CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
運用者向けの修正と新機能が含まれ、アクセス制御、認証情報、HelmとCUE、ワークフロー、依存関係に関わる領域が対象です。なお、項目2、20、26、93は運用者向けのリリース変更として記録されていません。
影響確認 (3)
securityvela-system definitions のアクセス権限を明示的な許可に限定
vela-system definitions を利用している場合に適用されます。
securityTerraform module remote URLs の認証情報をログ出力・保存から除外
Terraform module remote URLs を設定している場合に適用されます。
breakingapplication definitions の未宣言パラメータを検証
application definitions を利用している場合に適用されます。
バックエンド互換性に関わる削除や移行、設定とCLIの機能追加、非推奨化、正確性の修正を含むリリースです。セキュリティアドバイザリやセキュリティ固有の不具合は開示されていません。
要対応 (1)
breakingテンプレート作成処理の esclient への移行
テンプレートの作成処理を esclient に移行し、従来の legacy mapping rendering を廃止しました。
影響確認 (3)
breakingelasticsearch v6 のサポート終了
elasticsearch v6 を利用している場合に適用されます。
breakingjaegermcp 拡張機能の jaegerquery への統合
jaegermcp 拡張機能を利用している場合に適用されます。
breaking期限切れの安定版 feature gates の削除
適用対象はリリースノートに明記されていません。
事前準備 (1)
deprecatedlegacy flag の非推奨化
legacy flag を利用している場合に適用されます。
正確性に関する修正に加え、オペレーター機能やデフォルト設定の変更、node jobの非推奨化、コマンド実行手順の変更が含まれます。セキュリティアドバイザリや脆弱性に関する記載はありません。
影響確認 (6)
breakingv1alpha2 node jobのデフォルト有効化
NodeUpgradeJobまたはImagePrePullJobを使用している場合に適用されます。
breakingnode job間の切り替え不可
NodeUpgradeJobまたはImagePrePullJobを使用している場合に適用されます。
breakingEdgeCoreのnode jobモジュールをデフォルト無効化
EdgeCoreが稼働している場合に適用されます。
事前準備 (1)
deprecatedv1alpha1 node jobのメンテナンス終了
NodeUpgradeJobまたはImagePrePullJobを使用している場合に適用されます。
運用者向けの挙動、設定、セキュリティ、プロトコル、拡張、ネットワーク、可観測性に関する変更を含みます。識別されたCVEおよびGHSAに対応する修正があり、早期のアップグレードが必要な内容です。既定値、受け付ける入力、利用できる機能が変わる互換性上の変更も含まれます。
影響確認 (11)
securityhighHTTP/2のヘッダー制限と大量送信対策の変更
HTTP/2を使用している場合に適用されます。
securityhighHTTP/3のQPACKとcontent-length処理の修正
HTTP/3を使用している場合に適用されます。
securityhigh各種入力処理と解凍処理のセキュリティ修正
DNSクエリ検証、JSONネスト制限、PROXY protocol TLV、フォーマッター、TCP StatsD、TLS SAN、またはZstd解凍を使用している場合に適用されます。
API、設定、通信方式に関わる変更を含む、機能追加と保守を組み合わせたリリースです。OpenAPI ツールの移行や MCP の通信方式変更、設定検証の厳格化に加え、バックエンド、フロントエンド、カタログ、認証、Webhook、TechDocs の機能追加、依存関係の更新、バグ修正が行われています。セキュリティアドバイザリやセキュリティ固有の修正は公表されていません。
要対応 (1)
breakingOpenAPI 破壊的変更検出の oasdiff 移行
OpenAPI の破壊的変更の検出に使う @useoptic/optic と @useoptic/openapi-utilities が oasdiff に置き換えられました。
影響確認 (12)
breaking不正なインポートのスキーマ読み込みを拒否
適用対象はリリースノートに明記されていません。
breakingOpenAPI スキーマ用コマンドの削除
