CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
APIの非推奨化や運用上確認が必要な削除と既定値変更に加え、新機能、性能改善、正確性に関する修正を含みます。セキュリティアドバイザリや、明示的に説明されたセキュリティ脆弱性はありません。
要対応 (1)
breakingPromQL duration 式のデフォルト有効化
PromQL の duration 式がデフォルトで有効になりました。promql-duration-expr feature flag は何もしない設定になっています。
影響確認 (1)
breakinghcloud ターゲットの __meta_hetzner_datacenter ラベル削除
hcloud ターゲットを使用している場合に該当します。
事前準備 (1)
deprecatedstats クエリパラメータの一部指定値を非推奨化削除時期は未定
stats に true または all 以外の値を設定している場合に該当します。
エクスポーターのキュー処理とメトリクスの挙動が変わり、公開APIのフィールド形状にも破壊的な変更があります。セキュリティアドバイザリやセキュリティ修正の告知はありません。
影響確認 (2)
breakingConfig における confighttp. の名前付きフィールド化
この変更は、extension/zpages を使用している場合に適用されます。
breakingAuthConfig における configauth. の名前付きフィールド化
この変更は、configauth. を使用している場合に適用されます。
このリリースでは、設定関連 API のシンボル構成が変更されています。pkg/xconfmap の対象シンボルを利用している場合は、confmap 側の同等シンボルへの切り替えが必要です。
影響確認 (1)
breakingpkg/xconfmap の Validator と Validate の削除
pkg/xconfmap の Validator または Validate シンボルを使用している場合に適用されます。
このリリースでは、開示された依存関係の脆弱性に対応しています。PromQL の SIGBUS クラッシュ修正と、関連する推移的依存関係の更新も含まれています。
要対応 (2)
securityhighgolang. の v0.39.0 への更新
golang. を v0.38.0 から v0.39.0 へ更新し、CVE-2026-56852 に対応しました。
securityhighgoogle. の v1.82.1 への更新
google. を v1.81.1 から v1.82.1 へ更新し、GHSA-hrxh-6v49-42gf に対応しました。
設定やフィーチャーゲートの機能拡張、configstorageモジュールの追加、ヒストグラム値の変更、不具合修正、APIシンボルの整理が行われています。セキュリティ上の問題やアドバイザリは確認されていません。
影響確認 (1)
breakingBalancerName関数の削除
BalancerNameを使用している場合に適用されます。
事前準備 (1)
deprecatedWithForceUnmarshalerオプションの非推奨化
WithForceUnmarshalerを使用している場合に適用されます。
バックエンド互換性に関わる削除や移行、設定とCLIの機能追加、非推奨化、正確性の修正を含むリリースです。セキュリティアドバイザリやセキュリティ固有の不具合は開示されていません。
要対応 (1)
breakingテンプレート作成処理の esclient への移行
テンプレートの作成処理を esclient に移行し、従来の legacy mapping rendering を廃止しました。
影響確認 (3)
breakingelasticsearch v6 のサポート終了
elasticsearch v6 を利用している場合に適用されます。
breakingjaegermcp 拡張機能の jaegerquery への統合
jaegermcp 拡張機能を利用している場合に適用されます。
breaking期限切れの安定版 feature gates の削除
適用対象はリリースノートに明記されていません。
事前準備 (1)
deprecatedlegacy flag の非推奨化
legacy flag を利用している場合に適用されます。
UIで使用する sanitize-html の更新を含むリリースです。CVE-2026-53606 の修正が反映されています。
要対応 (1)
securitymediumsanitize-html の更新
UIで使用する sanitize-html を v2.17.5 に更新し、CVE-2026-53606 を修正しました。
セキュリティ修正に加え、既存の設定や JSON 出力に影響する変更、複数の不具合修正が含まれています。設定項目の追加など、新しい構成にも対応しています。
要対応 (1)
securitycriticalCVE-2026-33186 に対応する gRPC 実装を更新
thanos-community/grpc-go のフォークを更新し、形式不正な :path ヘッダーを利用した認可バイパスを修正しました。対象は CVE-2026-33186 です。
影響確認 (4)
securityReceive のテナント ID 検証を修正
Receive を実行している場合に適用されます。
breakingQuery-Frontend の処理時間フィールドを変更
Query-Frontend を実行している場合に適用されます。
breakingReceive の不均一ブロックサイズ無視オプションを削除
