リリース

要対応 (1)

• securityhighCVE-2026-27133のセキュリティ修正

  CVE-2026-27133に関するセキュリティ上の不具合が修正されました。

要対応 (1)

• securityhighcgoバイナリへのコード混入を防ぐ修正

  GoとC/C++のコメント解析の食い違いによって、生成されるcgoバイナリにコードを紛れ込ませられる問題を修正しました。CVE-2025-61732に対応しています。

要対応 (2)

• securitycriticalcrypto/tlsのセッション再開処理の修正

  crypto/tlsのセッション再開で、初回ハンドシェイク後にClientCAsまたはRootCAsが変更されると、本来は失敗すべき再開ハンドシェイクが成功する問題を修正しました。CVE-2025-68121に対応しています。

• securityhighコメント解析の違いによるコード混入の修正

  GoとC/C++でコメントの解析方法が異なるため、生成されたcgoバイナリにコードを紛れ込ませられる問題を修正しました。CVE-2025-61732に対応しています。

要対応 (1)

• breakingistiod の GOMEMLIMIT 自動設定

  istiod は、automemlimit ライブラリを使ってメモリ制限の 90% を GOMEMLIMIT に自動設定するようになりました。メモリ制限を超えたことによる OOM kill のリスクを抑えながら、パフォーマンスを維持します。

要対応 (1)

• breakingtopology.kubernetes.io ラベルの既定の除外

  topology.kubernetes.io ラベルは、既定ではセキュリティラベルから除外されます。

要対応 (1)

• securityリソースアノテーションの文字検証

  リソースアノテーションの検証で、改行文字と制御文字を拒否するようになりました。テンプレートのレンダリングによって Pod 仕様へコンテナが注入されることを防ぎます。関連する Issue は #58889 です。

要対応 (15)

• securitygithub.com/containerd/containerd を v1.7.29 に更新

  github.com/containerd/containerd が v1.7.29 に更新されました。

• securitygithub.com/go-viper/mapstructure/v2 を v2.4.0 に更新

  github.com/go-viper/mapstructure/v2 が v2.4.0 に更新されました。

• securitygithub.com/docker/docker を v28.3.3+incompatible に更新

  github.com/docker/docker が v28.3.3+incompatible に更新されました。

• securitygolang.org/x/crypto を v0.45.0 に更新

  golang.org/x/crypto が v0.45.0 に更新されました。

• securityhelm.sh/helm/v3 を v3.18.4 に更新

  helm.sh/helm/v3 が v3.18.4 に更新されました。

• securityhelm.sh/helm/v3 を v3.18.5 に更新

  helm.sh/helm/v3 が v3.18.5 に更新されました。

• breakingplpmtud の既定値を blackhole に変更

  plpmtud の既定値が blackhole（blackhole-detected）になりました。

• breakingAddressScopeMax の既定値を254に変更

  AddressScopeMax の既定値が254（ホストスコープ）に変わり、新しいGKEメタデータサーバーとHCPのユースケースに対応しました。関連する設定は --local-max-addr-scope です。

• breakingtls authMode の既定値を migration に変更

  tls authMode の既定値が migration になりました。

• breakingcni の削除タイムアウトを1.5秒に短縮

  cni の削除時のタイムアウトが1.5秒に短縮されました。

• breakingpolicy-default-local-cluster を既定で設定

  policy-default-local-cluster が既定で設定されるようになりました。

• breakinghost firewall bypassを既定で無効化

  host firewall bypassが既定で無効になりました。

• breakingFQDNのmatchpattern sanitizationを厳密化

  FQDNのmatchpattern sanitizationが見直され、条件がより厳密になりました。

• breakingcilium_host 経由の暗号化トラフィック転送を削除

  暗号化トラフィックを cilium_host 経由で転送しなくなりました。

• breakingコンテナイメージへのCNI設定ファイルの同梱を削除

  コンテナイメージにCNI設定ファイルをインストールしなくなりました。