package schema openapi init または repo schema openapi test を使用している場合に適用されます。
breakinguserGroupMember. と user. の併用を拒否
userGroupMember. と user. を両方設定している場合に適用されます。
事前準備 (3)
deprecatedopaque entity header extension point の非推奨化
opaque entity header extension point を使用している場合に適用されます。
deprecatedDynamic Client Registration の非推奨警告
Dynamic Client Registration を有効にしている場合に適用されます。
deprecatedOAuth discovery の設定キー変更
auth. または auth. を設定している場合に適用されます。
Go 1.25.12上でパックを再構築し、標準ライブラリで公開された2件のセキュリティ問題に対応します。依存関係も更新されますが、オペレーター設定の変更や削除は案内されていません。
影響確認 (1)
securityhighGo標準ライブラリを修正版で再構築
1. を使用している場合に適用されます。
CRIの動作条件やプラットフォーム間の既定値が見直され、正確性や動作に関する修正と依存関係の更新も含まれます。セキュリティアドバイザリや、脆弱性と明記された内容はありません。
影響確認 (2)
breakingサンドボックス停止中の CreateContainer を拒否
CreateContainer を使っており、サンドボックスが実行中でない場合に適用されます。
breakingerofs のプラットフォーム間での mkfs ブロックサイズ既定値の統一
erofs を複数のプラットフォームで使う場合に適用されます。
複数の運用者向け機能が追加され、動作や対応入力も変更されています。既存の運用機能は非推奨化されておらず、セキュリティ関連では依存関係の移行も行われています。
要対応 (2)
securityDocker依存関係のMoby移行
github. の依存関係を github. 相当へ移行し、CVEを解消しました。
breakingヘルスチェックのRPCメトリクス出力停止
Agentのヘルスチェックで行うループバック呼び出しは、RPC メトリクスを出力しなくなり、メトリクスのノイズが減りました。
影響確認 (1)
breakingdelegated APIのJWT-SVID提供対象変更
管理用エントリまたは下流エントリに対して delegated API を使用している場合に適用されます。
Operatorを中心に、API、機能フラグ、管理機能、デプロイ方法が拡張されました。一方で、既存のオプションや実装の非推奨化と削除が進み、アカウント乗っ取り、ログや監査記録の偽造、認証検証の回避、DoSなどに関するセキュリティ問題と複数の不具合も修正されています。
要対応 (1)
securityアカウント乗っ取り前の攻撃につながる問題を修正
アカウント乗っ取り前の攻撃につながる余地が残る問題を修正しました。
影響確認 (19)
securitymediumCVE-2026-9796の権限確認回避を修正
manage-clientsを使用している場合に該当します。
securitymediumCVE-2026-9689のレスポンスパラメータ重複を修正
OIDCを使用している場合に該当します。
securitymediumCVE-2026-9798のアカウントロック回避を修正
CIBA認証フローを実行している場合に該当します。
事前準備 (4)
deprecatedV1の非推奨化
V1を使用している場合に該当します。
deprecatedRequire Discoverable Credentialの非推奨化
Require Discoverable Credentialオプションを設定している場合に該当します。
deprecatedTwitter IDP実装の非推奨化
Twitter IDP実装を使用している場合に該当します。
設定項目やリソース管理機能の追加に加え、max_ts の無効な更新に対する既定の扱いが変わり、依存関係も更新されています。正確性、メモリ使用量、安定性に関する修正も含まれています。
要対応 (1)
securityサードパーティ依存関係の更新
TiKV 8.5向けに、脆弱性のあるサードパーティ依存関係を更新しました。上流に合わせて互換性に必要な修正も取り込んでいます。
影響確認 (1)
breaking無効な max_ts 更新を既定で拒否
storage. を設定していない場合に適用されます。
運用者が確認すべきRBAC、Helm値、API、フィーチャーゲートの変更を含むリリースです。新しい機能の追加と不具合修正も行われているため、関連する設定や権限を利用している環境では影響確認が必要です。
影響確認 (5)
securitycert-manager-editのACMEリソース権限を削除
