リリース

要対応 (2)

• securityhigh公表済み脆弱性への対応

  公表済みの脆弱性2件に対応しました。対象は CVE-2026-27133、CVE-2026-27134、GHSA-2qwx-rq6j-8r6j、GHSA-6x85-j2f7-4xc5 です。

• breakingServerSideApplyPhase1を既定で有効化

  ServerSideApplyPhase1 feature gateがベータに移行し、既定で有効になりました。

要対応 (1)

• securityhighCVE-2026-27133のセキュリティ修正

  CVE-2026-27133に関するセキュリティ上の不具合が修正されました。

要対応 (1)

• securityhighcgoバイナリへのコード混入を防ぐ修正

  GoとC/C++のコメント解析の食い違いによって、生成されるcgoバイナリにコードを紛れ込ませられる問題を修正しました。CVE-2025-61732に対応しています。

要対応 (2)

• securitycriticalcrypto/tlsのセッション再開処理の修正

  crypto/tlsのセッション再開で、初回ハンドシェイク後にClientCAsまたはRootCAsが変更されると、本来は失敗すべき再開ハンドシェイクが成功する問題を修正しました。CVE-2025-68121に対応しています。

• securityhighコメント解析の違いによるコード混入の修正

  GoとC/C++でコメントの解析方法が異なるため、生成されたcgoバイナリにコードを紛れ込ませられる問題を修正しました。CVE-2025-61732に対応しています。

要対応 (1)

• breakingistiod の GOMEMLIMIT 自動設定

  メモリ管理が改善され、istiod は automemlimit ライブラリを使ってメモリ上限の 90% を GOMEMLIMIT に自動設定します。OOM による強制終了のリスクを抑えながら、パフォーマンスを維持します。

要対応 (1)

• breakingtopology.kubernetes.io ラベルの既定の除外

  topology.kubernetes.io ラベルは、既定ではセキュリティラベルから除外されます。

要対応 (1)

• securityリソースアノテーションの文字検証

  リソースアノテーションの検証で、改行文字と制御文字を拒否するようになりました。テンプレートのレンダリングによって Pod 仕様へコンテナが注入されることを防ぎます。関連する Issue は #58889 です。

要対応 (15)

• securitygithub.com/containerd/containerd を v1.7.29 に更新

  github.com/containerd/containerd が v1.7.29 に更新されました。

• securitygithub.com/go-viper/mapstructure/v2 を v2.4.0 に更新

  github.com/go-viper/mapstructure/v2 が v2.4.0 に更新されました。

• securitygithub.com/docker/docker を v28.3.3+incompatible に更新

  github.com/docker/docker が v28.3.3+incompatible に更新されました。

• securitygolang.org/x/crypto を v0.45.0 に更新

  golang.org/x/crypto が v0.45.0 に更新されました。

• securityhelm.sh/helm/v3 を v3.18.4 に更新

  helm.sh/helm/v3 が v3.18.4 に更新されました。

• securityhelm.sh/helm/v3 を v3.18.5 に更新

  helm.sh/helm/v3 が v3.18.5 に更新されました。

• breakingplpmtud の既定値を blackhole に変更

  plpmtud の既定値が blackhole（blackhole-detected）になりました。

• breakingAddressScopeMax の既定値を254に変更

  AddressScopeMax の既定値が254（ホストスコープ）に変わり、新しいGKEメタデータサーバーとHCPのユースケースに対応しました。関連する設定は --local-max-addr-scope です。

• breakingtls authMode の既定値を migration に変更

  tls authMode の既定値が migration になりました。

• breakingcni の削除タイムアウトを1.5秒に短縮

  cni の削除時のタイムアウトが1.5秒に短縮されました。

• breakingpolicy-default-local-cluster を既定で設定

  policy-default-local-cluster が既定で設定されるようになりました。

• breakinghost firewall bypassを既定で無効化

  host firewall bypassが既定で無効になりました。

• breakingFQDNのmatchpattern sanitizationを厳密化

  FQDNのmatchpattern sanitizationが見直され、条件がより厳密になりました。

• breakingcilium_host 経由の暗号化トラフィック転送を削除

  暗号化トラフィックを cilium_host 経由で転送しなくなりました。

• breakingコンテナイメージへのCNI設定ファイルの同梱を削除

  コンテナイメージにCNI設定ファイルをインストールしなくなりました。

影響確認 (1)

• breakingconnector.plugin.version 設定の使用禁止

  KafkaConnect または KafkaMirrorMaker2 のコネクター設定で connector.plugin.version を使用している場合に適用されます。

要対応 (1)

• breakingCilium Preflight のチェック対象を見直し

  Cilium Preflight のチェック対象から Envoy Configmaps が外れました。チェックを正しく実行しやすくなっています。

要対応 (1)

• breakingランタイムガードとレガシーコードパスの削除

  複数のランタイムガードとレガシーコードパスが削除されました。

影響確認 (1)

• breakingWebhook-Request-Origin から Webhook-Allowed-Origin への変更

  CloudEvents の HTTP バインディングで Webhook ヘッダーを使用している場合に適用されます。