リリース

影響確認 (1)

• breaking保持メッセージのsubjectにおけるASCII DELの制限

  保持メッセージを利用している場合に適用されます。

要対応 (3)

• security機密情報の平文ログ出力への対処

  コードスキャンアラートno. 2992で指摘された、機密情報の平文ログ出力に対処しました。

• securityGetBackupsのディレクトリトラバーサル対策

  ファイルバックアップストレージのGetBackups RPCにおけるディレクトリトラバーサルに対処しました。

• breaking修飾なしの*を含むSELECTの扱い変更

  SELECTリストでカンマの後に修飾なしの*を指定した場合、vtgateが拒否するようになりました。

影響確認 (1)

• breakingContainer フィールドの削除

  API仕様で Container を使用している場合に適用されます。

影響確認 (1)

• securityBackstageカタログ関連パッケージのセキュリティ修正

  @backstage/plugin-catalog-backend-module-unprocessed、@backstage/plugin-catalog-unprocessed-entities-common version、または@backstage/plugin-catalog-unprocessed-entitiesを使用している場合に適用されます。

要対応 (3)

• securityhighPyJWT の CVE-2026-32597 対応

  PyJWT の crit ヘッダー検証に関する CVE-2026-32597 を修正しました。

• securityhighpyasn1 の CVE-2026-30922 対応

  pyasn1 の DoS 脆弱性に関する CVE-2026-30922 を修正しました。

• breakingMaxReplicas の必須化

  MaxReplicas が必須の int32 になりました。

要対応 (4)

• securityhigh中間証明書の制限によるCVE-2026-32280対策

  中間証明書の数を制限し、CVE-2026-32280の影響を抑える修正を加えました。

• securityhighGo toolchainの1.26.2への更新

  Go toolchainを1.26.2へ更新し、CVE-2026-32283を修正しました。

• securitymediumgo-tuf/v2のv2.4.1への更新

  go-tuf/v2をv2.4.1へ更新し、CVE-2026-24686を修正しました。

• security標準ライブラリのCVE修正

  標準ライブラリに関するCVEを修正しました。

影響確認 (2)

• breaking生成された Collector ソースの replace パスを相対指定に変更

  生成された Collector ソースを使用している場合に適用されます。

• breakingConfig.Protocols を名前付きフィールドに変更

  Config.Protocols を使用している場合に適用されます。

影響確認 (1)

• breakingMCP サーバーの既定値を false に変更

  MCP_SERVER_ENABLED が設定されていない場合に適用されます。

要対応 (2)

• breakingUseConnectBuildWithBuildah をデフォルトで有効化

  UseConnectBuildWithBuildah フィーチャーゲートがベータ段階に移行し、デフォルトで有効になりました。

• breakingHTTP Bridge の /metrics エンドポイントを管理インターフェースへ移動

  HTTP Bridge の /metrics エンドポイントは、通常の HTTP インターフェース（デフォルトではポート 8080）では利用できなくなりました。現在は HTTP 管理インターフェースの 8081 で利用できます。

影響確認 (2)

• securityaws_iid の PKCS7 認証におけるアイデンティティ検証の修正

  aws_iid サーバーノードアテスタープラグインを使用している場合に適用されます。

• security参加トークンの並行認証処理を修正

  適用対象はリリースノートに明記されていません。

影響確認 (1)

• securityaws_iid の RSA-2048 PKCS7 ノード認証における身元文書検証の修正

  aws_iid サーバーノードアテスタープラグインを使用している場合に適用されます。

影響確認 (2)

• security/connz監視エンドポイントでのbearer JWT非開示

  /connz監視エンドポイントを使用している場合に適用されます。

• securityコマンドライン引数で渡したrouteとcluster URLシークレットのマスキング

  routeとcluster URLのシークレットをコマンドライン引数として渡す場合に適用されます。

影響確認 (3)

• securityhighAzureAD remote writeのOAuth client_secret露出を修正

  AzureAD remote writeを利用している場合に適用されます。

• securityhighRemote-readの圧縮リクエスト長検証を修正

  Remote-readを利用している場合に適用されます。

• securitymedium旧UIヒートマップチャートのleラベル値処理を修正

  old UI heatmap chartを利用している場合に適用されます。

影響確認 (4)