cert-manager-edit集約ClusterRoleを利用している場合に該当します。
breakingAPIからObjectReferenceを削除
APIでObjectReferenceを利用している場合に該当します。
breakingPrometheus関連のHelm値を削除
prometheus.、prometheus.、prometheus.のいずれかを設定している場合に該当します。
事前準備 (2)
deprecatedGateway API設定フィールドをgatewayAPIへ移行
enableGatewayAPI、enableGatewayAPIListenerSet、gatewayAPI.、gatewayAPI.のいずれかを設定している場合に該当します。
deprecatedcainjectorのSSA利用とServerSideApplyの非推奨化
セキュリティ関連の修正に加え、認証処理と依存関係、ビルドツールチェーンの更新を含みます。依存関係の更新には x/crypto の更新も含まれます。
要対応 (1)
securityhighgolang. の v0. への更新
golang. を v0. に更新し、CVE-2026-46598、CVE-2026-39835、CVE-2026-39828、CVE-2026-46597 に対応しました。
影響確認 (1)
securitygRPC リスナーにおける CRL 適用回避の修正
--listen-client-http-urls を設定している場合に適用されます。
セキュリティ修正に加え、既存の設定や JSON 出力に影響する変更、複数の不具合修正が含まれています。設定項目の追加など、新しい構成にも対応しています。
要対応 (1)
securitycriticalCVE-2026-33186 に対応する gRPC 実装を更新
thanos-community/grpc-go のフォークを更新し、形式不正な :path ヘッダーを利用した認可バイパスを修正しました。対象は CVE-2026-33186 です。
影響確認 (4)
securityReceive のテナント ID 検証を修正
Receive を実行している場合に適用されます。
breakingQuery-Frontend の処理時間フィールドを変更
Query-Frontend を実行している場合に適用されます。
breakingReceive の不均一ブロックサイズ無視オプションを削除
--shipper. を設定している場合に適用されます。
v0.20.0 は、ZoneDelegation を軸にした DNS 管理の拡張と、TLSRoute、アノテーション対応を含むリリースです。既存設定に関わる項目の削除、既定値や命名の変更、不具合修正、依存関係の更新も含まれます。
影響確認 (4)
breakingBootstrap サービスの削除
設定で Bootstrap サービスを利用している場合に該当します。
breakingdynamicZones の削除
設定で dynamicZones を利用している場合に該当します。
breakingdoFinalize の既定値変更
ZoneDelegation の finalization で doFinalize を使用している場合に該当します。
内部データベースのメジャーバージョン更新、キャッシュバックエンドの置き換え、依存関係とコンポーネントの更新、不具合修正を含むリリースです。セキュリティ関連では、トークンとblob-mountの検証が強化されています。
要対応 (1)
securityblob-mountとトークンの検証を強化
blob-mountのソースプロジェクトを検証し、iatがないトークンを拒否するようになりました。
影響確認 (2)
breaking内部データベースをPostgreSQL 18へ自動更新
PostgreSQLを利用している場合に適用されます。
breakingキャッシュバックエンドをvalkeyへ変更
redisを利用している場合に適用されます。
v2非推奨設定の追加やWebSocket認証の修正に加え、CRL適用回避の修正、Goツールチェーンと依存関係の更新が含まれます。--listen-client-http-urls を設定している環境や更新対象の依存関係を利用している環境では、アップグレードが必要です。
要対応 (2)
securityhighOpenTelemetry依存関係の更新
go. と go. を v1. から v1. に更新し、CVE-2026-29181 と CVE-2026-39883 に対応しました。
securityhighgolang. の更新
golang. を v0. に更新しました。
影響確認 (1)
securitygRPCリスナーにおけるCRL適用回避の修正
--listen-client-http-urls を設定している場合に適用されます。
