CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
セキュリティ関連の依存関係更新とツールチェーン更新を含み、通常の依存関係およびランタイムのバージョン変更もあります。アドバイザリ識別子は記載されていません。
要対応 (5)
security脆弱な依存関係の更新
脆弱性のある依存関係を更新しました。
security脆弱な依存関係の更新
脆弱性のある依存関係を更新しました。
securitygithub. の更新
github. を v5. に更新しました。
securitygolang. の更新
golang. を v0. に更新しました。
securityGo 1. への更新
Go を 1. に更新しました。
運用者向けには、配布物の検証や削除保護に関する不具合修正と、依存関係のセキュリティ更新が含まれます。依存関係の更新では、上流のCVE修正が取り込まれています。
要対応 (1)
security依存関係のセキュリティ更新
上流のCVE修正を取り込むため、cel-go（#7760）、golang.（#7742）、sigstore-go（#7677）、go-git（#7724）を更新しました。脆弱性のある依存関係をまとめて更新する変更（#7649）も含まれます。さらに、独自のセキュリティ依存関係更新を含む crossplane-runtime を v2.（#7766）へ更新しました。
チェックサムと Usage インデックスの不具合を修正し、セキュリティ関連の依存関係とビルド依存関係を更新したリリースです。セキュリティ関連の依存関係を利用している場合はアップグレードが必要ですが、オペレーター設定の移行についての記載はありません。
要対応 (4)
securitygolang. の更新
依存モジュール golang. が更新されました。
securitygithub. を v1. に更新
依存モジュール github. が v1. に更新されました。
securitygithub. を v0. に更新
依存モジュール github. が v0. に更新されました。
securitycrossplane-runtime を v2. に更新
crossplane-runtime が v2. に更新されました。
CLI の公開方法、実行時の挙動、リソース削除の条件に運用上の変更があります。正確性の修正に加え、Go と依存関係のセキュリティ更新も含まれています。
要対応 (15)
securityGo と Go 依存関係のセキュリティ更新
Crossplane のビルドと実行に使う Go のバージョンが引き上げられ、標準ライブラリの CVE 修正が取り込まれました。リリースサイクル全体で、Crossplane の Go 依存関係にもセキュリティ更新が適用されています。
securityGo を 1.25.10 に更新
標準ライブラリの CVE を修正するため、Go が 1.25.10 に更新されました。
securitygolang. を v0.52.0 に更新
セキュリティ対応として、golang. が v0.52.0 に更新されました。
securitygolang. を v0.44.0 に更新
セキュリティ対応として、golang. が v0.44.0 に更新されました。
securitygolang. を v0.55.0 に更新
セキュリティ対応として、golang. が v0.55.0 に更新されました。
securitygithub. を v3.0.6 に更新
セキュリティ対応として、github. が v3.0.6 に更新されました。
securitygithub. を v1.5.2 に更新
セキュリティ対応として、github. が v1.5.2 に更新されました。
securitygithub. を v2.1.0 に更新
セキュリティ対応として、github. が v2.1.0 に更新されました。
securitygithub. を v1.2.0 に更新
セキュリティ対応として、github. が v1.2.0 に更新されました。
securitygrpc、x/net、x/text のセキュリティ更新
セキュリティ対応として、grpc、x/net、x/text の依存関係がまとめて更新されました。
securitygolang. を v0.56.0 に更新
セキュリティ対応として、golang. が v0.56.0 に更新されました。
securitygolang. を v0.39.0 に更新
セキュリティ対応として、golang. が v0.39.0 に更新されました。
security脆弱な依存関係の更新
脆弱性のある依存関係が更新されました。
securitygithub. を v1.2.1 に更新
セキュリティ対応として、github. が v1.2.1 に更新されました。
securitygolang. を v0.40.0 に更新
セキュリティ対応として、golang. が v0.40.0 に更新されました。
影響確認 (4)
breakingCrossplane CLI の公開先とバイナリ名の変更
Crossplane CLI を使用している場合に該当します。
breakingDeploymentRuntimeConfig の spec. の扱い変更
DeploymentRuntimeConfig で spec. を設定している場合に該当します。
breakingcomposed resource の削除対象の限定
適用対象はリリースノートに明記されていません。
事前準備 (1)
deprecatedCrossplane v1. のサポート終了予定v2.5 (Nov 2026)で削除予定
Crossplane v1. を実行しており、v2.5 が 2026年11月にリリースされた場合に該当します。
運用に影響する保守更新で、修正に加えてAPIや設定の変更、新しいスケジューリング機能、依存関係の更新、非推奨化と削除が含まれます。変更されたデフォルト値や制約を確認し、必要な移行作業を計画する必要があります。セキュリティ対応を含む依存関係の更新もあります。
要対応 (2)
securityalpine のベースイメージを alpine:3. に更新
