CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
オペレーター向けの機能追加と挙動変更を含むリリースで、依存関係の更新だけではありません。既存環境との互換性を確認する必要がある制約変更と非推奨化に加え、新しい機能やその他の挙動変更も含まれています。
要対応 (1)
breakingOCI hook調整の所有者集約とプラグイン名のカンマ禁止
OCI hookの調整に関する所有者を集約し、プラグイン名にカンマを使用できなくなりました。
事前準備 (1)
deprecatedshim.の非推奨化
shim.を使用している場合に適用されます。
APIとランタイムの機能が拡張・変更され、サンドボックスメタデータのフィールドと依存関係も更新されます。セキュリティアドバイザリや脆弱性の開示はありません。
影響確認 (1)
breakingサンドボックスメタデータから Container フィールドを削除
APIで Container を使用している場合に適用されます。
API、設定、CLI のデフォルト、スケジューリング、ランタイム、フィーチャーゲート、メトリクス、依存関係にまたがる変更を含む、運用への影響が広いリリースです。削除や非推奨化、成熟度の移行もあるため、アップグレード前の確認とテストが必要です。セキュリティアドバイザリや、明示的に記載された脆弱性は確認されていません。
要対応 (11)
breakingStrictIPCIDRValidation のデフォルト有効化
kube-apiserver の StrictIPCIDRValidation フィーチャーゲートがデフォルトで有効になりました。
breakingデバッグプロファイルのデフォルト変更
デバッグプロファイルのデフォルトが legacy から general に変更されました。
breakingWatchCacheInitializationPostStartHook のデフォルト有効化
WatchCacheInitializationPostStartHook フィーチャーゲートがデフォルトで有効になりました。
breakingKubeletPSI の GA 移行
KubeletPSI が GA に移行し、デフォルトで有効になりました。
breakingRelaxedServiceNameValidation のベータ移行
RelaxedServiceNameValidation フィーチャーゲートがベータ版に移行し、デフォルトで有効になりました。
breakingRestartAllContainersOnContainerExits のベータ移行
RestartAllContainersOnContainerExits フィーチャーゲートがベータ版に移行し、デフォルトで有効になりました。
breaking中断ジョブ関連フィーチャーゲートのデフォルト有効化
MutablePodResourcesForSuspendedJobs と MutableSchedulingDirectivesForSuspendedJobs がデフォルトで有効になりました。
breakingInformer のストア更新順序変更
Informer のデフォルト動作が変わり、list または relist に含まれるすべてのオブジェクトでストア状態を更新してから、個々の削除、追加、更新に対する OnDelete、OnAdd、OnUpdate を呼び出すようになりました。
breakingInformer の watch イベント処理変更
Informer は、キューに入ったイベントの処理中でも新しい watch イベントをキューに追加できるようになりました。
breakingクライアント CA ローテーション機能のデフォルト有効化
この機能がデフォルトで有効になり、ClientsAllowCARotation フィーチャーゲートで無効にできます。
breakingTLS キャッシュ GC 機能のデフォルト有効化
この機能がデフォルトで有効になり、ClientsAllowTLSCacheGC フィーチャーゲートで制御できるようになりました。
影響確認 (25)
breakingvolume_operation_total_errors メトリクスの名称変更
volume_operation_total_errors を利用している場合に該当します。
breakinggit-repo ボリュームプラグインの無効化
git-repo ボリュームプラグインを利用している場合に該当します。
breakingCredential plugin 許可リストのフィールド名変更
AllowlistEntry. を設定している場合に該当します。
事前準備 (6)
deprecatedService . の非推奨化
Service の . を設定している場合に該当します。
deprecatedmetav1. の直接アクセスを非推奨化
metav1. を利用している場合に該当します。
deprecatedスコア設定フィールドの非推奨化
