CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
運用時の互換性に関わる変更に加え、CVEに対応する依存関係の更新、複数の不具合修正、新しいサービス機能とアーキテクチャ対応が含まれます。Helm chartや設定を利用している環境では、既存の運用方法に影響する変更があります。
要対応 (1)
security依存関係とPythonインタープリターを更新
CVEを解消するため、多数の依存関係とPythonインタープリターが更新されました。
影響確認 (6)
breakingカスタムエラーレスポンスとヘッダーケース変更機能の削除
Ambassador Edge Stackのカスタムエラーレスポンスまたはヘッダーケース変更機能を使用している場合に適用されます。
breakingHelm chartとEmissaryのバージョン番号を統一
Helm chartを使用している場合に適用されます。
breakingHelm chartの配布先をGHCRに限定
EmissaryのHelm chartを使用している場合に適用されます。
セキュリティ修正に加え、運用者の対応が必要になる権限や利用条件の変更、依存関係マニフェストの記載が含まれます。通常の正確性修正と改善も行われています。
要対応 (1)
breakingJWTのサイズ上限を1MBに変更
JWTのサイズ上限を1MBに設定しました。#7960に対応しています。
影響確認 (13)
securityhighMQTTに関する脆弱性の修正
MQTTを利用している場合に適用されます。
securityhighleafnodesに関する脆弱性の修正
leafnodesを利用している場合に適用されます。
securityhighコマンドラインで渡す認証情報に関する脆弱性の修正
コマンドラインで認証情報を渡している場合に適用されます。
開示済みのCVE識別子に関するセキュリティ修正に加え、正確性の修正、検証と権限制約の強化が含まれています。依存関係とツールチェーンも更新されています。
要対応 (1)
breakingJWTのサイズ上限を1MBに変更
JWTのサイズ上限を1MBに設定しました。
影響確認 (11)
securityhighMQTTに関するCVE-2026-33216、CVE-2026-33217、CVE-2026-33215の修正
MQTTを利用している場合に適用されます。
securityhighleafnodesに関するCVE-2026-33218の修正
leafnodesを利用している場合に適用されます。
securityhighコマンドラインの認証情報に関するCVE-2026-33247の修正
コマンドラインで認証情報を設定している場合に適用されます。
セキュリティ対応の依存関係更新と、例示マニフェストの設定変更が含まれます。互換性テストの対象はKubernetes 1.32から1.34です。
要対応 (2)
securitycriticalgoogle.をv1.79.3へ更新
google.をv1.79.3へ更新しました。この更新はCVE-2026-33186（GHSA-p77j-4mvh-x3m3）に対応しますが、Contourは影響を受けません。
securityEnvoyをv1.35.9へ更新
セキュリティ脆弱性への対応として、Envoyをv1.35.9へ更新しました。
影響確認 (1)
breaking例示マニフェストのhostPort: 8002を削除
例示マニフェストでhostPortを使用している場合に適用されます。
依存関係の更新とサンプルマニフェストの変更を含むリリースです。Kubernetes 1.31から1.33でテストされており、運用者向けに単独の変更を伴わない見出しもあります。
要対応 (2)
securitycriticalgoogle.をv1.に更新
google.をv1.に更新します。この更新はCVE-2026-33186に対処していますが、Contourは影響を受けません。
securityEnvoyをv1.に更新
Envoyをv1.に更新し、セキュリティ上の脆弱性に対処するとともに安定性を改善します。
影響確認 (1)
breakingサンプルマニフェストのhostPort: 8002を削除
hostPort: 8002をサンプルマニフェストで設定している場合に適用されます。
依存関係の更新と、example manifestsの設定変更を含むリリースです。Kubernetes 1.30から1.32までの範囲でテストされています。
要対応 (2)
securitycriticalgoogle.のv1.への更新
google.をv1.へ更新します。この更新にはCVE-2026-33186への対応が含まれますが、Contourは影響を受けません。
securityEnvoyのv1.への更新
Envoyをv1.へ更新します。
影響確認 (1)
breakingexample manifestsからのEnvoyメトリクス設定削除
