CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
v3. は、シークレット露出の修正と依存関係の更新を含むセキュリティ対応リリースです。コンテナイメージは ghcr. にも公開されるようになりました。
要対応 (2)
securitycriticalgolang. と OpenTelemetry の更新
golang. を v0. に、OpenTelemetry を v1. に更新し、報告された GO-2026-5026、GO-2026-4918、GO-2026-4985 に対応しました。
securityUI依存関係のセキュリティ修正版への更新
UIの依存関係である react-router-dom、vitest、vite、postcss を修正版へ更新し、セキュリティアドバイザリに対応しました。
影響確認 (1)
security/-/config でのシークレット平文露出の修正
/-/config エンドポイントにアクセスする場合に適用されます。
v1.18.0は、認証設定とデータベース構成に関わるセキュリティ修正を含むリリースです。利用環境によっては、設定値の見直しやメンテナンス時間を伴う移行計画が必要です。
影響確認 (3)
securitymediumMySQLスキーママイグレーション008の追加
MySQL backendを使用している場合に適用されます。
security事前共有鍵認証の定時間比較
事前共有鍵認証を使用している場合に適用されます。
securityOIDC設定でのissuerとaudienceの必須化
authn.がoidcに設定されている場合に適用されます。
保守に重点を置いたリリースで、正確性に関する修正、依存関係の更新、オペレーターのトラブルシューティング機能の改善が含まれています。名前空間バイパスの問題に対するセキュリティ修正もあります。アップグレードは概ね容易ですが、削除された古いHelm設定を使用している構成は確認が必要です。
影響確認 (3)
securityipBlock ルールの名前空間バイパス修正
ipBlock を設定している場合に該当します。
breakingloadBalancer. オプションの削除
loadBalancer. を設定している場合に該当します。
breakingL2 Podアナウンスのインターフェース設定変更
l2podAnnouncements. を設定し、L2 Podアナウンスを有効にしている場合に該当します。
オペレーター向けの修正と追加が含まれ、LLMInferenceService の機能、ステータスの可観測性、依存関係やイメージが更新されています。セキュリティに関係する依存関係とアプリケーションの修正も含まれます。
要対応 (1)
securityhighazure-core>=1. を固定
azure-core>=1. を固定し、CVE-2026-21226 に対応しました。
影響確認 (3)
securityvllm のセットアップと pillow の CVE 対応を修正
vllm または pillow に依存している場合に適用されます。
breakingllmisvc-crd の誤った CRD を削除
llmisvc-crd を使用している場合に適用されます。
breakingHelm の imagePullPolicy デフォルト値を調整
Helm を使用している場合に適用されます。
ワークフローとMCPの機能拡張を中心に、コントロールプレーン、API、コンポーネント、ライフサイクルに関わる変更が含まれています。バグ修正、依存関係や既定値の更新、互換性に関わる制約に加え、セキュリティ修正も含まれるため、アップグレード前に前提条件と設定への影響を確認する必要があります。
要対応 (8)
securitymediumgolang.の更新
golang.がv0.39.0へ更新され、GO-2026-4962に対応しました。
securitydurabletask-goとpgxの更新
durabletask-goがv0.12.1へ更新され、pgxも更新されました。
breakingWorkflowsRemoteActivityReminderのデフォルト有効化
WorkflowsRemoteActivityReminderがデフォルトで有効になり、アプリ間のワークフローアクティビティ結果がSchedulerのリマインダー経由で配信されます。
breakingコンポーネント群のホットリロード
HotReloadがデフォルトで有効になり、Components、Subscriptions、MCPServers、Configurations、HTTPEndpoints、Resiliencies、WorkflowAccessPoliciesがデフォルトでホットリロードされます。
breakingサイドカーのプローブ既定値の変更
サイドカーのlivenessは、kubeletが再起動するまでの時間が約230秒となるよう緩和され、readinessはより短い時間で反応する設定になりました。
breakingHotReloadのデフォルト有効化
HotReloadがv1.18でデフォルト有効になりました。
breakinglivenessとreadinessのプローブ既定値更新
livenessの既定値が緩和され、readinessの既定値が厳格になりました。
