リリース
CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
従来の CRD API の削除、既定値や設定場所の変更、Kafka と HTTP Bridge の機能追加、新しい Operator 設定が含まれます。既存の監視設定やスタンドアロン Topic Operator を利用している環境では、更新が必要になる場合があります。
要対応 (2)
breaking
UseConnectBuildWithBuildahをデフォルトで有効化UseConnectBuildWithBuildahフィーチャーゲートがベータ段階に移行し、デフォルトで有効になりました。breakingHTTP Bridge の
/metricsエンドポイントを管理インターフェースへ移動HTTP Bridge の
/metricsエンドポイントは、通常の HTTP インターフェース（デフォルトではポート8080）では利用できなくなりました。現在は HTTP 管理インターフェースの8081で利用できます。
影響確認 (4)
breakingCRD API の対応範囲を
v1のみに変更v1beta2、v1beta1、またはv1alpha1CRD API を使用している場合に該当します。breaking
Open Policy Agent (OPA) authorizer pluginの同梱を終了Open Policy Agent (OPA) authorizer pluginを使用している場合に該当します。breakingTLS 関連環境変数の使用を終了
STRIMZI_TLS_ENABLED、STRIMZI_TLS_AUTH_ENABLED、STRIMZI_PUBLIC_CA、STRIMZI_TRUSTSTORE_LOCATION、STRIMZI_TRUSTSTORE_PASSWORD、STRIMZI_KEYSTORE_LOCATION、またはSTRIMZI_KEYSTORE_PASSWORDのいずれかを設定している場合に該当します。- リリースページにあと 1 件
設定とフラグに互換性へ影響する変更があり、拡張機能とプロトコル対応が広がっています。CVE-2026-27135 対応やバイパス、インジェクション対策を含むセキュリティ修正に加え、正確性と可観測性に関する改善も含まれます。
要対応 (1)
securityhigh
nghttp2の **CVE-2026-27135** 対応nghttp2に **CVE-2026-27135** の修正パッチが適用されました。
影響確認 (6)
security
query_parameter_mutationsの値を URL エンコードquery_parameter_mutationsを設定している場合に適用されます。securityRBAC の連結ベースのバイパスを修正
RBAC が実行される場合に適用されます。
breaking
max_early_data_bytesの明示設定を必須化upstream_connect_modeにIMMEDIATE以外の値を設定し、max_early_data_bytesを設定していない場合に適用されます。- リリースページにあと 3 件
事前準備 (1)
deprecated
enforce_rsa_key_usageの非推奨化削除時期は未定enforce_rsa_key_usageを設定している場合に適用されます。
Luaコードインジェクションによる任意コード実行の脆弱性を修正しています。Envoy 1.35.0以降が必要となり、依存先はv1.35.10へ更新されています。Kubernetes 1.32から1.34でテストされています。
影響確認 (2)
securityhigh
HTTPProxyのcookieRewritePolicies[].によるコード実行脆弱性の修正pathRewrite. value HTTPProxyリソースを使用している場合に該当します。breaking
Envoy1.35.0以降への対応Envoyに依存している場合に適用されます。
依存関係やツールチェーンのバージョン更新、設定上の制約変更、性能改善、正確性の修正を含むリリースです。ACL のバイパスを修正するセキュリティ関連の変更も含まれます。
影響確認 (3)
securityキューサブスクリプションによる ACL
deny回避を修正キューサブスクリプションを使用し、非キュー ACL の
denyパターンを設定している場合に適用されます。breaking
no_auth_userの適用範囲をクライアント接続に限定no_auth_userを設定している場合に適用されます。breakingsolicited leaf 接続以外での重複した
INFO権限更新を制限solicited leaf 接続を使用している場合に適用されます。
Goツールチェーンが更新され、認可、leafnode、WebSocket周りの動作が修正されています。no_auth_user や重複した leaf 権限更新の受け入れ条件も狭まり、既存の設定によっては確認が必要です。
影響確認 (2)
breaking
no_auth_userの適用範囲をクライアント接続に限定no_auth_userを設定している場合に該当します。breakingsolicited leaf接続でのみ受け付ける重複
INFO権限更新solicited leaf接続を利用している場合に該当します。
新しいHelm v4（server-side apply）対応と、正確性に関する多数の修正が含まれています。HTTP経由で取得するWASMバイナリでは、これまで受け入れられていた入力にもサイズ制限が適用されるため、運用環境の確認が必要になる場合があります。セキュリティアドバイザリや、明示的に説明された脆弱性は含まれていません。
要対応 (1)
breaking
WASMバイナリの展開後サイズ制限HTTP経由で取得する
WASMバイナリについて、gzip展開後のサイズ制限が適用されるようになりました。