リリース

影響確認 (1)

• breakingLinkerd Vizのデフォルトスクレイピング対象をRunningまたはPendingのPodに限定

  Linkerd Vizを使用している場合に適用されます。

影響確認 (1)

• breakingDevice CRDのステータスをDeviceStatus CRDへ分離

  Device CRDを使用している場合に適用されます。

要対応 (3)

• securitymediumスコープ付き IPv6 アドレスのクラッシュ修正

  スコープ付き IPv6 アドレスで getAddressWithPort() が呼び出された際のクラッシュを修正しました。対象の識別子は CVE-2026-26310 と GHSA-3cw6-2j68-868p です。

• securitymediumJSON の文字列終端処理の修正

  境界を 1 つ超えて書き込む処理を修正し、文字列の null 終端文字が破損する問題に対応しました。対象の識別子は CVE-2026-26309 と GHSA-56cj-wgg3-x943 です。

• securitymedium下流側リセット後の decode* メソッド実行制御

  下流側でリセットされた後に decode* メソッドが実行されないよう修正しました。対象の識別子は CVE-2026-26311 と GHSA-84xm-r438-86px です。

要対応 (3)

• securitymediumスコープ付きIPv6アドレス処理のクラッシュ修正

  CVE-2026-26310（GHSA-3cw6-2j68-868p）に対応し、スコープ付きIPv6アドレスを渡して getAddressWithPort() を呼び出した際のクラッシュを修正しました。

• securitymediumjson のオフバイワン書き込み修正

  CVE-2026-26309（GHSA-56cj-wgg3-x943）に対応し、文字列のnull終端を破損させる可能性があったオフバイワン書き込みを json で修正しました。

• securitymedium下流リセット後の decode* メソッド実行防止

  CVE-2026-26311（GHSA-84xm-r438-86px）に対応し、下流リセット後に decode* メソッドが実行されないよう修正しました。

要対応 (1)

• securitymediumCVE-2026-26309のJSONオフバイワン書き込み修正

  JSON処理で発生するオフバイワン書き込みを修正しました。

要対応 (7)

• securityhighRBACの複数値ヘッダーバイパス修正

  CVE-2026-26308 に対応し、RBAC における複数値ヘッダーのバイパスを修正しました。

• securityhighJWKSリゾルバー障害による認証バイパス修正

  CVE-2026-31837 および GHSA-v75c-crr9-733c に対応し、既知のデフォルトキーを使った認証バイパスにつながる JWKS リゾルバーの障害を修正しました。

• securitymedium下流リセット後のHTTPデコードメソッド処理修正

  CVE-2026-26311 に対応し、下流側のリセット後にHTTPデコードメソッドがブロックされる問題を修正しました。

• securitymediumスコープ付きIPv6アドレス処理のクラッシュ修正

  CVE-2026-26310 に対応し、スコープ付きIPv6アドレスを指定した getAddressWithPort() でクラッシュする問題を修正しました。

• securitymediumJSON処理のオフバイワン書き込み修正

  CVE-2026-26309 に対応し、JSON処理で発生するオフバイワン書き込みを修正しました。

• securitymediumレート制限レスポンスフェーズのクラッシュ修正

  CVE-2026-26330 に対応し、レート制限レスポンスフェーズでクラッシュする問題を修正しました。

• securitymediumデバッグエンドポイントの名前空間越しプロキシデータアクセス修正

  CVE-2026-31838 および GHSA-974c-2wxh-g4ww に対応し、デバッグエンドポイントから別の名前空間にあるプロキシデータへアクセスできる問題を修正しました。

要対応 (3)

• securitymedium下流リセット後のHTTPデコードメソッド処理修正

  CVE-2026-26311 に対応し、下流からのリセット後にHTTPデコードメソッドがブロックされるよう修正しました。

• securitymediumスコープ付きIPv6アドレス使用時のクラッシュ修正

  CVE-2026-26310 に対応し、スコープ付きIPv6アドレスを指定したgetAddressWithPort()のクラッシュを修正しました。

• securitymediumJSONのオフバイワン書き込み修正

  CVE-2026-26309 に対応し、JSONのオフバイワン書き込みを修正しました。

要対応 (2)

• securityhighGo を v1.25.5 に更新

  Go を v1.25.5 に更新し、CVE-2025-61727 と CVE-2025-61729 に対応しました。

• breakingIssuer 参照の kind と group の既定値を変更

  Issuer の参照に使う kind と group の既定値が、v0.19.0 で導入された値から以前の設定に戻りました。

影響確認 (1)

• breakingクラスタバージョンラベルの形式変更

  argocd.argoproj.io/auto-label-cluster-info と argocd.argoproj.io/kubernetes-version を設定している場合に適用されます。

影響確認 (3)