breakingサイドカープローブ既定値の変更
サイドカーのプローブ既定値が変更されました。livenessはkubelet再起動まで約230秒となるよう緩和され、readinessはcontrol-planeで約3秒、daprdで約5秒となるよう短縮されました。
影響確認 (6)
securityサービス呼び出しのパストラバーサル修正
サービス呼び出しを利用している場合に適用されます。
breakingフィーチャーゲートの削除
MCPServerResourceまたはWorkflowAccessPolicyのフィーチャーゲートを設定している場合に適用されます。
breaking旧バージョンへの直接ロールバック制約
適用対象はリリースノートに明記されていません。
事前準備 (1)
deprecatedアルファ版スケジュールRPCの非推奨化
ScheduleJobAlpha1を利用している場合に適用されます。
セキュリティ上の問題への対処と、受信データのサイズ制限に関する修正が含まれます。対象となる機能を利用している構成では、関係する設定を確認する必要があります。
影響確認 (3)
securityステータスページの保存型XSS脆弱性を修正
Alertmanager または Store Gateway を実行している場合に該当します。
securityネイティブヒストグラムのprotobufサイズ制限
ネイティブヒストグラムを利用している場合に該当します。
breakinggzip展開後の出力サイズ制限
OTLPの取り込み経路を利用している場合に該当します。
HTTP/2のセキュリティ修正、サードパーティ依存関係の脆弱性修正、OAuth2のタイミングサイドチャネル修正を含みます。レスポンスボディの内容とロードバランサー再構築の既定動作も変わるため、該当する構成では運用上の確認が必要です。
要対応 (1)
securityhighnghttp2へのCVE-2026-27135パッチ適用
HTTP/2で使用する nghttp2 に CVE-2026-27135 のパッチを適用しました。
影響確認 (4)
securityhighHTTP/2ヘッダー制限へのCookie計上
HTTP/2を使用しており、envoy.を有効にしていない場合に適用されます。
securityoauth2のHMAC検証におけるタイミングサイドチャネル修正
oauth2を使用している場合に適用されます。
breakingHTTPレスポンスボディからの上流失敗理由の除外
routerを使用しており、envoy.を有効にしていない場合に適用されます。
認証、認可、アカウントおよび管理 API、フェデレーション、依存ライブラリに関するセキュリティ修正を含みます。起動時の動作や SPI の設定、その他の正確性に関する修正も追加されています。
要対応 (2)
securityhighlodash のコードインジェクション脆弱性を修正
CVE-2026-4800 に関連する、lodash のコードインジェクション脆弱性を修正しました。
securitymediumNetty の HTTP/1.0 リクエストスマグリング対策の修正
CVE-2026-42581 に関連する、Netty の HTTP/1.0 における TE と CL の併用がリクエストスマグリング対策を回避する問題を修正しました。
影響確認 (15)
securitymediumKeycloak Server のアクセス制御を修正
account/api を利用している場合に該当します。
securitymediumOIDC トークンイントロスペクションの notBefore 処理を修正
oidc を利用している場合に該当します。
securitymediumサーバー側 WebAuthn 検証の不足を修正
authentication/webauthn を利用している場合に該当します。
アップグレードが必要となるセキュリティ修正に加え、通常の正確性修正が含まれています。残る見出しのみの項目には、運用者向けの変更はありません。
要対応 (1)
securityhighnghttp2のCVE-2026-27135パッチ適用
nghttp2 の CVE-2026-27135 パッチが適用されました。
影響確認 (2)
securityhighHTTP/2ヘッダー制限とCookieのメモリ使用対策
HTTP/2を使用している場合に適用されます。
securityoauth2のHMAC検証におけるタイミングサイドチャネルの修正
oauth2を使用している場合に適用されます。
このリリースには、HTTP通信と認証に関わるセキュリティ修正が含まれます。HTTP/2の上限設定やOAuth2フィルターなど、該当する機能を使う構成に関係します。
要対応 (1)
securityhighnghttp2へのCVE-2026-27135パッチ適用
nghttp2にCVE-2026-27135のパッチを適用しました。
影響確認 (2)
securityhighHTTP/2のヘッダー上限処理の変更
HTTP/2でヘッダーリストまたはリクエストヘッダーの上限を設定している場合に適用されます。
securityoauth2のHMAC検証におけるタイミングサイドチャネル修正
OAuth2フィルターを使用している場合に適用されます。