• securityhighAzureAD remote writeにおけるclient_secret露出の修正

  AzureAD remote writeを利用している場合に適用されます。

• securityhighRemote-readの展開後サイズ検証

  Remote-readを利用している場合に適用されます。

• securitymedium旧UIヒートマップの保存型XSS修正

  UIを利用している場合に適用されます。

• リリースページにあと 1 件

要対応 (18)

• securitycriticalLinuxの追加セキュリティ修正

  Linuxのセキュリティ修正として、CVE-2026-31411を含む更新が反映されています。

• securityhighcurlのセキュリティ修正

  curlのセキュリティ修正が反映されています。

• securityhighexpatのセキュリティ修正

  expatのセキュリティ修正が反映されています。

• securityhighgnupgのセキュリティ修正

  gnupgのセキュリティ修正が反映されています。

• securityhighgoのセキュリティ修正

  goのセキュリティ修正が反映されています。

• securityhighintel-microcodeのセキュリティ修正

  intel-microcodeのセキュリティ修正が反映されています。

• securityhighlibxsltのセキュリティ修正

  libxsltのセキュリティ修正が反映されています。

• securityhighnvidia-driversのセキュリティ修正

  nvidia-driversのセキュリティ修正が反映されています。

• securityhighopensslのセキュリティ修正

  opensslのセキュリティ修正が反映されています。

• securityhighpamのセキュリティ修正

  pamのセキュリティ修正が反映されています。

• securitymediumbinutilsのセキュリティ修正

  binutilsのセキュリティ修正が反映されています。

• securitymediumcoreutilsのセキュリティ修正

  coreutilsのセキュリティ修正が反映されています。

• securitymediumlibpcre2のセキュリティ修正

  libpcre2のセキュリティ修正が反映されています。

• securitymediumnet-toolsのセキュリティ修正

  net-toolsのセキュリティ修正が反映されています。

• securitylowopensshのセキュリティ修正

  opensshのセキュリティ修正が反映されています。

• securitylibxml2の更新

  libxml2がlibxml2-20250908に更新されています。

• breakingsshdでOpenSSHのデフォルト設定を使用

  sshdの設定からCiphers、MACs、KexAlgorithmsが削除され、OpenSSHの上流デフォルトが使われるようになっています。

• breaking最初のinitrdで利用できるカーネルモジュールの縮小

  最初のinitrdで利用できるカーネルモジュールの数が減っています。

要対応 (1)

• breakingバケットインデックスのデフォルト有効化

  Blocks storage では、バケットインデックスがデフォルトで有効になりました。-blocks-storage.bucket-store.bucket-index.enabled=false による無効化は、本番環境では推奨されません。

要対応 (1)

• securityhighnghttp2 の **CVE-2026-27135** 対応

  nghttp2 に **CVE-2026-27135** の修正パッチが適用されました。

要対応 (12)

• securitycriticalCVE-2025-68121の修正

  CVE-2025-68121を修正しました。

• securitycriticalCVE-2026-33186の修正

  CVE-2026-33186を修正しました。

• securityhighCVE-2026-24051の修正

  release 1.16でCVE-2026-24051を修正しました。

• securityhighgithub.com/docker/cliの更新

  github.com/docker/cliを更新し、CVE-2025-15558を解消しました。

• securityhighCVE-2025-66564の修正

  CVE-2025-66564を解消しました。

• securitymediumsigstore/rekor v1.5.1への更新

  sigstore/rekorをv1.5.1に更新し、CVE-2026-23831を修正しました。

• securitymediumgo-tuf/v2 v2.3.1への更新

  go-tuf/v2をv2.3.1に更新し、CVE-2026-23992に対応しました。

• securitymediumCVE-2026-22772の修正

  CVE-2026-22772を修正しました。

• securitymediumgo-tuf/v2 v2.4.1への更新

  go-tuf/v2をv2.4.1に更新し、CVE-2026-24686に対応しました。

• securitylowCVE-2026-1229の修正

  release-1.16でCVE-2026-1229を修正しました。

• securitylowCVE-2026-26958の修正

  CVE-2026-26958を修正しました。

• securitystdlibのCVE修正

  stdlibに関するCVEを修正しました。

要対応 (6)