gRPCリスナーにおけるCRL適用と、OpenTelemetry依存関係に関するセキュリティ修正を含むリリースです。--listen-client-http-urls の利用状況やOpenTelemetryの依存関係を確認している環境に関係します。
要対応 (1)
securityhighOpenTelemetry依存関係を更新
go. と go. を v1. から v1. に更新し、CVE-2026-29181 と CVE-2026-39883 に対応しました。
影響確認 (1)
securitygRPCリスナーのCRL適用回避を修正
--listen-client-http-urls が設定されている場合に適用されます。
セキュリティ関連の依存関係更新と挙動変更を含み、PromQL、配布アーティファクト、APIや設定の扱いが変わります。性能改善と不具合修正も含まれるため、これらの機能や運用箇所を利用している環境に関係するリリースです。
要対応 (2)
securitycriticalsanitize-htmlの更新
UIで使用するsanitize-htmlを更新し、クロスサイトスクリプティングの脆弱性CVE-2026-44990を修正しました。
breakingサードパーティライセンスの提供方法を変更
サードパーティ製npm依存関係のライセンスをPrometheusバイナリに埋め込み、/assets/third-party-licenses.で提供する形に変更しました。リリースのtarballとコンテナイメージに収録していたnpm_licenses.は置き換えられています。
影響確認 (2)
securitymedium別ホストへのリダイレクト時に認証情報を転送しない挙動
スクレイピング、リモート読み取りまたは書き込み、アラート、サービスディスカバリのいずれかを利用している場合に適用されます。
breakingPromQL期間式関数の改名
experimental-duration-exprを有効にしてmin()またはmax()を使用している場合に適用されます。
v2.5.0では、ランタイムの実行基盤と依存関係に更新があります。wasip3 を使うワークロードでは既定値の変更が関係し、quinn-proto の修正も含まれます。
要対応 (1)
securityhighquinn-proto の RUSTSEC-2026-0185 修正
quinn-proto の RUSTSEC-2026-0185 を修正しました。
影響確認 (1)
breakingWasmtime 46への更新とwasip3の既定有効化
ワークロードで wasip3 を使用している場合に適用されます。
依存関係やツールチェーンのバージョン変更に加え、監視機能の変更、動作改善、不具合修正が含まれています。MQTTと認可に関わる修正はセキュリティ上の問題に対応していますが、アドバイザリ識別子は記載されていません。
影響確認 (3)
securityLeaf接続でのNats-Trace-Dest権限チェック回避を修正
Leaf接続を利用している場合に該当します。
security保持メッセージとQoS再送時のサブスクライブ拒否ルールを適用
MQTTを利用している場合に該当します。
breaking監視エンドポイントのJSONPコールバック対応を削除
JSONPコールバック対応を利用している場合に該当します。
KafkaやTLS、entity-operatorの設定に関係する変更を含むリリースです。該当する環境では、既存のバージョン指定や設定値との互換性に影響します。
影響確認 (3)
breakingKafka 4.のサポート終了
Kafka 4.を使用している場合に該当します。
breakingTLS認証とトラストストアのPEMファイル対応
KafkaBridgeまたはKafkaMirrorMaker2でTLS認証もしくはTLSトラストストアを使用している場合に該当します。
breakingentity-operatorのhealthcheckポート名変更
entity-operatorのhealthcheckポートを使用している場合に該当します。
外向きの User-Agent 値が変更されるため、旧文字列との完全一致に依存する設定では対応が必要です。ランタイムの自動設定、フォーマットやカバレッジの処理、コンパイラーとランタイムの不具合、依存関係にも更新があります。
影響確認 (1)
breakingUser-Agent ヘッダーの形式変更
サーバー側のログフィルターまたは WAF ルールで旧文字列との完全一致を設定している場合に適用されます。
v1.19.6では、権限設定とGoの更新内容が見直されています。cert-manager-editを使って特定のリソースを操作する構成や、Goの脆弱性対応を確認する利用者に関係します。
要対応 (2)
securityhighGoのv1.への更新
Goがv1.へ更新され、CVE-2026-27145、CVE-2026-42504、CVE-2026-42507への対応が行われました。
securityGoの1.へのアップグレード