MinNodeScore または MaxNodeScore を利用している場合に該当します。
運用者向けの機能追加と複数の不具合修正を含むリリースです。開示されたGo依存関係の脆弱性に対処するため、アップグレードが直ちに必要です。その他の変更は、新しいオプションを選ぶ場合や影響を受ける挙動を利用している場合に対応が必要です。
要対応 (1)
securitycriticalGo 1.への更新と脆弱性修正の取り込み
Go 1.でビルドされ、CVE-2026-32282、CVE-2026-32289、CVE-2026-33810、CVE-2026-27144、CVE-2026-27143、CVE-2026-32288、CVE-2026-32283、CVE-2026-27140、CVE-2026-32936、CVE-2026-33190、CVE-2026-33489、CVE-2026-32934、CVE-2026-35579のセキュリティ修正が含まれています。
影響確認 (1)
breakingDoHのGET DNSクエリパラメータのサイズ検証
DoHを使用している場合に適用されます。
Goのビルドツールチェーンが変更され、アップグレード時や実行時の不具合が修正されています。依存関係のバージョンも更新されていますが、セキュリティアドバイザリや、アップグレード以外の運用作業は示されていません。
原文 ↗Goツールチェーンの更新と、動作上の不具合修正を含むリリースです。依存関係のバージョンも更新されています。セキュリティアドバイザリや運用者向けの作業は示されていません。
原文 ↗Goツールチェーンの更新、正確性に関わる修正、StatefulSetの並列Pod管理における既定値の変更を含みます。依存関係のバージョン行はマニフェストの記載であり、運用者向けの変更ではありません。
影響確認 (1)
breakingStatefulSetのParallel Pod管理におけるMaxUnavailableStatefulSetの既定無効化
MaxUnavailableStatefulSetを有効にしていない場合に適用されます。
このリリースには、spdystream に関する依存関係の更新が含まれています。CVE-2026-35469 に関連する変更です。
要対応 (1)
securityhighspdystream の更新
依存関係の変更対象として spdystream が記録され、CVE-2026-35469 に関する更新が含まれています。
containerd v2.0.8は、セキュリティ面の修正を含むリリースです。依存関係とツールチェーンの更新も含まれます。
要対応 (1)
securityhighspdystreamのセキュリティ更新
CVE-2026-35469に関するspdystreamのセキュリティ更新です。
影響確認 (1)
securityPodイベントのエラー処理修正
Container Runtime Interface (CRI)を通じてPodイベントを利用している場合に適用されます。
CRI、ランタイム、イメージ配布に関する不具合を修正し、依存関係とツールチェーンも更新しています。spdystreamのセキュリティ修正と、Podイベントでの認証情報漏えいを防ぐ修正も含まれます。
要対応 (2)
securityhighspdystreamのセキュリティアドバイザリ追加
CVE-2026-35469およびGHSA-pc3f-x583-g7j2に関するセキュリティアドバイザリが追加されています。
securityhighgithub.の更新
github.をv0.5.1に更新しています。
影響確認 (1)
securityPodイベントでの認証情報漏えい防止
Podイベントを使用している場合に該当します。
containerd v1.7.31は、spdystreamのセキュリティ修正と、Pod イベントに関わるエラー処理の修正を含むリリースです。Pod イベントを利用する環境では、エラー返却時の認証情報の扱いが変わります。
要対応 (1)
securityhighspdystreamのCVE-2026-35469対応
spdystreamに関するCVE-2026-35469のセキュリティ修正です。
影響確認 (1)
securityPod イベントにおけるエラー内容のサニタイズ
Pod イベントを利用している場合に適用されます。
セキュリティ修正を含むため、アップグレードが必要です。プラグイン読み込み時のエラー処理も変更されています。
要対応 (1)
securitymediumGHSA-hr2v-4r36-88hr の修正
GHSA-hr2v-4r36-88hr に関するセキュリティ修正です。
影響確認 (2)
securityhighGHSA-q5jf-9vfq-h4h7 に関するプラグイン検証の修正
プラグインを使用している場合に該当します。
securityhighGHSA-vmx8-mqv2-9gmg に関するパス検証の修正
プラグインを使用している場合に該当します。