• securityCVE-2026-29785の修正

  leafnode compressionを有効にしている場合に適用されます。

• securityCVE-2026-27889の修正

  WebSocketsを有効にしている場合に適用されます。

• breakingmax_connsの0設定

  サーバー設定でmax_connsを指定している場合に適用されます。

影響確認 (2)

• securityhighCVE-2026-29785 の修正

  CVE-2026-29785 が存在し、leafnode compression が有効な場合に適用されます。

• securityhighCVE-2026-27889 の修正

  CVE-2026-27889 が存在し、WebSockets が有効な場合に適用されます。

要対応 (1)

• breakingpriorities の型を int32 に変更

  priorities の型が文字列から int32 に変更されました。

要対応 (1)

• breakingGo 1.25.7の必須化

  コードベース全体でGoのバージョンを統一し、Go 1.25.7を必須とします。

要対応 (1)

• securityhighGo 1.26.1へのビルド更新

  ビルドに使用するGoをGo 1.26.1へ更新し、CVE-2026-27137、CVE-2026-27138、CVE-2026-27139、CVE-2026-25679、CVE-2026-27142に対応するセキュリティ修正を含めています。

要対応 (2)

• securityhigh公表済み脆弱性への対応

  公表済みの脆弱性2件に対応しました。対象は CVE-2026-27133、CVE-2026-27134、GHSA-2qwx-rq6j-8r6j、GHSA-6x85-j2f7-4xc5 です。

• breakingServerSideApplyPhase1を既定で有効化

  ServerSideApplyPhase1 feature gateがベータに移行し、既定で有効になりました。

影響確認 (4)

• securityhighCVE-2026-3047 の SAML broker 認証バイパスを修正

  SAML brokerを使用し、disabled SAML clientを設定している場合に該当します。

• securityhighCVE-2026-3009 の無効なIdentity Providerの扱いを修正

  Disabled Identity Providerを設定している場合に該当します。

• securityhighCVE-2026-2603 の無効なSAML IdPによるログインを修正

  Disabled SAML IdPを設定している場合に該当します。

• リリースページにあと 1 件

影響確認 (1)

• securityBackstageパッケージのセキュリティ修正

  @backstage/plugin-techdocs-node、@backstage/integration、または@backstage/plugin-scaffolder-backendを利用している場合に該当します。

影響確認 (2)

• securityhttp_challengeのSSRF脆弱性を修正

  http_challengeを利用している場合に適用されます。

• securityx509popのCPU時間過剰消費問題を修正

  x509popを利用している場合に適用されます。

影響確認 (2)

• securityhttp_challenge のSSRF攻撃問題を修正

  http_challenge サーバーノードアテスタープラグインを使用している場合に該当します。

• securityx509pop のCPU過剰消費問題を修正

  x509pop サーバーノードアテスタープラグインを使用している場合に該当します。

影響確認 (4)

• breakingspec.resourceSelectors の namespace 検証

  PropagationPolicy または OverridePolicy を使用している場合に適用されます。

• breakingWorkloadAffinity の GroupByLabelKey 設定制約

  WorkloadAffinity で GroupByLabelKey を設定している場合に適用されます。

• breaking既定コンポーネントイメージの更新

  適用対象はリリースノートに明記されていません。

• リリースページにあと 1 件

要対応 (9)

• security暗号関連依存関係の更新

  x/(net/sync/crypto)を更新し、dvsekhvalnov/jose2goのバージョンを固定しました。

• securityGoの脆弱性修正

  Goの脆弱性を修正しました。

• securityUID確認の対象をrootに限定

  UIDの確認対象をrootだけに更新しました。

• securityHTTPパスマッチングとinvocation自動登録の修正

  HTTPパスのマッチングで発生するcardinality leakを修正し、invocationの自動登録に対応しました。

• securitygolang.org/x/cryptoの更新

  golang.org/x/cryptoを更新しました。

• securitygithub.com/docker/dockerの更新

  github.com/docker/dockerを更新しました。

• securityセキュリティ修正

  セキュリティ修正を追加しました。

• securitygithub.com/coreos/go-oidc/v3の更新

  github.com/coreos/go-oidc/v3を更新しました。

• securityNATSの脆弱性修正

  NATSの脆弱性を修正しました。

影響確認 (2)

• securitycriticalバックアップ復元時のPath Traversal対策

  バックアップストレージを使用している場合に該当します。

• securityhigh復元時の外部デコンプレッサーコマンドの既定動作変更

  外部デコンプレッサーコマンドを使用し、--external-decompressor-use-manifestを指定していない場合に該当します。

影響確認 (2)

• securityMANIFESTからの圧縮コマンド読み込みをオプトイン化

  --external-decompressor-use-manifestを使用している場合に適用されます。

• securitybackupengineのMANIFEST経由のパストラバーサルを阻止

  backupengineが実行される場合に適用されます。

要対応 (1)