• securitycriticalCVE-2026-33186 の修正

  CVE-2026-33186 を修正しました。

• securityhighCVE-2026-24051 の修正

  CVE-2026-24051 を修正しました。

• securityhighCVE-2026-34986 の修正

  CVE-2026-34986 を修正しました。

• securitylowCVE-2026-1229 の修正

  CVE-2026-1229 を修正しました。

• securityCVES 2026-15558 の修正

  CVES 2026-15558 を修正しました。

• securitygo の更新による標準ライブラリのCVE修正

  go を更新し、標準ライブラリのCVEを修正しました。

要対応 (11)

• breakingStrictIPCIDRValidation のデフォルト有効化

  kube-apiserver の StrictIPCIDRValidation フィーチャーゲートがデフォルトで有効になりました。

• breakingデバッグプロファイルのデフォルト変更

  デバッグプロファイルのデフォルトが legacy から general に変更されました。

• breakingWatchCacheInitializationPostStartHook のデフォルト有効化

  WatchCacheInitializationPostStartHook フィーチャーゲートがデフォルトで有効になりました。

• breakingKubeletPSI の GA 移行

  KubeletPSI が GA に移行し、デフォルトで有効になりました。

• breakingRelaxedServiceNameValidation のベータ移行

  RelaxedServiceNameValidation フィーチャーゲートがベータ版に移行し、デフォルトで有効になりました。

• breakingRestartAllContainersOnContainerExits のベータ移行

  RestartAllContainersOnContainerExits フィーチャーゲートがベータ版に移行し、デフォルトで有効になりました。

• breaking中断ジョブ関連フィーチャーゲートのデフォルト有効化

  MutablePodResourcesForSuspendedJobs と MutableSchedulingDirectivesForSuspendedJobs がデフォルトで有効になりました。

• breakingInformer のストア更新順序変更

  Informer のデフォルト動作が変わり、list または relist に含まれるすべてのオブジェクトでストア状態を更新してから、個々の削除、追加、更新に対する OnDelete、OnAdd、OnUpdate を呼び出すようになりました。

• breakingInformer の watch イベント処理変更

  Informer は、キューに入ったイベントの処理中でも新しい watch イベントをキューに追加できるようになりました。

• breakingクライアント CA ローテーション機能のデフォルト有効化

  この機能がデフォルトで有効になり、ClientsAllowCARotation フィーチャーゲートで無効にできます。

• breakingTLS キャッシュ GC 機能のデフォルト有効化

  この機能がデフォルトで有効になり、ClientsAllowTLSCacheGC フィーチャーゲートで制御できるようになりました。

要対応 (1)

• securitycriticalGo 1.26.2への更新と脆弱性修正の取り込み

  Go 1.26.2でビルドされ、CVE-2026-32282、CVE-2026-32289、CVE-2026-33810、CVE-2026-27144、CVE-2026-27143、CVE-2026-32288、CVE-2026-32283、CVE-2026-27140、CVE-2026-32936、CVE-2026-33190、CVE-2026-33489、CVE-2026-32934、CVE-2026-35579のセキュリティ修正が含まれています。

影響確認 (1)

• breakingaudience フィールドの設定要件変更

  GCR Receiver secret に audience フィールドを設定している場合に適用されます。

影響確認 (2)

• securityhighHTTPProxy の cookieRewritePolicies[].pathRewrite.value によるコード実行脆弱性の修正

  HTTPProxy リソースを使用している場合に該当します。

• breakingEnvoy 1.35.0以降への対応

  Envoy に依存している場合に適用されます。

影響確認 (1)

• securityhighCookie RewritingのLuaコードインジェクション脆弱性を修正

  cookieRewritePolicies[].pathRewrite.value を設定している場合に適用されます。

影響確認 (1)

• breaking既存の拡張機能とブループリントの設定スキーマ値を置換

  既存の拡張機能やブループリントを利用している場合に適用されます。

影響確認 (1)

• breakingStatefulSetのParallel Pod管理におけるMaxUnavailableStatefulSetの既定無効化

  MaxUnavailableStatefulSetを有効にしていない場合に適用されます。

要対応 (1)

• securityGoバージョンの更新

  Goのバージョンが1.25.8から1.25.9に更新されました。

要対応 (4)

