CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
HTTPProxy の不正な設定に関するセキュリティ修正が含まれます。依存関係とツールチェーンが更新され、Kubernetes 1.32 から 1.34 でテストされています。
要対応 (1)
securitycriticalgolang. を v0.55.0 に更新
golang. を v0.55.0 に更新しました。対象の脆弱性識別子は CVE-2026-39821 です。
影響確認 (1)
securitymediumHTTPProxy の不正なフォールバック証明書設定を拒否
HTTPProxy で fallback certificate を設定し、JWT verification を有効にしている場合に適用されます。
Gateway API への対応、analyzer と HBONE の調整機能が追加され、証明書、コントローラー、プローブ、出力、認可に関する問題が修正されています。認可に関するセキュリティ修正を含むため、該当する環境ではアップグレードが必要です。
要対応 (1)
security名前空間をまたぐプロキシ列挙と設定ダンプ取得の認可修正
認証済みのワークロードが、別の名前空間にあるワークロードのプロキシを列挙し、設定ダンプを取得できていた問題を修正しました。対象には istio. と istio. が含まれます。
影響確認 (2)
securityAuthorizationPolicy の正規表現メタ文字処理の修正
適用対象はリリースノートに明記されていません。
breakingAWS EKS の ambient mesh Pod における kubelet ヘルスプローブの修正
ambient mesh の Pod を AWS EKS 上で動かし、Security Groups for Pods（branch ENI）を使用する場合に適用されます。
Gateway APIのバージョン対応に加え、診断および設定の制御機能が追加され、正確性に関する問題も修正されています。セキュリティ修正も2件含まれており、該当する環境ではアップグレードが必要です。
要対応 (1)
securityXDSデバッグエンドポイントの名前空間認可を修正
StatusGenが提供する istio. と istio. に、非システム呼び出し元への同一名前空間認可が適用されるようになりました。別の名前空間のワークロードについて、プロキシの列挙や設定ダンプの取得ができないように修正されています。
影響確認 (1)
securityAuthorizationPolicyの正規表現エスケープを修正
source. または source. を設定している場合に適用されます。
サイドカーの既定モードを変更し、native sidecars をGAに昇格しました。正確性に関する修正、タイムスタンプ処理の設定対応、11件のCVE修正、依存関係の更新を含みます。
要対応 (2)
securityhigh11件のCVEを修正
次のCVEを修正しました。CVE-2026-42501、CVE-2026-42499、CVE-2026-39836、CVE-2026-39826、CVE-2026-39825、CVE-2026-39823、CVE-2026-39820、CVE-2026-39819、CVE-2026-39817、CVE-2026-33814、CVE-2026-33811。
breakingconfig. の既定動作を変更
サイドカーの既定モードを変更し、config. で指定されるモードがデフォルトになります。
運用者向けの不具合修正に加え、設定によっては EndpointSlice の監視条件が変わり、対応するラベルが必要になりました。Helm の設定項目や外部イメージの指定が拡張され、依存モジュールとイメージも更新されています。
要対応 (2)
securitygithub. を v0.5.1 に更新
セキュリティ関連の更新として、依存モジュール github. を v0.5.1 に更新しました。
breakingloadbalancer/reflectors の EndpointSlice 監視をサービスラベルで絞り込み
loadbalancer/reflectors が監視する EndpointSlice を、サービスラベルで絞り込むようになりました。
影響確認 (1)
breakingEndpointSlices の監視にサービスプロキシ名ラベルの絞り込みを追加
--k8s-service-proxy-name を設定している場合に適用されます。
既存の挙動を制限する変更に加え、バグ修正、新しいメトリクス、Helmでのイメージ上書き、依存関係とイメージ、コンテナイメージマニフェストの更新を含みます。アドバイザリ識別子は示されていません。
要対応 (1)
securitygithub. の更新
依存モジュール github. を v0. に更新しました。
影響確認 (1)
breakingCiliumLocalRedirectPolicy の addressMatcher 上書き制限
CiliumLocalRedirectPolicy で addressMatcher を使用し、--enable-lrp-address-matcher-override=true を有効にしていない場合に適用されます。
