設定とフラグに互換性へ影響する変更があり、拡張機能とプロトコル対応が広がっています。CVE-2026-27135 対応やバイパス、インジェクション対策を含むセキュリティ修正に加え、正確性と可観測性に関する改善も含まれます。
要対応 (1)
securityhigh
nghttp2の **CVE-2026-27135** 対応nghttp2に **CVE-2026-27135** の修正パッチが適用されました。
影響確認 (6)
security
query_parameter_mutationsの値を URL エンコードquery_parameter_mutationsを設定している場合に適用されます。query_parameter_mutationsで追加するクエリパラメーターの値が URL エンコードされ、インジェクションを防ぐようになりました。securityRBAC の連結ベースのバイパスを修正
RBAC が実行される場合に適用されます。
RBAC における連結ベースのバイパスを防ぐ修正が入りました。
breaking
max_early_data_bytesの明示設定を必須化upstream_connect_modeにIMMEDIATE以外の値を設定し、max_early_data_bytesを設定していない場合に適用されます。upstream_connect_modeがIMMEDIATE以外の場合、max_early_data_bytesの明示設定が必要になりました。未設定のままでは起動時の検証に失敗します。- リリースページにあと 3 件
事前準備 (1)
deprecated
enforce_rsa_key_usageの非推奨化削除時期は未定enforce_rsa_key_usageを設定している場合に適用されます。enforce_rsa_key_usageは非推奨となり、次のリリースで削除されます。