• securityhighglobとrollupの脆弱性に対応

  globをv13へ、rollupをv4.59以降へ更新しました。旧バージョンのglobの脆弱性と、GHSA-mw96-cpmx-2vgcに該当するrollupのパストラバーサル脆弱性に対応しています。

• securityglobをv13へ更新

  globの依存バージョンをv7/v8/v11からv13へ更新し、旧バージョンのセキュリティ脆弱性に対応しました。

• securityrollupをv4.59以降へ更新

  rollupをv4.27からv4.59以降へ更新し、パストラバーサル脆弱性（GHSA-mw96-cpmx-2vgc）を修正しました。

• securityOAuth保護リソースURLを修正

  .well-known/oauth-protected-resourceのリソースURLをRFC 9728 Section 7.3に準拠する形へ修正し、動的なリソースパスに対応しました。

要対応 (1)

• securityhighspdystreamのセキュリティ更新

  CVE-2026-35469に関するspdystreamのセキュリティ更新です。

要対応 (2)

• securityhighspdystreamのセキュリティアドバイザリ追加

  CVE-2026-35469およびGHSA-pc3f-x583-g7j2に関するセキュリティアドバイザリが追加されています。

• securityhighgithub.com/moby/spdystreamの更新

  github.com/moby/spdystreamをv0.5.1に更新しています。

要対応 (1)

• securityhighspdystreamのCVE-2026-35469対応

  spdystreamに関するCVE-2026-35469のセキュリティ修正です。

影響確認 (3)

• securityキューサブスクリプションによる ACL deny 回避を修正

  キューサブスクリプションを使用し、非キュー ACL の deny パターンを設定している場合に適用されます。

• breakingno_auth_user の適用範囲をクライアント接続に限定

  no_auth_user を設定している場合に適用されます。

• breakingsolicited leaf 接続以外での重複した INFO 権限更新を制限

  solicited leaf 接続を使用している場合に適用されます。

影響確認 (2)

• breakingno_auth_user の適用範囲をクライアント接続に限定

  no_auth_user を設定している場合に該当します。

• breakingsolicited leaf接続でのみ受け付ける重複 INFO 権限更新

  solicited leaf接続を利用している場合に該当します。

要対応 (1)

• breakingchart.yaml の appVersion を使うデフォルトタグの削除

  chart.yaml の appVersion を使うため、デフォルトタグが削除されました。

影響確認 (1)

• securitymediumWeb UIの保存型XSS修正

  PrometheusのWeb UIを使用している場合に該当します。

影響確認 (1)

• securitymediumPrometheus web UI の Stored XSS 修正

  細工されたメトリクス名やラベル値が Prometheus web UI に届く場合に適用されます。

影響確認 (2)

• securityAuthZEN ディスカバリーのエンドポイント URL を設定値から生成

  authzen.baseURL を設定している場合に適用されます。

• securityテスト用 Docker パッケージを Moby に置換

  テストを実行する場合に適用されます。

影響確認 (1)

• securitymediumChart.yaml のドット区切り名による抽出先ディレクトリの崩れ

  Helm Chart の抽出を利用している場合に適用されます。

要対応 (1)

• securitymediumGHSA-hr2v-4r36-88hr の修正

  GHSA-hr2v-4r36-88hr に関するセキュリティ修正です。

要対応 (6)

• securityパスワードとOTPのブルートフォース保護の分離

  パスワードと OTP のブルートフォース保護が分離され、OTP バイパス攻撃を防ぐ設定がデフォルトになりました。

• securityResourceAdminManagerのURL構築検証の修正

  ResourceAdminManager で、Matrix Parameter InjectionによるURLが検証されないまま構築される問題が修正されました。

• securityクライアント取得時のフィッシング対策チェックの修正

  クライアント取得時にanti-ID phishingチェックが欠落していた問題が修正されました。

• breakingゼロダウンタイムパッチリリースの既定有効化

  zero-downtime patch releases がサポート対象となり、デフォルトで有効になります。

• breakingKubernetes向けトラストストア設定の既定有効化

  --truststore-kubernetes-enabled の動作がデフォルトで有効になりました。

• breakingnot-before検証の既定値変更

  not-before検証のデフォルト値が0秒から10秒に変更されました。