報告された脆弱性への対応として、Goが1.へアップグレードされ、依存関係も更新されました。
影響確認 (1)
securitycert-manager-edit集約ClusterRoleのACME権限削除
cert-manager-edit集約ClusterRoleを使い、ChallengeまたはOrderリソースを作成・変更するワークフローに適用されます。
ACME の権限設定と Challenge のガベージコレクションに関する修正を含むリリースです。Go の依存関係も更新され、確認された CVE への修正が取り込まれています。
要対応 (1)
securityhighGo を v1. に更新
Go を v1. に更新し、CVE-2026-27145、CVE-2026-42504、CVE-2026-42507 への修正を取り込みました。
影響確認 (1)
securityACME リソース作成権限の修正
適用対象はリリースノートに明記されていません。
v2.5.0では、運用時の機能やプロキシ、ダウンロードの挙動が変更され、非推奨APIの削除と正確性に関する修正も行われています。セキュリティ脆弱性やアドバイザリの開示はありません。
要対応 (1)
breakingヘルスチェックの/healthyへの統合
ヘルスチェックが/healthyエンドポイントに統合されました。
影響確認 (1)
breaking非推奨のV1 preheat APIエンドポイントの削除
非推奨のV1 preheat APIエンドポイントを利用している場合に適用されます。
Envoy に関するセキュリティ修正を含むリリースです。修正の一部は特定のフィルター、シンク、またはランタイム設定を使用する環境に適用され、アップグレードで対応できます。
要対応 (7)
securityhighZstd decompressor の展開比率制限を修正
Zstd decompressor で MaxInflateRatio の上限を入力スライス全体の処理後にしか確認していなかった問題を修正しました。上限を内部の展開ループ内で適用し、しきい値を超えた時点で展開を中止します。
securitymediumPROXY プロトコルヘッダーの TLV 長計算を修正
PROXY プロトコルヘッダーでパススルー TLV と追加 TLV を組み合わせた際、最大長を超えてヘッダーに示すサイズと実際の書き込みバイト数が一致しなくなる問題を修正しました。
securitymediumHTTP 303 内部リダイレクトのセグメンテーションフォールトを修正
HTTP 303 の内部リダイレクトをボディーのないリクエストで処理する際、確保されていないリクエストボディーバッファーを排出しようとしてセグメンテーションフォールトが発生する問題を修正しました。
securitymedium破棄後の非同期トークン変更コールバックを修正
フィルターの破棄後、onDestroy() の呼び出し後に非同期トークン変更コールバックが実行され、解放済みポインターにアクセスして UAF やクラッシュが発生する問題を修正しました。
securitymediumピア証明書の SAN 検証における NUL バイト処理を修正
SAN に埋め込まれた NUL バイトがあるピア証明書で、Subject Alternative Name（SAN）を正しく検証できない問題を修正しました。構成によって SAN の解析が NUL バイトで途中切り詰めされ、誤った信頼判断につながる可能性がありました。
securitymediumクエリー名の長さの妥当性確認を修正
クエリー名の長さに対する妥当性確認を修正し、異常なプロセス終了を防ぐようにしました。確認に失敗した場合は ENVOY_BUG を使用します。
securityHTTP/3 の QPACK 処理におけるメモリ枯渇の修正
HTTP/3 スタックの QPACK ブロック解除処理を修正しました。動的テーブルの更新待ちでブロックされたヘッダーブロックについて、内部デコーダーバッファーに保持されたデータが QUIC の受信フロー制御の計上から外れ、メモリが無制限に増加する問題に対応しています。
影響確認 (7)
securityhighHTTP/3 のヘッダーのみの content-length 検証を修正
envoy. を有効にしている場合に適用されます。
securityhighJSON パーサーのネスト深度制限を追加
envoy. を false に設定している場合に適用されます。
securitymediumext_proc server の予期しない ProcessingResponses を修正
ext_proc server を使用している場合に適用されます。
通常の不具合修正に加え、Envoyに関するセキュリティ修正が含まれています。セキュリティ修正を含むためアップグレードが必要です。非推奨化や、オペレーターに設定変更を強制する告知はありません。
要対応 (4)
securitymediumHTTP 303内部リダイレクトの処理修正