v1.35.11は、HTTP/2やOAuth2に関するセキュリティ修正と依存関係の更新を含むリリースです。該当機能を利用している場合は更新が必要で、その他の変更はこのリリースを採用する以外の運用作業を求めません。
要対応 (1)
securityhighnghttp2のCVE-2026-27135パッチ適用
http2でnghttp2のCVE-2026-27135パッチを適用しました。
影響確認 (2)
securityhighHTTP/2ヘッダー上限違反時のストリームリセット
HTTP/2のリクエストヘッダー上限を使用している場合に適用されます。
securityOAuth2 HMAC検証のタイミングサイドチャネル修正
OAuth2のHMAC検証を使用している場合に適用されます。
スケーラー、設定項目、メトリクス、認証方式の追加と互換性改善を含むリリースです。カスタムRBACを使う運用ではKubernetes events APIの移行準備が必要で、削除されたスケーラー設定を使っている場合は構成の更新が必要です。
影響確認 (7)
securityリダイレクト時の認証ヘッダー破棄
適用対象はリリースノートに明記されていません。
breaking63文字を超える ScaledObject 名の拒否
ScaledObject の名前が63文字を超える場合に該当します。
breaking0以下の unprocessedEventThreshold の拒否
0以下の unprocessedEventThreshold を設定している場合に該当します。
事前準備 (1)
deprecatedbuildId、selectAllActive、selectUnversioned の非推奨化
buildId、selectAllActive、selectUnversioned のいずれかを設定している場合に該当します。
運用向けの正確性修正を中心に、CLIやレポート機能、匿名化、性能、検証、依存関係に関する保守更新を含むリリースです。セキュリティに関わる修正も2件あり、運用者に影響しないリリース工程の変更も含まれます。
要対応 (3)
security依存関係の更新
依存関係を更新し、セキュリティアドバイザリに対応しました。
securityEnvFromのクリアによるシークレット名漏えい対策
removeContainersDataでEnvFromをクリアし、シークレット名が漏えいしないようにしました。
securityEnv[].のクリア
removeContainersDataとremoveEphemeralContainersDataでEnv[].をクリアするようにしました。
影響確認 (3)
security/v1/resultsのIDOR対策強化
/v1/resultsを使用している場合に適用されます。
breakingpdf/html outputの既定出力先をファイルに変更
pdf/html outputを使用している場合に適用されます。
breakingpushの既定値をfalseに変更
pushを使用している場合に適用されます。
HTTPProxy の不正な設定に関するセキュリティ修正が含まれます。依存関係とツールチェーンが更新され、Kubernetes 1.32 から 1.34 でテストされています。
要対応 (1)
securitycriticalgolang. を v0.55.0 に更新
golang. を v0.55.0 に更新しました。対象の脆弱性識別子は CVE-2026-39821 です。
影響確認 (1)
securitymediumHTTPProxy の不正なフォールバック証明書設定を拒否
HTTPProxy で fallback certificate を設定し、JWT verification を有効にしている場合に適用されます。
運用者向けのAPIや連携機能、設定項目、UI機能が追加され、既存機能の検証や制約も見直されています。セキュリティ上の問題への修正に加え、正確性の修正と性能改善も含まれています。
要対応 (1)
breakingfgprofプロファイルの同時実行を拒否
APIでfgprofプロファイルを同時に実行した場合、その実行を拒否するようになりました。
影響確認 (3)
securityRemote Writeの32MB超過リクエストを拒否
Remote Writeを使用している場合に適用されます。
securitySTACKIT SDの平文シークレット公開を修正
STACKIT SDを使用している場合に適用されます。
breakinggzipエンコードされたOTLP本文のサイズ制限
OTLPを使用している場合に適用されます。
対応エンジンや出力の整理に加え、falco-webuiのアクセス範囲が見直されています。ルールと設定の機能追加、複数の不具合修正、依存関係の更新も含まれますが、セキュリティアドバイザリの告知はありません。
要対応 (1)
breakinggRPC server supportの削除
gRPC server supportを削除しました。
影響確認 (5)
securityplugin library pathのパストラバーサル防止
plugin library pathを設定している場合に該当します。
breakinggRPC outputの削除
gRPC outputを使用している場合に該当します。