--shipper. を設定している場合に適用されます。
指定された変更項目はありません。リリースノート末尾の参考情報には、mdatagen、メモリ制限処理、設定生成、実行時動作に関する更新が記載されています。
セキュリティ関連の依存関係更新と挙動変更を含み、PromQL、配布アーティファクト、APIや設定の扱いが変わります。性能改善と不具合修正も含まれるため、これらの機能や運用箇所を利用している環境に関係するリリースです。
要対応 (2)
securitycriticalsanitize-htmlの更新
UIで使用するsanitize-htmlを更新し、クロスサイトスクリプティングの脆弱性CVE-2026-44990を修正しました。
breakingサードパーティライセンスの提供方法を変更
サードパーティ製npm依存関係のライセンスをPrometheusバイナリに埋め込み、/assets/third-party-licenses.で提供する形に変更しました。リリースのtarballとコンテナイメージに収録していたnpm_licenses.は置き換えられています。
影響確認 (2)
securitymedium別ホストへのリダイレクト時に認証情報を転送しない挙動
スクレイピング、リモート読み取りまたは書き込み、アラート、サービスディスカバリのいずれかを利用している場合に適用されます。
breakingPromQL期間式関数の改名
experimental-duration-exprを有効にしてmin()またはmax()を使用している場合に適用されます。
安定化済みのフィーチャーゲートが整理され、プロセッサーのメトリクス名やツールの設定が変更されています。ツールやAPIの機能追加・変更、生成処理の不具合修正に加え、サービス設定APIの非推奨化も含まれます。
影響確認 (9)
breakingconfighttp. ゲートの削除
confightp. を使用している場合が対象です。
breakingconfigoptional. ゲートの削除
configoptional. を使用している場合が対象です。
breakingconfmap. フィーチャーゲートの削除
confmap. を使用している場合が対象です。
事前準備 (1)
deprecatedサービス設定APIの非推奨化
service. または extensioncapabilities. を使用している場合が対象です。
v3. は、シークレット露出の修正と依存関係の更新を含むセキュリティ対応リリースです。コンテナイメージは ghcr. にも公開されるようになりました。
要対応 (2)
securitycriticalgolang. と OpenTelemetry の更新
golang. を v0. に、OpenTelemetry を v1. に更新し、報告された GO-2026-5026、GO-2026-4918、GO-2026-4985 に対応しました。
securityUI依存関係のセキュリティ修正版への更新
UIの依存関係である react-router-dom、vitest、vite、postcss を修正版へ更新し、セキュリティアドバイザリに対応しました。
影響確認 (1)
security/-/config でのシークレット平文露出の修正
/-/config エンドポイントにアクセスする場合に適用されます。
コンテナイメージに関する非公開のCVE修正と、NetworkChaosの復旧不具合修正を含みます。その他の見出しでは、運用者向けの変更はありません。
要対応 (2)
securityGoツールチェーンとcontainerdの更新
Goツールチェーンを1.に、containerdを1.にアップグレードしました。
securitymemStressとchaos-daemonイメージの更新
memStressヘルパーを最新のGoツールチェーンで再ビルドし、chaos-daemonイメージをヘッドレスJREに切り替えました。使用したGoツールチェーンのバージョンはv0.です。
セキュリティ上の問題への対処と、受信データのサイズ制限に関する修正が含まれます。対象となる機能を利用している構成では、関係する設定を確認する必要があります。
影響確認 (3)
securityステータスページの保存型XSS脆弱性を修正
Alertmanager または Store Gateway を実行している場合に該当します。
securityネイティブヒストグラムのprotobufサイズ制限
ネイティブヒストグラムを利用している場合に該当します。
breakinggzip展開後の出力サイズ制限
OTLPの取り込み経路を利用している場合に該当します。
依存関係の更新、正確性の修正、クラウド機能とクエリ機能の追加、設定や出力の変更を含むリリースです。識別された脆弱性に対応するセキュリティ関連の依存関係更新も行われています。
要対応 (1)
securityhighGo依存関係の更新
脆弱性のあるGo依存関係が更新され、GHSA-xmrv-pmrh-hhx2 と CVE-2026-34986 に対応しました。
影響確認 (1)
breakingMCPサーバーのデフォルト無効化
MCP_SERVER_ENABLED を設定しない場合に適用されます。
運用者向けのAPIや連携機能、設定項目、UI機能が追加され、既存機能の検証や制約も見直されています。セキュリティ上の問題への修正に加え、正確性の修正と性能改善も含まれています。
要対応 (1)
breakingfgprofプロファイルの同時実行を拒否
APIでfgprofプロファイルを同時に実行した場合、その実行を拒否するようになりました。
影響確認 (3)
securityRemote Writeの32MB超過リクエストを拒否
Remote Writeを使用している場合に適用されます。