• securityhighgo.opentelemetry.io 依存関係のセキュリティ修正

  go.opentelemetry.io の依存関係を更新し、GHSA-9h8m-3fm2-qjrq に対する修正を適用しています。

影響確認 (1)

• breakingアラート注釈の初期表示変更

  UIで/alertsページを利用している場合に適用されます。

影響確認 (1)

• breakingプローブの host フィールドの受け付け値を制限

  プローブ設定で host フィールドを使用している場合に適用されます。

影響確認 (1)

• breakingプローブの host フィールドを制限

  host を設定している場合に適用されます。

影響確認 (1)

• breakingnvmeof のデフォルトゲートウェイトポロジー分散制約

  nvmeof を使用している場合に適用されます。

影響確認 (1)

• breaking非推奨の v1beta2 と v2beta2 APIを CRDs から削除

  CRDs でFlux APIの v1beta2 または v2beta2 を利用している場合に該当します。

要対応 (1)

• securitycriticalgrpc-health-probeをv0.4.45へ更新

  grpc-health-probeがv0.4.45に更新され、CVE-2025-68121に対応しました。

要対応 (2)

• securitymediumCVE-2026-0707 のAuthorizationヘッダー解析問題を修正

  CVE-2026-0707 に関して、Authorizationヘッダーの解析がセキュリティ制御の回避につながる問題を修正しました。

• securitylowCVE-2025-5416 に関する環境情報の問題を修正

  keycloak-core における環境情報に関する問題を修正しました。

要対応 (1)

• securitycriticalCVE-2025-68121の修正

  CVE-2025-68121を修正しました。

要対応 (7)

• securitygolang.org/x/crypto の v0.45.0 への更新

  セキュリティ修正として、依存モジュール golang.org/x/crypto が v0.45.0 に更新されました。

• securitygithub.com/go-chi/chi/v5 の v5.2.4 への更新

  セキュリティ修正として、依存モジュール github.com/go-chi/chi/v5 が v5.2.4 に更新されました。

• securitygithub.com/sigstore/cosign/v3 の v3.0.4 への更新

  セキュリティ修正として、依存モジュール github.com/sigstore/cosign/v3 が v3.0.4 に更新されました。

• securitygithub.com/theupdateframework/go-tuf/v2 の v2.4.1 への更新

  セキュリティ修正として、依存モジュール github.com/theupdateframework/go-tuf/v2 が v2.4.1 に更新されました。

• securitygithub.com/sigstore/rekor の v1.5.0 への更新

  セキュリティ修正として、依存モジュール github.com/sigstore/rekor が v1.5.0 に更新されました。

• securitygithub.com/sigstore/sigstore の v1.10.4 への更新

  セキュリティ修正として、依存モジュール github.com/sigstore/sigstore が v1.10.4 に更新されました。

• securitygithub.com/quic-go/quic-go の v0.57.0 への更新

  セキュリティ修正として、依存モジュール github.com/quic-go/quic-go が v0.57.0 に更新されました。

影響確認 (7)

• breakingカタログ拡張ポイントの安定版エクスポートへの移行

  カタログにカスタムプロセッサーやエンティティープロバイダーを追加し、catalogProcessingExtensionPoint を使用している場合に該当します。

• breakingAPIオーバーライドのエラー拒否

  適用対象はリリースノートに明記されていません。

• breaking動的クライアント登録のトークン有効期限設定の削除

  auth.experimentalDynamicClientRegistration.tokenExpiration を設定している場合に該当します。

• リリースページにあと 4 件

要対応 (1)

• securityhighcgoバイナリへのコード混入を防ぐ修正

  GoとC/C++のコメント解析の食い違いによって、生成されるcgoバイナリにコードを紛れ込ませられる問題を修正しました。CVE-2025-61732に対応しています。

要対応 (1)

• breakingistiod の GOMEMLIMIT 自動設定

  メモリ管理が改善され、istiod は automemlimit ライブラリを使ってメモリ上限の 90% を GOMEMLIMIT に自動設定します。OOM による強制終了のリスクを抑えながら、パフォーマンスを維持します。

影響確認 (1)

• breakingReceive のシャッフルシャーディングに一貫性ハッシュを採用

  Receive を使用している場合に適用されます。

影響確認 (1)

• breakingSchedulerAsyncAPICalls 機能ゲートの無効化

  SchedulerAsyncAPICalls 機能ゲートを利用している場合に適用されます。

要対応 (1)

• securityリソースアノテーションの文字検証

  リソースアノテーションの検証で、改行文字と制御文字を拒否するようになりました。テンプレートのレンダリングによって Pod 仕様へコンテナが注入されることを防ぎます。関連する Issue は #58889 です。

影響確認 (1)

• breakingトレースとメトリクスのストレージ設定でバックエンド種別を1つに制限

  トレースまたはメトリクスのストレージに複数のバックエンド種別を設定している場合に適用されます。