます。

影響確認 (11)

• securityhighHTTP/2のヘッダー制限と大量送信対策の変更

  HTTP/2を使用している場合に適用されます。

• securityhighHTTP/3のQPACKとcontent-length処理の修正

  HTTP/3を使用している場合に適用されます。

• securityhigh各種入力処理と解凍処理のセキュリティ修正

  DNSクエリ検証、JSONネスト制限、PROXY protocol TLV、フォーマッター、TCP StatsD、TLS SAN、またはZstd解凍を使用している場合に適用されます。

• リリースページにあと 8 件

影響確認 (1)

• securityhighGo標準ライブラリを修正版で再構築

  1.25.11 -> 1.25.12 を使用している場合に適用されます。

要対応 (1)

• securityセキュリティ関連の依存関係更新

  #16340 に含まれるセキュリティ関連の依存関係更新を release-1.18 にバックポートしました。

要対応 (1)

• securityアカウント乗っ取り前の攻撃につながる問題を修正

  アカウント乗っ取り前の攻撃につながる余地が残る問題を修正しました。

影響確認 (5)

• securitycert-manager-editのACMEリソース権限を削除

  cert-manager-edit集約ClusterRoleを利用している場合に該当します。

• breakingAPIからObjectReferenceを削除

  APIでObjectReferenceを利用している場合に該当します。

• breakingPrometheus関連のHelm値を削除

  prometheus.servicemonitor.targetPort、prometheus.servicemonitor.path、prometheus.podmonitor.pathのいずれかを設定している場合に該当します。

• リリースページにあと 2 件

要対応 (1)

• securityhighgolang.org/x/crypto の v0.52.0 への更新

  golang.org/x/crypto を v0.52.0 に更新し、CVE-2026-46598、CVE-2026-39835、CVE-2026-39828、CVE-2026-46597 に対応しました。

要対応 (1)

• securitycriticalCVE-2026-33186 に対応する gRPC 実装を更新

  thanos-community/grpc-go のフォークを更新し、形式不正な :path ヘッダーを利用した認可バイパスを修正しました。対象は CVE-2026-33186 です。

要対応 (2)

• securityhighOpenTelemetry依存関係の更新

  go.opentelemetry.io/otel と go.opentelemetry.io/otel/sdk を v1.40.0 から v1.43.0 に更新し、CVE-2026-29181 と CVE-2026-39883 に対応しました。

• securityhighgolang.org/x/crypto の更新

  golang.org/x/crypto を v0.52.0 に更新しました。

要対応 (1)

• securityhighOpenTelemetry依存関係を更新

  go.opentelemetry.io/otel と go.opentelemetry.io/otel/sdk を v1.40.0 から v1.43.0 に更新し、CVE-2026-29181 と CVE-2026-39883 に対応しました。

要対応 (2)

• securitycriticalsanitize-htmlの更新

  UIで使用するsanitize-htmlを更新し、クロスサイトスクリプティングの脆弱性CVE-2026-44990を修正しました。

• breakingサードパーティライセンスの提供方法を変更

  サードパーティ製npm依存関係のライセンスをPrometheusバイナリに埋め込み、/assets/third-party-licenses.txtで提供する形に変更しました。リリースのtarballとコンテナイメージに収録していたnpm_licenses.tar.bz2は置き換えられています。

影響確認 (1)

• securityTerraform remote configuration loaderの無制限読み取りを防止

  Terraform remote configuration loaderを使用している場合に適用されます。

影響確認 (1)

• securityTerraformリモート設定ローダーの無制限読み取り対策

  Terraformのリモート設定ローダーを利用している場合に適用されます。

影響確認 (3)

• securityLeaf接続でのNats-Trace-Dest権限チェック回避を修正

  Leaf接続を利用している場合に該当します。

• security保持メッセージとQoS再送時のサブスクライブ拒否ルールを適用

  MQTTを利用している場合に該当します。

• breaking監視エンドポイントのJSONPコールバック対応を削除

  JSONPコールバック対応を利用している場合に該当します。

要対応 (2)

• securityhighGoのv1.25.11への更新

  Goがv1.25.11へ更新され、CVE-2026-27145、CVE-2026-42504、CVE-2026-42507への対応が行われました。

• securityGoの1.25.10へのアップグレード

  報告された脆弱性への対応として、Goが1.25.10へアップグレードされ、依存関係も更新されました。

要対応 (1)

• securityhighGo を v1.26.4 に更新

  Go を v1.26.4 に更新し、CVE-2026-27145、CVE-2026-42504、CVE-2026-42507 への修正を取り込みました。

要対応 (7)

• securityhighZstd decompressor の展開比率制限を修正

  Zstd decompressor で MaxInflateRatio の上限を入力スライス全体の処理後にしか確認していなかった問題を修正しました。上限を内部の展開ループ内で適用し、しきい値を超えた時点で展開を中止します。

• securitymediumPROXY プロトコルヘッダーの TLV 長計算を修正

  PROXY プロトコルヘッダーでパススルー TLV と追加 TLV を組み合わせた際、最大長を超えてヘッダーに示すサイズと実際の書き込みバイト数が一致しなくなる問題を修正しました。

• securitymediumHTTP 303 内部リダイレクトのセグメンテーションフォールトを修正

  HTTP 303 の内部リダイレクトをボディーのないリクエストで処理する際、確保されていないリクエストボディーバッファーを排出しようとしてセグメンテーションフォールトが発生する問題を修正しました。