breakinggVisor engineサポートの削除
gVisor engineを使用している場合に該当します。
依存モジュールの更新と、golang. に関するセキュリティ修正を含みます。SSH と SSH エージェント関連の機能を利用している環境では、該当する修正内容の確認が必要です。
要対応 (1)
securitygolang. を v0. に更新
依存モジュール golang. を v0. に更新しました。
影響確認 (13)
securitycriticalgolang. のキー制約適用を修正
golang. を使用している場合に該当します。
securitycriticalキー転送時のエージェント制約欠落を修正
golang. を使用している場合に該当します。
securitycritical予期しない応答によるサーバーデッドロックを修正
golang. を使用している場合に該当します。
セキュリティ関連の依存関係とGoのバージョンが更新され、HTTP/2で不正な設定値を受け取った際の無限ループも修正されています。利用にはGoおよび依存関係のバージョン更新が必要です。設定移行や非推奨化の告知はありません。
要対応 (6)
securitygo. の更新
go. を v1.41.0 に更新しました。
securitygithub. の更新
github. を v0.11.0 に更新しました。
securitygithub. の更新
github. を v5.19.0 に更新しました。
securityGo 1.25.10への更新
Go を 1.25.10 に更新し、標準ライブラリのCVEsに対応しました。
securitygithub. の更新
github. を v5.19.1 に更新しました。
securitygolang. の更新
golang. を v0.52.0 に更新しました。
影響確認 (1)
securityhighHTTP/2トランスポートの無限ループ修正
適用対象はリリースノートに明記されていません。
互換性に影響する廃止や既定値、制約の変更が含まれています。運用者向けの新しい機能と性能改善に加え、依存関係の既知の脆弱性に対応する更新もあります。
要対応 (2)
securityModule Federation パッケージの v2.3.3 更新
既知の脆弱性に対応するため、Module Federation パッケージが v2.3.3 に更新されました。
breaking@remixicon/react の依存バージョン制限
ライセンス変更により、@remixicon/react の依存バージョンは 4.9.0 未満に制限されました。
影響確認 (9)
securityCIMD と DCR の既定ワイルドカード変更
CIMD または DCR を設定している場合に適用されます。
breakingNavItemBlueprint の削除
NavItemBlueprint を使用している場合に適用されます。
breakingrenderInTestApp の描画内容の変更
renderInTestApp を使用している場合に適用されます。
事前準備 (4)
deprecatedPolicyQueryUser. の非推奨化
PolicyQueryUser. を使用している場合に適用されます。
deprecatedEXPERIMENTAL_formDecorators の非推奨エイリアス化
EXPERIMENTAL_formDecorators を設定している場合に適用されます。
deprecatedcatalog. の非推奨化
catalog. を設定している場合に適用されます。
公開された複数の CVE を含むセキュリティ修正に加え、依存関係の更新、機能改善、バグ修正が含まれています。セキュリティ修正と、operator の更新時にオブジェクトの削除が必要になる問題の修正が、更新に関係する主な内容です。
要対応 (6)
securityhighHTTP/2 CONTINUATION フレーム大量送信によるサービス拒否の修正
CVE-2026-33871 に関する、HTTP/2 CONTINUATION フレームの大量送信によるサービス拒否の問題を修正しました。
securityhighChunked Extension 解析を悪用した HTTP リクエストスマグリングの修正
CVE-2026-33870 に関する、Chunked Extension の Quoted-String 解析を悪用した HTTP リクエストスマグリングの問題を修正しました。
securityhighbouncycastle に関する複数の問題の修正
CVE-2026-0636、CVE-2026-3505、CVE-2026-5598 に関する bouncycastle の問題を修正しました。
securityhighリダイレクト URI 検証回避の修正
CVE-2026-7504 に関する、Keycloak のリダイレクト URI 検証を回避できる問題を修正しました。
securitymediumbcpkix モジュールの暗号アルゴリズム問題の修正
CVE-2026-5588 に関する、Bouncy Castle Crypto Package For Java の bcpkix モジュールで、危険または破損した暗号アルゴリズムが使用される問題を修正しました。
