リリース
CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
依存関係とツールチェーンの更新に加え、JetStreamの性能と設定が改善されています。多数の正確性修正が含まれ、認証や権限に関する修正も記載されています。
影響確認 (4)
security空白だけの権限によるサーバークラッシュの修正
JWT検証を利用している場合に適用されます。空白文字だけの権限を使う場合でも、
JWT検証によってサーバーがクラッシュしなくなりました。securityTLS
verify_and_mapの認証回避の修正TLS
verify_and_mapを設定している場合に適用されます。TLS
verify_and_mapが空のパスワードを持つユーザーを認証してしまう問題を修正しました。security
MQTTクライアントの購読権限回避の修正MQTTを利用している場合に適用されます。MQTTクライアントが$MQTT.subject を購読できなくなり、権限確認を回避できる問題を修正しました。> - リリースページにあと 1 件
Goツールチェーンと依存関係マニフェストが更新され、JetStreamの性能や設定に関する変更と、複数の正確性修正が含まれています。認証に関する2件の修正は、該当する設定を利用している場合にアップグレードが必要です。
要対応 (1)
breakingディスク同時実行用セマフォを4096スロットに変更
ディスク同時実行用セマフォのスロット数を、従来のCPUスケール方式から4096に増やしました。
影響確認 (2)
security
no_auth_userと auth callouts の認証チェックを修正no_auth_userを設定し、auth callouts を使用している場合に適用されます。no_auth_userと auth callouts を併用し、CONNECTメッセージが送られない場合でも認証チェックを省略しないよう修正しました。securityTLS
verify_and_mapの認証バイパスを修正TLS を使用し、
verify_and_mapを設定している場合に適用されます。TLS の
verify_and_mapで空のパスワードを持つユーザーを認証してしまう認証バイパスを修正しました。
依存関係やツールチェーンのバージョン変更に加え、監視機能の変更、動作改善、不具合修正が含まれています。MQTTと認可に関わる修正はセキュリティ上の問題に対応していますが、アドバイザリ識別子は記載されていません。
影響確認 (3)
security
Leaf接続でのNats-Trace-Dest権限チェック回避を修正Leaf接続を利用している場合に該当します。Leaf接続がNats-Trace-Destのパブリッシュ権限チェックを回避しなくなりました。security保持メッセージとQoS再送時のサブスクライブ拒否ルールを適用
MQTTを利用している場合に該当します。保持メッセージの配信経路とQoS再送経路で、サブスクライブ拒否ルールが適用されるようになりました。
breaking監視エンドポイントの
JSONPコールバック対応を削除JSONPコールバック対応を利用している場合に該当します。監視エンドポイントから
JSONPコールバック対応が削除されました。
JetStream、運用、ロギング、subject transformに関する機能が追加され、いくつかの既定値とサポートされる動作も変わっています。JetStreamのstrict modeの扱いとダウングレード互換性を確認する必要があり、JetStreamの回帰も修正されています。追加機能の多くは、採用する場合に対応が必要です。
影響確認 (3)
breaking暗号スイートの既定動作変更
allow_insecure_cipher_suitesを有効にする場合に適用されます。crypto/tlsの暗号スイートが追加されると自動的に取り込まれます。安全でない暗号スイートは既定で無効になり、allow_insecure_cipher_suitesを有効にした場合に使用できます。breakingJetStream strict modeの既定有効化
JetStreamを使用する場合に適用されます。
JetStreamのstrict modeが既定で有効になり、無効なJetStreamリクエストはログに記録されるだけでなく、クライアントにエラーを返して拒否されます。
breakingv2.12機能使用時のダウングレード制約
新しいv2.12機能を使用する場合に適用されます。
ダウングレード先はv2.11.9以降に限られます。新しいv2.12機能を使用するストリームやコンシューマーは、旧バージョンで未サポートまたはオフラインの状態になり、サーバーとデータを保護します。
JetStream、leafnode、設定、プロトコルに関する機能が追加され、Goツールチェーンのバージョンも変更されています。MQTTの保持メッセージのsubject制約が狭まり、ドメイン対応のackやフロー制御を有効にする環境ではACLの更新が必要です。
影響確認 (1)
breaking保持メッセージのsubjectにおける
ASCII DELの制限保持メッセージを利用している場合に適用されます。
保持メッセージのsubjectに
ASCII DEL文字（0x7F）を含められなくなりました（#8071）。
Goツールチェーンが更新され、NATSサーバーの複数の不具合が修正されています。認証情報の漏えいと秘匿情報のマスキングに関するセキュリティ修正も含まれます。依存関係マニフェストの項目は変更記録とは別に扱われています。
影響確認 (2)
security
/connz監視エンドポイントでのbearerJWT非開示/connz監視エンドポイントを使用している場合に適用されます。/connz監視エンドポイントでは、bearerJWTが開示されなくなりました。securityコマンドライン引数で渡したrouteとcluster URLシークレットのマスキング