• securitymedium破棄後の非同期トークン変更コールバックを修正

  フィルターの破棄後、onDestroy() の呼び出し後に非同期トークン変更コールバックが実行され、解放済みポインターにアクセスして UAF やクラッシュが発生する問題を修正しました。

• securitymediumピア証明書の SAN 検証における NUL バイト処理を修正

  SAN に埋め込まれた NUL バイトがあるピア証明書で、Subject Alternative Name（SAN）を正しく検証できない問題を修正しました。構成によって SAN の解析が NUL バイトで途中切り詰めされ、誤った信頼判断につながる可能性がありました。

• securitymediumクエリー名の長さの妥当性確認を修正

  クエリー名の長さに対する妥当性確認を修正し、異常なプロセス終了を防ぐようにしました。確認に失敗した場合は ENVOY_BUG を使用します。

• securityHTTP/3 の QPACK 処理におけるメモリ枯渇の修正

  HTTP/3 スタックの QPACK ブロック解除処理を修正しました。動的テーブルの更新待ちでブロックされたヘッダーブロックについて、内部デコーダーバッファーに保持されたデータが QUIC の受信フロー制御の計上から外れ、メモリが無制限に増加する問題に対応しています。

要対応 (4)

• securitymediumHTTP 303内部リダイレクトの処理修正

  ボディーのないリクエストでHTTP 303の内部リダイレクトを処理する際、確保されていないリクエストボディーバッファを解放しようとしてセグメンテーションフォールトが発生する問題を修正しました。

• securitymedium非同期トークン変更コールバックの破棄後実行を修正

  フィルターの破棄処理であるonDestroy()の呼び出し後に、非同期トークン変更コールバックが実行される問題を修正しました。解放済みポインターへのアクセスによるuse-after-freeやクラッシュにつながる状態でした。

• securitymedium証明書SANのNULバイト処理を修正

  ピア証明書のSubject Alternative Name（SAN）に埋め込みNULバイトが含まれる場合に、SANを正しく検証できない問題を修正しました。一部の設定でNULバイト以降が切り詰められ、誤った信頼判断につながる可能性がありました。

• securitymediumクエリ名の長さの整合性確認を修正

  クエリ名の長さに対する整合性確認を修正し、異常なプロセス終了を防ぐようにしました。確認に失敗した場合はENVOY_BUGを使用します。

要対応 (12)

• securityhighCVE-2026-47220 のクラッシュを修正

  CVE-2026-47220 に関するクラッシュの不具合が修正されました。

• securityhighCVE-2026-48044 のメモリ枯渇脆弱性を修正

  CVE-2026-48044 に関するメモリ枯渇脆弱性が修正されました。

• securityhighCVE-2026-48042 の JSON 入れ子深度を制限

  CVE-2026-48042 に関して、JSON の入れ子の深さを 1000 に制限しました。

• securitymediumCVE-2026-47692 の不具合を修正

  CVE-2026-47692 に関する不具合が修正されました。

• securitymediumCVE-2026-47205 の use-after-free クラッシュを修正

  CVE-2026-47205 に関する use-after-free によるクラッシュが修正されました。

• securitymediumCVE-2026-48090 の非同期コールバック処理を修正

  CVE-2026-48090 に関して、フィルターの破棄後に非同期トークン変更コールバックが呼び出される不具合が修正されました。

• securitymediumCVE-2026-47778 の SAN 検証を修正

  CVE-2026-47778 に関して、Envoy が Subject Alternative Name（SAN）を検証できない問題が修正されました。

• securitymediumCVE-2026-47204 のクラッシュと use-after-free を修正

  CVE-2026-47204 に関するクラッシュまたは use-after-free が修正されました。

• securitymediumCVE-2026-48497 のクエリ名長検査を修正

  CVE-2026-48497 に関して、クエリ名の長さを検査する処理が修正されました。

• securitymediumCVE-2026-47775 のパディングオラクルに対処

  CVE-2026-47775 に関するパディングオラクルの問題に対処しました。

• securityGHSA-p7c7-7c47-pwch のサービス拒否脆弱性を修正

  GHSA-p7c7-7c47-pwch に関するサービス拒否脆弱性が修正されました。

• breakingメッセージのログレベルを warn に変更

  メッセージのログ出力レベルが warn になりました。

影響確認 (2)

• securitystatic grpc auth plugin のパスワード比較を定時間化

  static grpc auth plugin を使用している場合に該当します。

• securitytwopcz handler の反射フォーム値をエスケープ

  twopcz handler を使用している場合に該当します。

要対応 (1)

• securityhighcom_github_wasmtimeの更新

  CVE-2026-47261への対応として、com_github_wasmtimeを更新しました。

要対応 (1)

• securityhigh深く入れ子になった JSON のスタックオーバーフロー修正

  深く入れ子になった JSON のデストラクタで発生するスタックオーバーフローを修正しました。CVE-2026-48042 に対応しています。

要対応 (1)

• securityhigh深くネストしたJSONのスタックオーバーフローを修正

  深くネストしたJSONをデストラクターで処理した際にスタックオーバーフローが発生する問題を修正しました。CVE-2026-48042 および GHSA-f24p-rxw2-g6pv に対応しています。

影響確認 (5)

• securitycriticalcontainerd の更新と脆弱性修正

  containerd を使用している場合に適用されます。

• securityhighQEMU VMのゲストエージェントソケット経由の権限取得問題の修正

  ゲストエージェントソケットを使用するQEMU VMを実行している場合に適用されます。

• breakingcontainerd.user の非Linuxゲスト向けデフォルト変更

  非Linuxゲストを実行している場合に適用されます。

• リリースページにあと 2 件