リリース
CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
Goツールチェーンが更新され、NATSサーバーの複数の不具合が修正されています。認証情報の漏えいと秘匿情報のマスキングに関するセキュリティ修正も含まれます。依存関係マニフェストの項目は変更記録とは別に扱われています。
影響確認 (2)
security
/connz監視エンドポイントでのbearerJWT非開示/connz監視エンドポイントを使用している場合に適用されます。securityコマンドライン引数で渡したrouteとcluster URLシークレットのマスキング
routeとcluster URLのシークレットをコマンドライン引数として渡す場合に適用されます。
設定とフラグに互換性へ影響する変更があり、拡張機能とプロトコル対応が広がっています。CVE-2026-27135 対応やバイパス、インジェクション対策を含むセキュリティ修正に加え、正確性と可観測性に関する改善も含まれます。
要対応 (1)
securityhigh
nghttp2の **CVE-2026-27135** 対応nghttp2に **CVE-2026-27135** の修正パッチが適用されました。
影響確認 (6)
security
query_parameter_mutationsの値を URL エンコードquery_parameter_mutationsを設定している場合に適用されます。securityRBAC の連結ベースのバイパスを修正
RBAC が実行される場合に適用されます。
breaking
max_early_data_bytesの明示設定を必須化upstream_connect_modeにIMMEDIATE以外の値を設定し、max_early_data_bytesを設定していない場合に適用されます。- リリースページにあと 3 件
事前準備 (1)
deprecated
enforce_rsa_key_usageの非推奨化削除時期は未定enforce_rsa_key_usageを設定している場合に適用されます。
Luaコードインジェクションによる任意コード実行の脆弱性を修正しています。Envoy 1.35.0以降が必要となり、依存先はv1.35.10へ更新されています。Kubernetes 1.32から1.34でテストされています。
影響確認 (2)
securityhigh
HTTPProxyのcookieRewritePolicies[].によるコード実行脆弱性の修正pathRewrite. value HTTPProxyリソースを使用している場合に該当します。breaking
Envoy1.35.0以降への対応Envoyに依存している場合に適用されます。
このリリースでは、Luaコードインジェクションの脆弱性が修正され、Envoyがv1.へ更新されています。セキュリティ修正とEnvoyのバージョン更新を確認するリリースです。
要対応 (1)
securityhighCVE-2026-41246のLuaコードインジェクション修正
CVE-2026-41246（GHSA-x4mj-7f9g-29h4）として報告されたLuaコードインジェクションの脆弱性を修正しました。
v1.18.9 は、動作の正確性を整える修正と依存関係の更新を含むリリースです。セキュリティに関わる変更も含まれます。
要対応 (2)
security正規表現の
$文字のエスケープ正規表現内の
$文字をエスケープし、インジェクションを防ぐ修正です。security
github.の更新com/go-jose/go-jose/v4 セキュリティ関連の依存更新として、
github.をcom/go-jose/go-jose/v4 v4.に更新しました。1. 4
依存関係やツールチェーンのバージョン更新、設定上の制約変更、性能改善、正確性の修正を含むリリースです。ACL のバイパスを修正するセキュリティ関連の変更も含まれます。
影響確認 (3)
securityキューサブスクリプションによる ACL
deny回避を修正キューサブスクリプションを使用し、非キュー ACL の
denyパターンを設定している場合に適用されます。breaking
no_auth_userの適用範囲をクライアント接続に限定no_auth_userを設定している場合に適用されます。breakingsolicited leaf 接続以外での重複した
INFO権限更新を制限solicited leaf 接続を使用している場合に適用されます。