routeとcluster URLのシークレットをコマンドライン引数として渡す場合に適用されます。
コマンドライン引数で渡したrouteとcluster URLのシークレットが、監視情報でマスキングされるようになりました。
依存関係やツールチェーンのバージョン更新、設定上の制約変更、性能改善、正確性の修正を含むリリースです。ACL のバイパスを修正するセキュリティ関連の変更も含まれます。
影響確認 (3)
securityキューサブスクリプションによる ACL
deny回避を修正キューサブスクリプションを使用し、非キュー ACL の
denyパターンを設定している場合に適用されます。キューサブスクリプションが、非キュー ACL の
denyパターンを誤って回避することはなくなりました。breaking
no_auth_userの適用範囲をクライアント接続に限定no_auth_userを設定している場合に適用されます。no_auth_userはクライアント接続でのみ使用できるようになりました。breakingsolicited leaf 接続以外での重複した
INFO権限更新を制限solicited leaf 接続を使用している場合に適用されます。
重複した
INFO権限更新は、solicited leaf 接続でのみ受け付けるようになりました。
Goツールチェーンが更新され、認可、leafnode、WebSocket周りの動作が修正されています。no_auth_user や重複した leaf 権限更新の受け入れ条件も狭まり、既存の設定によっては確認が必要です。
影響確認 (2)
breaking
no_auth_userの適用範囲をクライアント接続に限定no_auth_userを設定している場合に該当します。no_auth_userはクライアント接続にのみ設定できるよう制限されました。breakingsolicited leaf接続でのみ受け付ける重複
INFO権限更新solicited leaf接続を利用している場合に該当します。
重複した
INFO権限更新は、solicited leaf接続でのみ受け付けるようになりました。
セキュリティ修正に加え、運用者の対応が必要になる権限や利用条件の変更、依存関係マニフェストの記載が含まれます。通常の正確性修正と改善も行われています。
要対応 (1)
breakingJWTのサイズ上限を1MBに変更
JWTのサイズ上限を1MBに設定しました。
#7960に対応しています。
影響確認 (13)
securityhigh
MQTTに関する脆弱性の修正MQTTを利用している場合に適用されます。securityhigh
leafnodesに関する脆弱性の修正leafnodesを利用している場合に適用されます。CVE-2026-33218を修正しました。
securityhighコマンドラインで渡す認証情報に関する脆弱性の修正
コマンドラインで認証情報を渡している場合に適用されます。
CVE-2026-33247を修正しました。
- リリースページにあと 10 件
開示済みのCVE識別子に関するセキュリティ修正に加え、正確性の修正、検証と権限制約の強化が含まれています。依存関係とツールチェーンも更新されています。
要対応 (1)
breakingJWTのサイズ上限を1MBに変更
JWTのサイズ上限を1MBに設定しました。
影響確認 (11)
securityhigh
MQTTに関するCVE-2026-33216、CVE-2026-33217、CVE-2026-33215の修正MQTTを利用している場合に適用されます。CVE-2026-33216、CVE-2026-33217、CVE-2026-33215を修正しました。
securityhigh
leafnodesに関するCVE-2026-33218の修正leafnodesを利用している場合に適用されます。CVE-2026-33218を修正しました。
securityhighコマンドラインの認証情報に関するCVE-2026-33247の修正
コマンドラインで認証情報を設定している場合に適用されます。
CVE-2026-33247を修正しました。
- リリースページにあと 8 件
セキュリティ修正、正確性の修正、JetStream設定機能の拡張、依存関係の更新を含みます。クラスタ構成ではストリーム更新に関する回帰が報告されており、max_connsの挙動も変わっています。
影響確認 (3)
securityCVE-2026-29785の修正
leafnode compressionを有効にしている場合に適用されます。leafnode compressionを有効にしたシステムに影響するCVE-2026-29785を修正しました。securityCVE-2026-27889の修正
WebSocketsを有効にしている場合に適用されます。WebSocketsを有効にしたシステムに影響するCVE-2026-27889を修正しました。breaking
max_connsの0設定サーバー設定で
max_connsを指定している場合に適用されます。サーバー設定の
max_connsに0を指定できるようになり、受信するクライアント接続をすべて拒否できます。
セキュリティ修正、Goツールチェーンのバージョン変更、WebSocketsの動作修正を含みます。該当する機能を利用する環境では、更新が必要です。
影響確認 (2)
securityhighCVE-2026-29785 の修正
CVE-2026-29785 が存在し、
leafnode compressionが有効な場合に適用されます。CVE-2026-29785 を修正しました。
leafnode compressionが有効なシステムに影響します。securityhighCVE-2026-27889 の修正
CVE-2026-27889 が存在し、
WebSocketsが有効な場合に適用されます。CVE-2026-27889 を修正しました。
WebSocketsが有効なシステムに影響します。