security権限およびポリシー呼び出し順序による client ID 露出の修正
権限とポリシーの呼び出し順序によって client ID が露出する問題を修正しました。
影響確認 (12)
securityhigh/saml エンドポイントへの細工したリクエストによるサービス拒否の修正
/saml を使用している場合に適用されます。
securityhighimplicit flow の回避とアクセストークン開示の修正
implicit flow を使用している場合に適用されます。
securityhighOIDC ログインフローのセッション固定の修正
OIDC login flow を使用している場合に適用されます。
Gateway API への対応、analyzer と HBONE の調整機能が追加され、証明書、コントローラー、プローブ、出力、認可に関する問題が修正されています。認可に関するセキュリティ修正を含むため、該当する環境ではアップグレードが必要です。
要対応 (1)
security名前空間をまたぐプロキシ列挙と設定ダンプ取得の認可修正
認証済みのワークロードが、別の名前空間にあるワークロードのプロキシを列挙し、設定ダンプを取得できていた問題を修正しました。対象には istio. と istio. が含まれます。
影響確認 (2)
securityAuthorizationPolicy の正規表現メタ文字処理の修正
適用対象はリリースノートに明記されていません。
breakingAWS EKS の ambient mesh Pod における kubelet ヘルスプローブの修正
ambient mesh の Pod を AWS EKS 上で動かし、Security Groups for Pods（branch ENI）を使用する場合に適用されます。
Gateway APIのバージョン対応に加え、診断および設定の制御機能が追加され、正確性に関する問題も修正されています。セキュリティ修正も2件含まれており、該当する環境ではアップグレードが必要です。
要対応 (1)
securityXDSデバッグエンドポイントの名前空間認可を修正
StatusGenが提供する istio. と istio. に、非システム呼び出し元への同一名前空間認可が適用されるようになりました。別の名前空間のワークロードについて、プロキシの列挙や設定ダンプの取得ができないように修正されています。
影響確認 (1)
securityAuthorizationPolicyの正規表現エスケープを修正
source. または source. を設定している場合に適用されます。
テンプレートとCLIの機能追加、依存関係の更新、フラグの非推奨化、正確性に関する修正を含みます。プラグインのパストラバーサルと GO-2026-4394 に対応するセキュリティ修正も含まれます。
要対応 (1)
securityhighgo. の v1. への更新
GO-2026-4394 への対応として、go. を v1. に更新しました。
影響確認 (1)
securityPlugin 拡張機能のバージョンパストラバーサル修正
Plugin 拡張機能を使用している場合に該当します。
事前準備 (1)
deprecated--hide-notes と --render-subchart-notes の非推奨化
--hide-notes または --render-subchart-notes を使用している場合に該当します。
Volcano v1.13.3では、Webhookサーバーが大きなHTTPリクエスト本文を受け取った際にメモリ不足で停止する脆弱性を修正しました。Webhookエンドポイントへネットワーク経由でアクセスできるPodがある環境に関係します。
影響確認 (1)
securitymediumCVE-2026-44247によるVolcano webhook serverのメモリ不足停止を修正
Podがネットワーク経由でVolcano webhook serverのエンドポイントにアクセスできる場合に該当します。
動作とセキュリティに関わる修正を含み、GO-2026-4962に関連する依存関係も更新されています。ビルドに使用したGoツールチェーンの記録のほか、見出しやドキュメント、インストール手順も収録されています。
要対応 (1)
securitymediumgolang.をv0.に更新
GO-2026-4962を解消するため、golang.をv0.に更新しました。
影響確認 (1)
securityトランザクション内の Put に対する RBAC 認可回避の修正
RBACを使用している場合に適用されます。
新しい機能の追加と既存機能の保守、動作の正確性や依存関係の更新を含むリリースです。設定のデフォルト値やバックアップ処理、削除・非推奨となったインターフェースを確認する必要があり、セキュリティ修正と外部圧縮解除処理の強化も含まれます。
要対応 (3)
security機密情報の平文ログ出力への対処
コードスキャンアラートno.で指摘された、機密情報の平文ログ出力に対処しました。
securityGetBackupsのディレクトリトラバーサル対策
ファイルバックアップストレージのGetBackups RPCにおけるディレクトリトラバーサルに対処しました。
breaking修飾なしの*を含むSELECTの扱い変更
