リリース

影響確認 (2)

• securityAuthZEN ディスカバリーのエンドポイント URL を設定値から生成

  authzen.baseURL を設定している場合に適用されます。

• securityテスト用 Docker パッケージを Moby に置換

  テストを実行する場合に適用されます。

影響確認 (1)

• securitymediumChart.yaml のドット区切り名による抽出先ディレクトリの崩れ

  Helm Chart の抽出を利用している場合に適用されます。

要対応 (1)

• securitymediumGHSA-hr2v-4r36-88hr の修正

  GHSA-hr2v-4r36-88hr に関するセキュリティ修正です。

要対応 (6)

• securityパスワードとOTPのブルートフォース保護の分離

  パスワードと OTP のブルートフォース保護が分離され、OTP バイパス攻撃を防ぐ設定がデフォルトになりました。

• securityResourceAdminManagerのURL構築検証の修正

  ResourceAdminManager で、Matrix Parameter InjectionによるURLが検証されないまま構築される問題が修正されました。

• securityクライアント取得時のフィッシング対策チェックの修正

  クライアント取得時にanti-ID phishingチェックが欠落していた問題が修正されました。

• breakingゼロダウンタイムパッチリリースの既定有効化

  zero-downtime patch releases がサポート対象となり、デフォルトで有効になります。

• breakingKubernetes向けトラストストア設定の既定有効化

  --truststore-kubernetes-enabled の動作がデフォルトで有効になりました。

• breakingnot-before検証の既定値変更

  not-before検証のデフォルト値が0秒から10秒に変更されました。

要対応 (1)

• securitymediumBatchCheckのポリシー適用不備を修正

  同じタプルに対する複数のチェックを含むBatchCheck呼び出しで、ポリシーが正しく適用されない問題を修正しました。CVE-2026-34972およびGHSA-jwvj-g8pc-cx45に関係する修正です。

影響確認 (1)

• securityBuildKit と CNI plugins のセキュリティ更新

  BuildKit または CNI plugins を使用している場合に適用されます。

要対応 (1)

• securitymediumCVE-2026-1002の静的ファイルアクセス拒否を修正

  静的ファイルへのアクセスを拒否できる、io.vertx/vertx-coreの静的ハンドラーコンポーネントキャッシュの操作を修正しました。

影響確認 (1)

• breakingTSDB保持期間の単位不一致を修正

  storage.tsdb.retention.time を設定している場合が対象です。

影響確認 (1)

• breakingfractional bucketing の改善

  プロバイダーを使用している場合に適用されます。

要対応 (1)

• securitycriticalgRPC依存関係の更新

  google.golang.org/grpcの依存関係を、CVE-2026-33186を解消するバージョンに更新しました。

影響確認 (5)

• breakingCDH の Go サポートを削除

  CDH を利用している場合に該当します。

• breakingCanonical TDX Tech preview のサポート終了

  Canonical TDX Tech preview を利用している場合に該当します。

• breaking対応する Ubuntu バージョンの変更

  Ubuntu 24.04.4 (linux-image-generic-hwe-24.04) または 25.10 を利用している場合に該当します。

• リリースページにあと 2 件

要対応 (1)

• security依存関係とPythonインタープリターを更新

  CVEを解消するため、多数の依存関係とPythonインタープリターが更新されました。

影響確認 (1)

• breakingHTTPAuthPluginの認証処理位置の変更

  カスタムのHTTPAuthPlugin実装を使用している場合に適用されます。

影響確認 (1)

• breakingEventEngine の既定有効化と fork 対応

  PythonまたはRubyを使用している場合に適用されます。

要対応 (2)

• securitygoパッケージの更新

  脆弱性を修正するため、goパッケージを更新しました。

• securityuiパッケージの更新

  脆弱性を修正するため、uiパッケージを更新しました。

影響確認 (1)

• breakingnodes/proxy に対する RBAC 権限付与の削除

  nodes/proxy を使用している場合に適用されます。

影響確認 (7)

• breakingvirt-controller ClusterRole の取得権限削除

  適用対象はリリースノートに明記されていません。

• breaking一時停止中のVMIに対する停止要求の拒否

  一時停止中のVMIを実行している場合に該当します。

• breakingEnableVirtioFsConfigVolumes のGA移行

  EnableVirtioFsConfigVolumes feature gate を使用している場合に該当します。

• リリースページにあと 4 件

要対応 (1)

• breakingJWTのサイズ上限を1MBに変更

  JWTのサイズ上限を1MBに設定しました。#7960に対応しています。

要対応 (1)

• breakingJWTのサイズ上限を1MBに変更

  JWTのサイズ上限を1MBに設定しました。

影響確認 (1)