ボディーのないリクエストでHTTP 303の内部リダイレクトを処理する際、確保されていないリクエストボディーバッファを解放しようとしてセグメンテーションフォールトが発生する問題を修正しました。
securitymedium非同期トークン変更コールバックの破棄後実行を修正
フィルターの破棄処理であるonDestroy()の呼び出し後に、非同期トークン変更コールバックが実行される問題を修正しました。解放済みポインターへのアクセスによるuse-after-freeやクラッシュにつながる状態でした。
securitymedium証明書SANのNULバイト処理を修正
ピア証明書のSubject Alternative Name（SAN）に埋め込みNULバイトが含まれる場合に、SANを正しく検証できない問題を修正しました。一部の設定でNULバイト以降が切り詰められ、誤った信頼判断につながる可能性がありました。
securitymediumクエリ名の長さの整合性確認を修正
クエリ名の長さに対する整合性確認を修正し、異常なプロセス終了を防ぐようにしました。確認に失敗した場合はENVOY_BUGを使用します。
影響確認 (11)
securityhigh%REQUESTED_SERVER_NAME%フォーマッターのクラッシュ修正
%REQUESTED_SERVER_NAME%フォーマッターを設定している場合に該当します。
securityhighZstdデコンプレッサーの膨張率制限の修正
Zstdデコンプレッサーを使用している場合に該当します。
securityhighHTTP/3のヘッダー専用Content-Length検証を修正
HTTP/3を使用し、envoy.を有効にしている場合に該当します。
ログ出力の既定値が変更され、運用者向けの修正や追加が含まれています。pilot-agent のメトリクス取得における許可コンテンツタイプの制約が絞り込まれ、Envoy に関するセキュリティ修正も含まれます。
要対応 (12)
securityhighCVE-2026-47220 のクラッシュを修正
CVE-2026-47220 に関するクラッシュの不具合が修正されました。
securityhighCVE-2026-48044 のメモリ枯渇脆弱性を修正
CVE-2026-48044 に関するメモリ枯渇脆弱性が修正されました。
securityhighCVE-2026-48042 の JSON 入れ子深度を制限
CVE-2026-48042 に関して、JSON の入れ子の深さを 1000 に制限しました。
securitymediumCVE-2026-47692 の不具合を修正
CVE-2026-47692 に関する不具合が修正されました。
securitymediumCVE-2026-47205 の use-after-free クラッシュを修正
CVE-2026-47205 に関する use-after-free によるクラッシュが修正されました。
securitymediumCVE-2026-48090 の非同期コールバック処理を修正
CVE-2026-48090 に関して、フィルターの破棄後に非同期トークン変更コールバックが呼び出される不具合が修正されました。
securitymediumCVE-2026-47778 の SAN 検証を修正
CVE-2026-47778 に関して、Envoy が Subject Alternative Name（SAN）を検証できない問題が修正されました。
securitymediumCVE-2026-47204 のクラッシュと use-after-free を修正
CVE-2026-47204 に関するクラッシュまたは use-after-free が修正されました。
securitymediumCVE-2026-48497 のクエリ名長検査を修正
CVE-2026-48497 に関して、クエリ名の長さを検査する処理が修正されました。
securitymediumCVE-2026-47775 のパディングオラクルに対処
CVE-2026-47775 に関するパディングオラクルの問題に対処しました。
securityGHSA-p7c7-7c47-pwch のサービス拒否脆弱性を修正
GHSA-p7c7-7c47-pwch に関するサービス拒否脆弱性が修正されました。
breakingメッセージのログレベルを warn に変更
メッセージのログ出力レベルが warn になりました。
影響確認 (5)
securityhighCVE-2026-48743 の HTTP/3 content-length 検証を修正
HTTP/3 を使用している場合に適用されます。
securitymediumCVE-2026-47207 の予期しない ProcessingResponses を修正
ext_proc 拡張機能を使用している場合に適用されます。
securitymediumCVE-2026-47221 の HTTP 303 内部リダイレクト処理を修正
適用対象はリリースノートに明記されていません。
