リリース

要対応 (4)

• securityhigh無制限のロケールキャッシュによるサービス拒否の修正

  認証なしで無制限にロケールがキャッシュされ、サービス拒否につながる問題を修正しました。CVE-2026-79651に対応しています。

• securityhighPathMatcherのマトリックスパラメーター除去回避の修正

  パーセントエンコードされたセミコロンによって、PathMatcherのマトリックスパラメーター除去を回避できる問題を修正しました。CVE-2026-74909に対応しています。

• securityhighimpersonationロールによるレルム管理者のなりすまし防止

  impersonationロールでレルム管理者になりすませる権限昇格の問題を修正しました。CVE-2026-17526に対応しています。

• securitymediumユーザー名の乗っ取りによるアカウントロックアウトの修正

  ユーザー名の乗っ取りによってアカウントがロックアウトされる問題を修正しました。CVE-2026-19607に対応しています。

要対応 (6)

• securityModule Federation依存関係の更新

  Module Federationの依存関係を、既知のセキュリティ脆弱性を回避するバージョンに更新しました。

• securityYarnツール依存関係の更新

  Yarnツールの依存関係を、既知のセキュリティ脆弱性を回避するバージョンに更新しました。

• securityModule Federationの更新

  Module Federationを、既知のセキュリティ脆弱性を回避するバージョンに更新しました。

• securityOpenAPIジェネレーターツールの更新

  OpenAPIジェネレーターツールを、既知のセキュリティ脆弱性を回避するよう更新しました。

• securityOpenAPIジェネレーターツールの更新

  OpenAPIジェネレーターツールを、既知のセキュリティ脆弱性を回避するよう更新しました。

• breakingUnicode文字列変換の一貫性向上

  環境によらず文字列を一貫して処理できるよう、ロケールに依存しないUnicodeの大文字・小文字変換を使用するようにしました。

要対応 (2)

• securityhighCVE-2026-15809 の修正

  CVE-2026-15809 を修正しました。HOME 環境変数に改行文字を含めることで、CVE-2022-4318 の修正を回避して /etc/passwd に注入できる問題に対応しています。

• securityhighGoツールチェーンを1.26.4へ更新

  Go toolchain を 1.26.4 に更新し、CVE-2026-27145、CVE-2026-42504、CVE-2026-42507 を修正しました。

要対応 (1)

• breakingsearchdepthの入力範囲を制限

  searchdepthの上限を10000に設定し、負の値を拒否します。

要対応 (5)

• breakingAddScraper関数の削除

  pkg/scraperhelper/controllerから非推奨のAddScraper関数を削除しました。

• breakingZapOptionsの削除

  pkg/serviceから非推奨のZapOptionsを削除しました。

• breakingWithForceUnmarshaler関数の削除

  pkg/xconfmapから非推奨のWithForceUnmarshaler関数を削除しました。

• breakingDefaultMetricsBuilderConfig関数の削除

  cmd/mdatagenから非推奨のDefaultMetricsBuilderConfig関数を削除しました。

• breakingLoggingOptionsの削除

  pkg/serviceから非推奨の設定オプションLoggingOptionsを削除しました。

要対応 (6)

• securityACME サーバーレスポンスボディの上限設定

  ACME サーバーのレスポンスボディを 16 MiB までに制限し、上限のないボディによるサービス拒否を防ぎます。

• securityHTTP-01 セルフチェックでのレスポンス内容の非開示

  ACME HTTP-01 のセルフチェックで取得したレスポンスボディを Challenge.status.reason に反映しなくなりました。リダイレクト先から取得した内部レスポンスの内容が開示されることを防ぎます。

• securityGo 1.26.6 への更新

  Go を 1.26.6 に更新しました。go コマンドと、crypto/tls、encoding/asn1、encoding/xml、html/template、net、net/http、net/url パッケージに含まれるセキュリティ修正が反映されています。

• securitygoogle.golang.org/grpc v1.83.2 への更新

  google.golang.org/grpc を v1.83.2 に更新し、報告されていたセキュリティ脆弱性を修正しました。

• securitygolang.org/x/crypto v0.56.0 への更新

  golang.org/x/crypto を v0.56.0 に更新し、報告されていたセキュリティ脆弱性を修正しました。

• breaking変換後リクエストへの検証適用

  適用対象はリリースノートに明記されていません。

  AdmissionReview では、v1 以外の API バージョンから変換された同等のリクエストにも検証を適用します。これまで検証を回避できたリクエストが対象になります。

要対応 (2)

• securitycriticalGo と x/net の更新

  Go を 1.26.6 に更新し、x/net を更新して CVE-2026-39821 に対応しました。

• securityhighGo の更新

  Go を更新して CVE-2026-56853 に対応しました。

要対応 (3)

• securitycriticalgolang.org/x/net の更新

  golang.org/x/net が v0.55.0 に更新され、GO-2026-5026 に対応しました。

• securitymediumgo.opentelemetry.io/otel の更新

  go.opentelemetry.io/otel が v1.44.0 に更新され、GO-2026-5158 に対応しました。

• breakingファイル単位の展開サイズ制限の撤廃

  ファイルごとの展開サイズ制限が削除されました。

要対応 (2)

• securityCVE-2026-53495 の修正

  セキュリティアドバイザリ CVE-2026-53495（GHSA-7jxh-36q5-gcqv）に対応しました。

• securityGHSA-rp3h-jf77-q9p4 の修正

  セキュリティアドバイザリ GHSA-rp3h-jf77-q9p4 に対応しました。

要対応 (2)

• securityCVE-2026-53495の修正

  CVE-2026-53495に関する修正です。関連するアドバイザリはGHSA-7jxh-36q5-gcqvです。

• securityGHSA-rp3h-jf77-q9p4の修正

  GHSA-rp3h-jf77-q9p4に関する修正です。

影響確認 (3)

• breakingStatus から State への変更

  Status を設定している場合に適用されます。

• breakingSCM basic auth から Entra ID bearer token への置き換え

  SCM basic auth を使用している場合に適用されます。

• breakingcloud-run のラベル変更で非スキーマフィールドを除外

  cloud-run を使用している場合に適用されます。

影響確認 (2)

• breakingVTTablet の /debug/vrlog エンドポイントを削除

  /debug/vrlog を利用している場合に適用されます。

• deprecated--vreplication-enable-http-log を非推奨の no-op に変更

  --vreplication-enable-http-log を設定している場合に適用されます。

要対応 (2)

• breakingストリーミング再帰 CTE の再帰深度制限

  ストリーミング再帰 CTE の経路に再帰深度の上限が設けられました。

• breakingストリーミング CALL 経路の安全性チェック

  ストリーミング CALL 経路で、ストアドプロシージャーの安全性チェックが適用されるようになりました。

影響確認 (3)

• breakingkeepalive と非推奨フィールドの併用制約

  適用対象はリリースノートに明記されていません。

• breakinggo 1.25.0 のサポート終了

  go に依存している場合に適用されます。

• breakingリソース作成APIの戻り値変更

  telemetry.Factory.CreateResource または telemetry.CreateResourceFunc を利用している場合に適用されます。

要対応 (2)

• securityGo依存関係のセキュリティ脆弱性を修正

  Go依存関係に含まれるDependabotのセキュリティ脆弱性を修正しました。

• securitygosec のSAST検出結果を修正

  gosec v2.27.1のSAST検出結果に対応するセキュリティ修正を追加しました。