• securitymedium条件付き Check リクエストのキャッシュ結果に関する脆弱性を修正

  条件付きの Check リクエストでキャッシュを有効にしている場合に適用されます。

要対応 (2)

• securitycriticalgoogle.golang.org/grpcをv1.79.3へ更新

  google.golang.org/grpcをv1.79.3へ更新しました。この更新はCVE-2026-33186（GHSA-p77j-4mvh-x3m3）に対応しますが、Contourは影響を受けません。

• securityEnvoyをv1.35.9へ更新

  セキュリティ脆弱性への対応として、Envoyをv1.35.9へ更新しました。

要対応 (2)

• securitycriticalgoogle.golang.org/grpcをv1.79.3に更新

  google.golang.org/grpcをv1.79.3に更新します。この更新はCVE-2026-33186に対処していますが、Contourは影響を受けません。

• securityEnvoyをv1.34.13に更新

  Envoyをv1.34.13に更新し、セキュリティ上の脆弱性に対処するとともに安定性を改善します。

要対応 (2)

• securitycriticalgoogle.golang.org/grpcのv1.79.3への更新

  google.golang.org/grpcをv1.79.3へ更新します。この更新にはCVE-2026-33186への対応が含まれますが、Contourは影響を受けません。

• securityEnvoyのv1.34.13への更新

  Envoyをv1.34.13へ更新します。

影響確認 (2)

• securityenvoy 管理ソケットのアクセス範囲を修正

  envoy を実行している場合に適用されます。

• securitylocal backends に対する ingress policies の適用を修正

  ingress policies と local backends を使用している場合に適用されます。

影響確認 (1)

• securityenvoy 管理ソケットのアクセス権を修正

  Envoyが動作している場合に適用されます。

影響確認 (2)

• breakingHelmリポジトリのOCI化

  Helmを使用している場合に該当します。

• breakingベンダー中立なAPIグループへの切り替え

  k8gb.absa.oss/v1beta1を使用している場合に該当します。

要対応 (1)

• breakingPod Security enforcement の既定値変更

  Pod Security enforcement の既定値が baseline に変わります。

影響確認 (1)

• breakingカタログエンティティページのページレイアウトヘッダーを無効化

  新しいフロントエンドシステムでカタログエンティティページを利用している場合に適用されます。

要対応 (4)

• securitycriticalgoogle.golang.org/grpc を 1.79.3 に更新

  google.golang.org/grpc を 1.79.3 に更新し、CVE-2026-33186 に対応しました。

• securityhigh複数 API の認可回避を修正

  etcd server の複数の API で発生していた認可回避を修正しました。CVE-2026-33413 および GHSA-q8m4-xhhv-38mg に対応しています。

• securityhighgo.opentelemetry.io/otel/sdk を v1.40.0 に更新

  go.opentelemetry.io/otel/sdk を v1.40.0 に更新しました。GO-2026-4394 に対応しています。

• securityhighgolang.org/x/net を v0.51.0 に更新

  golang.org/x/net を v0.51.0 に更新し、GO-2026-4559 に対応しました。

要対応 (3)

• securitycriticalgoogle.golang.org/grpc を 1.79.3 に更新

  CVE-2026-33186 に対応するため、google.golang.org/grpc を 1.79.3 に更新しました。

• securityhighgo.opentelemetry.io/otel/sdk を v1.40.0 に更新

  GO-2026-4394 に対応するため、go.opentelemetry.io/otel/sdk を v1.40.0 に更新しました。

• securityhighgolang.org/x/net を v0.51.0 に更新

  GO-2026-4559 に対応するため、golang.org/x/net を v0.51.0 に更新しました。

要対応 (2)

• securityプロジェクト作成前に発行された bearer tokens の拒否

  プロジェクト作成前に発行された bearer tokens は拒否されるようになりました。

• breakingwebhook event check 用 harbor IP のポート 9443 削除

  webhook event check 用の harbor IP からポート 9443 が削除されました。

要対応 (3)

• securityhighGo 1.25.8 へのツールチェーン更新

  リポジトリ内のすべてのモジュールと Docker イメージで、Go ツールチェーンを 1.24.13 から Go 1.25.8 に更新しました。

• securitymediumGO-2026-4603 に対応した html/template の URL エスケープ修正

  html/template の meta content 属性で URL のアクションがエスケープされず、細工した URL によってクロスサイトスクリプティングが発生する可能性を修正しました。

• securitylowGO-2026-4602 に対応した os.FileInfo の境界逸脱修正

  os の FileInfo が Root の外へ抜け、想定したディレクトリ境界の外にあるファイルへアクセスできる可能性を修正しました。

影響確認 (8)