securitySTACKIT SDの平文シークレット公開を修正
STACKIT SDを使用している場合に適用されます。
breakinggzipエンコードされたOTLP本文のサイズ制限
OTLPを使用している場合に適用されます。
設定生成やメタデータ検証の挙動が変わり、APIとフィーチャーゲートにも成熟度や機能面の更新があります。Snappyで発生していたメモリ破壊と致命的エラーも修正されています。
影響確認 (3)
breakingpdata. フィーチャーゲートの削除
pdata. を使用している場合に適用されます。
breakingcmd/mdatagen の再集約設定生成をデフォルトで有効化
cmd/mdatagen を実行している場合に適用されます。
breakingmetadata. の feature_gates 検証を厳格化
metadata. で feature_gates を設定している場合に適用されます。
Exporterの処理状況を確認するメトリクスと設定検証APIが追加され、ランタイムおよび設定に関する不具合が修正されています。明示的に設定したPrometheusテレメトリの既定動作とsnappyリクエストのサイズ制限の適用方法が変わり、2つの検証APIは非推奨になっています。
影響確認 (2)
breakingsnappyリクエストへのmax_request_body_size適用タイミングの変更
max_request_body_size を設定している場合に適用されます。
breaking明示的なPrometheusテレメトリ設定の既定値修正
テレメトリのメトリクス設定を構成している場合に適用されます。
事前準備 (1)
deprecated設定検証APIの非推奨化
xconfmap. または confmap. を使用している場合に適用されます。
依存関係の更新に加え、運用時に関わる設定や挙動の変更、新しい連携や機能、正確性に関する修正が含まれます。セキュリティ関連の依存関係更新も行われています。
要対応 (1)
securityhighGo依存関係の脆弱性対応
脆弱性のあるGo依存関係を更新し、GHSA-xmrv-pmrh-hhx2およびCVE-2026-34986に対応しました。
影響確認 (2)
breakingprovider configの設定読み取り先変更
provider configを設定している場合に適用されます。
breakingMCPサーバーの既定動作をオプトインに変更
MCPサーバーを使用する場合に適用されます。
破壊的な削除に加え、メトリクスとAPIの変更、複数の不具合修正、実験的な機能が含まれています。セキュリティアドバイザリやセキュリティ固有の修正は記載されていません。
要対応 (2)
breakingmetricstoreのmin step apiを削除
metricstoreからmin step apiを削除しました。
breakingjaegermcpのnon-standard health mcp toolを削除
jaegermcpからnon-standard health mcp toolを削除しました。
v0.152.0は、設定やデータ処理に関する機能追加と不具合修正を含む更新です。既存の設定検証APIを使っている場合は、APIの移行対象に該当します。セキュリティアドバイザリやセキュリティ固有の不具合は公開されていません。
事前準備 (1)
deprecated設定検証APIの非推奨化
xconfmap. または非推奨の confmap. API を設定検証に使用している場合に適用されます。
既定値、APIと設定の契約、新しい機能、非推奨化、バグ修正を含むリリースです。セキュリティアドバイザリやセキュリティ固有の修正は公開されていません。
影響確認 (2)
breaking生成された Collector ソースの replace パスを相対指定に変更
生成された Collector ソースを使用している場合に適用されます。
breakingConfig. を名前付きフィールドに変更
Config. を使用している場合に適用されます。
事前準備 (1)
deprecatedDefaultMetricsBuilderConfig 関数を非推奨化
DefaultMetricsBuilderConfig を使用している場合に適用されます。
セキュリティ上の不具合を、勧告識別子付きで修正しています。該当する機能を利用している場合は、このリリースへの更新が対応事項です。
影響確認 (3)
securityhighAzureAD remote writeのOAuth client_secret露出を修正
AzureAD remote writeを利用している場合に適用されます。
securityhighRemote-readの圧縮リクエスト長検証を修正
Remote-readを利用している場合に適用されます。
securitymedium旧UIヒートマップチャートのleラベル値処理を修正
old UI heatmap chartを利用している場合に適用されます。
運用者向けのセキュリティ修正を含み、公開状態になっていた秘密情報と保存型XSSを修正しています。リモートの読み書きリクエストでは、展開後サイズが上限を超えるデータを拒否する検証が強化されています。
影響確認 (4)
securityhighAzureAD remote writeにおけるclient_secret露出の修正
AzureAD remote writeを利用している場合に適用されます。
securityhighRemote-readの展開後サイズ検証
Remote-readを利用している場合に適用されます。
securitymedium旧UIヒートマップの保存型XSS修正
UIを利用している場合に適用されます。