SELECTリストでカンマの後に修飾なしの*を指定した場合、vtgateが拒否するようになりました。
影響確認 (12)
securityMANIFESTからの圧縮解除コマンド読み込み変更
適用対象はリリースノートに明記されていません。
securityバックアップMANIFESTを介した外部コマンド実行の制限
バックアップストレージを使用している場合に適用されます。
securitybackupengineのパストラバーサル対策
backupengineが実行される場合に適用されます。
事前準備 (4)
deprecatedglogの非推奨化v25で削除予定
glogを使用している場合に適用されます。
deprecatedOpenTracingバックエンドの非推奨化v25で削除予定
opentracing-jaegerまたはopentracing-datadogを使用している場合に適用されます。
deprecatedVTOrc Snapshot Topology機能の非推奨化v25で削除予定
--snapshot-topology-intervalを設定している場合に適用されます。
Backstageカタログ関連の3つのパッケージに、内容が公開されていないセキュリティ修正が含まれています。該当するパッケージを使用している場合は、アップグレードが必要です。
影響確認 (1)
securityBackstageカタログ関連パッケージのセキュリティ修正
@backstage/plugin-catalog-backend-module-unprocessed、@backstage/plugin-catalog-unprocessed-entities-common version、または@backstage/plugin-catalog-unprocessed-entitiesを使用している場合に適用されます。
Goツールチェーンが更新され、NATSサーバーの複数の不具合が修正されています。認証情報の漏えいと秘匿情報のマスキングに関するセキュリティ修正も含まれます。依存関係マニフェストの項目は変更記録とは別に扱われています。
影響確認 (2)
security/connz監視エンドポイントでのbearer JWT非開示
/connz監視エンドポイントを使用している場合に適用されます。
securityコマンドライン引数で渡したrouteとcluster URLシークレットのマスキング
routeとcluster URLのシークレットをコマンドライン引数として渡す場合に適用されます。
セキュリティ上の不具合を、勧告識別子付きで修正しています。該当する機能を利用している場合は、このリリースへの更新が対応事項です。
影響確認 (3)
securityhighAzureAD remote writeのOAuth client_secret露出を修正
AzureAD remote writeを利用している場合に適用されます。
securityhighRemote-readの圧縮リクエスト長検証を修正
Remote-readを利用している場合に適用されます。
securitymedium旧UIヒートマップチャートのleラベル値処理を修正
old UI heatmap chartを利用している場合に適用されます。
運用者向けのセキュリティ修正を含み、公開状態になっていた秘密情報と保存型XSSを修正しています。リモートの読み書きリクエストでは、展開後サイズが上限を超えるデータを拒否する検証が強化されています。
影響確認 (4)
securityhighAzureAD remote writeにおけるclient_secret露出の修正
AzureAD remote writeを利用している場合に適用されます。
securityhighRemote-readの展開後サイズ検証
Remote-readを利用している場合に適用されます。
securitymedium旧UIヒートマップの保存型XSS修正
UIを利用している場合に適用されます。
設定とフラグに互換性へ影響する変更があり、拡張機能とプロトコル対応が広がっています。CVE-2026-27135 対応やバイパス、インジェクション対策を含むセキュリティ修正に加え、正確性と可観測性に関する改善も含まれます。
要対応 (1)
securityhighnghttp2 の **CVE-2026-27135** 対応
nghttp2 に **CVE-2026-27135** の修正パッチが適用されました。
影響確認 (6)
securityquery_parameter_mutations の値を URL エンコード
query_parameter_mutations を設定している場合に適用されます。
securityRBAC の連結ベースのバイパスを修正
RBAC が実行される場合に適用されます。
breakingmax_early_data_bytes の明示設定を必須化
upstream_connect_mode に IMMEDIATE 以外の値を設定し、max_early_data_bytes を設定していない場合に適用されます。
事前準備 (1)
deprecatedenforce_rsa_key_usage の非推奨化削除時期は未定
enforce_rsa_key_usage を設定している場合に適用されます。