example manifestsでhostPort: 8002を使用している場合に適用されます。
Kubernetesの対応範囲を絞り、今後削除される機能を告知したリリースです。Kafka 3.をサポートし、依存関係のセキュリティ修正も含みます。リリース概要や成果物一覧には、個別の運用者向け変更に当たらない記載もあります。
要対応 (8)
securityhighGRPC Netty ShadedのCVE-2025-55163対応
GRPC Netty Shaded を更新し、CVE-2025-55163 に対応しました。
securitymediumZookeeperのCVE-2024-47554対応
Zookeeper を更新し、CVE-2024-47554 に対応しました。
securitymediumNimbus Jose JWT 10.0.2への更新
Nimbus Jose JWT を 10. に更新し、CVE-2025-53864 に対応しました。
securitymediumNetty 4.1.130.Finalへの更新
Netty を 4. に更新し、CVE-2025-67735 に対応しました。
securitymediumApache Log4J 2.25.3への更新
Apache Log4J を 2. に更新し、CVE-2025-68161 に対応しました。
securitymediumVertx 4.5.24への更新
Vertx を 4. に更新し、CVE-2026-1002 に対応しました。
securitymediumJacksonのGHSA-72hv-8253-57qq対応
Jackson を更新し、GHSA-72hv-8253-57qq に対応しました。
securityVert.とNettyのCVE対応
0.45.xブランチで、Vert. と Netty が更新され、CVEへの対応が行われました。
影響確認 (1)
breakingKubernetesの対応範囲を1.25以降に変更
Kubernetes 1. または Kubernetes 1. を使用している場合に該当します。
事前準備 (3)
breakingStrimzi MirrorMaker 2 Extensionsの削除予定0.28.0から · 0.46で削除予定
Strimzi MirrorMaker 2 Extensions を使用している場合に該当します。
breakingStrimzi EnvVar Configuration Providerの削除予定0.38.0から · 0.46で削除予定
Strimzi EnvVar Configuration Provider を使用している場合に該当します。
deprecatedZooKeeperベースのKafkaクラスタとMirrorMaker 1のサポート終了予定0.46で削除予定
ZooKeeper-based Apache Kafka clusters または MirrorMaker 1 deployments を使用している場合に該当します。
セキュリティ修正、正確性の修正、JetStream設定機能の拡張、依存関係の更新を含みます。クラスタ構成ではストリーム更新に関する回帰が報告されており、max_connsの挙動も変わっています。
影響確認 (3)
securityCVE-2026-29785の修正
leafnode compressionを有効にしている場合に適用されます。
securityCVE-2026-27889の修正
WebSocketsを有効にしている場合に適用されます。
breakingmax_connsの0設定
サーバー設定でmax_connsを指定している場合に適用されます。
公表済みの脆弱性への対応に加え、KubernetesとKafkaのサポート対象が見直され、機能ゲートの既定値やリスナー単位のKafkaオプション設定が変更されました。ingressリスナータイプも非推奨になっており、アップグレードにはCRDの更新とKafkaUserフィールドの移行が必要です。
要対応 (2)
securityhigh公表済み脆弱性への対応
公表済みの脆弱性2件に対応しました。対象は CVE-2026-27133、CVE-2026-27134、GHSA-2qwx-rq6j-8r6j、GHSA-6x85-j2f7-4xc5 です。
breakingServerSideApplyPhase1を既定で有効化
ServerSideApplyPhase1 feature gateがベータに移行し、既定で有効になりました。
影響確認 (2)
breakingKubernetesのサポート対象を1.30以降に変更
Kubernetes 1.27、1.28、または1.29を使用している場合に該当します。
breakingKafka 4.0.0および4.0.1のサポートを削除
Kafka 4.0.0または4.0.1を使用している場合に該当します。
事前準備 (1)
deprecatedingressリスナータイプを非推奨化
ingressリスナータイプを設定している場合に該当します。