• securitymediumOIDC Dynamic Client Registration の SSRF 修正

  OIDC Dynamic Client Registration を利用している場合に適用されます。

• securitymediumrealm のクライアント操作における IDOR の修正

  適用対象はリリースノートに明記されていません。

• securitymediummanage-clients permission による権限昇格の修正

  manage-clients permission を設定している場合に適用されます。

• リリースページにあと 5 件

要対応 (1)

• securityエージェントレベルでのセレクター記録停止

  機密情報が漏えいする可能性を避けるため、エージェントレベルでセレクターをログに記録しなくなりました（#6732）。

影響確認 (14)

• breaking新規アプリの既定フロントエンドシステムを変更

  適用対象はリリースノートに明記されていません。

• breakingcreate-app のフラグ名を変更

  create-app で --next フラグを使用している場合に該当します。

• breaking非推奨の型とオプションを削除

  非推奨の型やオプションを使用している場合に該当します。

• リリースページにあと 11 件

影響確認 (1)

• breaking非ネイティブアーキテクチャでのデフォルトハイパーバイザーを QEMU に変更

  QEMU が非ネイティブアーキテクチャ上で動作する場合に適用されます。

要対応 (1)

• securityhighCVE-2025-47913 への対処

  golang/x/crypto を openshift/golang-crypto の修正版モジュールに向ける replace directive が追加され、CVE-2025-47913 に対処しました。

要対応 (13)

• securitycriticalh11の不正なボディ処理を修正

  不正なボディを受け入れるh11の問題として、CVE-2025-43859に対処しました。

• securityhighstarletteを0.49.1に固定

  starletteをバージョン0.49.1に固定し、CVE-2025-62727に対処しました。

• securityhighlightgbmを4.6.0に更新

  lightgbmをバージョン4.6.0に更新し、CVE-2024-43598に対処しました。

• securityhighCVE-2025-66418への対処

  解凍チェーン内のリンク数が無制限になる問題として、CVE-2025-66418に対処しました。

• securityhighexpr-lang/exprをv1.17.7に更新

  expr-lang/exprをv1.17.7に更新し、CVE-2025-68156に対処しました。

• securityhighcryptographyのCVE-2026-26007対策

  cryptographyのsubgroup attackに関するCVE-2026-26007に対処しました。

• securityhighpython-multipartのCVE-2026-24486対策

  python-multipartで任意のファイルを書き込める問題として、CVE-2026-24486に対処しました。

• securitymedium複数のCVEへの対処

  CVE-2025-22872、CVE-2025-47914、CVE-2025-58181に対処しました。

• securityhttps.goのパストラバーサル対策

  https.goでパストラバーサルが発生しないよう修正しました。

• security複数のCVEへの対処

  複数のCVEsに対処しました。

• securityAIOHTTPの自動解凍処理を修正

  AIOHTTPのHTTP Parserにあるauto_decompress機能のzip bomb脆弱性を修正しました。

• securityextractTarFilesのパストラバーサル対策

  extractTarFilesのパストラバーサル脆弱性を修正しました。

• breakingminioからseaweedfsへの置き換え

  minioをseaweedfsに置き換えました。

要対応 (2)

• securityhighgo ツールチェーンの更新

  go ツールチェーンを 1.25.8 に更新し、標準ライブラリの脆弱性 GO-2026-4603 と GO-2026-4601 に対応しました。

• breakingタプル文字列の検証条件変更

  タプル文字列に unicode control characters または null bytes が含まれている場合、タプル検証が失敗するようになりました。

要対応 (8)

• securityhighGRPC Netty ShadedのCVE-2025-55163対応

  GRPC Netty Shaded を更新し、CVE-2025-55163 に対応しました。

• securitymediumZookeeperのCVE-2024-47554対応

  Zookeeper を更新し、CVE-2024-47554 に対応しました。

• securitymediumNimbus Jose JWT 10.0.2への更新

  Nimbus Jose JWT を 10.0.2 に更新し、CVE-2025-53864 に対応しました。

• securitymediumNetty 4.1.130.Finalへの更新

  Netty を 4.1.130.Final に更新し、CVE-2025-67735 に対応しました。

• securitymediumApache Log4J 2.25.3への更新

  Apache Log4J を 2.25.3 に更新し、CVE-2025-68161 に対応しました。

• securitymediumVertx 4.5.24への更新

  Vertx を 4.5.24 に更新し、CVE-2026-1002 に対応しました。

• securitymediumJacksonのGHSA-72hv-8253-57qq対応

  Jackson を更新し、GHSA-72hv-8253-57qq に対応しました。

• securityVert.xとNettyのCVE対応

  0.45.xブランチで、Vert.x と Netty が更新され、CVEへの対応が行われました。