ベースイメージ alpine が alpine:3. から alpine:3. に更新され、セキュリティ上の懸念に対応しました。
securityalpine のベースイメージを alpine:3. に更新
ベースイメージ alpine が alpine:3. から alpine:3. に更新され、セキュリティ上の懸念に対応しました。
影響確認 (8)
breakingクラスタリース関連フラグの削除
--cluster-lease-durationまたは--cluster-lease-renew-interval-fractionのいずれかを設定している場合に適用されます。
breakingEstimator メトリクスラベル値の削除
estimating_plugin_execution_duration_secondsまたはestimating_plugin_extension_point_duration_secondsのいずれかを使用している場合に適用されます。
breakingEtcd. の削除
Etcd.を設定している場合に適用されます。
事前準備 (4)
deprecatedReplicaRequirements. の非推奨化v1.18.0から
ReplicaRequirements.を使用している場合に適用されます。
deprecatedComponentReplicaRequirements. の非推奨化v1.18.0から
ComponentReplicaRequirements.を使用している場合に適用されます。
deprecatedNodeClaim. の非推奨化v1.18.0から
NodeClaim.を使用している場合に適用されます。
不具合修正に加え、ワークロードアフィニティ、保存時暗号化、依存関係とイメージの更新、デフォルト値やメトリクス、非推奨化と削除に関する変更が含まれます。既存の運用環境では互換性と設定への影響を確認してください。リリースノートには重複した記載と空の見出しもあります。
要対応 (1)
breakingControllerPriorityQueue のベータ昇格とデフォルト有効化
ControllerPriorityQueue がベータ版に昇格し、デフォルトで有効になりました。
影響確認 (4)
breakingkarmadactl init からの --etcd-init-image 削除
--etcd-init-image フラグを使用している場合に該当します。
breakingspec. の namespace 検証追加
PropagationPolicy または OverridePolicy を使用している場合に該当します。
breakingWorkloadAffinity における GroupByLabelKey の重複禁止
WorkloadAffinity を設定している場合に該当します。
事前準備 (2)
deprecatedEtcd. の非推奨化v1.17.0から · 削除時期は未定
Karmada Init Configuration で Etcd. を設定している場合に該当します。
deprecatedクラスタリース関連フラグの非推奨化v1.17.0から · 削除時期は未定
--cluster-lease-duration または --cluster-lease-renew-interval-fraction を使用している場合に該当します。
保守対応と機能拡張を含むリリースで、バグ修正、新しい API と機能、性能および計測機能の改善、依存関係の更新、非推奨フィールドの削除が行われています。運用担当者は削除された設定とセキュリティ関連の依存関係更新を確認してください。それ以外のアップグレードでは、通常、特別な対応は必要ありません。
要対応 (1)
securitymediumgithub. の更新
セキュリティ上の懸念（GO-2025-3900）への対応として、github. が v3.5.5 に更新されました。
影響確認 (4)
breaking外部 etcd フィールドの削除
CAData、CertData、または KeyData を設定している場合に該当します。
breakinginit コマンドのデフォルトイメージ更新
init コマンドを実行する場合に該当します。
breakingメンバークラスタクライアントのデフォルトタイムアウト追加
メンバークラスタクライアントを使用している場合に該当します。
事前準備 (2)
deprecated--etcd-init-image フラグの非推奨化削除時期は未定
--etcd-init-image を使用している場合に該当します。
breakingメンバークラスタ用メトリクスラベルの変更1.18で削除予定
cluster または cluster_name のメトリクスラベルを使用している場合に該当します。
オペレーター向けに、修正、挙動の変更、新機能、APIと機能ゲートの成熟化、非推奨化、コンポーネント更新を含むリリースです。spdystreamの脆弱性修正、シンボリックリンク走査の修正、セキュリティ依存関係の更新も含まれています。
要対応 (2)
securitycriticalgrpcのセキュリティ更新
grpcを1.79.3へ更新し、CVE-2026-33186に対処しました。
securityhighgithub.のセキュリティ更新
github.をv0.5.0からv0.5.1へ更新し、CVE-2026-35469（GHSA-pc3f-x583-g7j2）に対処しました。
影響確認 (9)
breakingネットワークインターフェースのバインディング検証
ネットワークインターフェースのバインディングを設定する場合に該当します。
breakingTemplate機能ゲートのデフォルト有効化
Template機能ゲートを有効にする場合に該当します。
breaking一時ホットプラグボリュームのメトリクス削除
一時ホットプラグボリュームのメトリクスを使用する場合に該当します。
事前準備 (2)
deprecatedcgroup v1サポートの非推奨化削除時期は未定
cgroup v1のサポートを有効にして実行する場合に該当します。
deprecatedVM作成関連メトリクスの非推奨化
kubevirt_vm_created_totalまたはkubevirt_vm_created_by_pod_totalを使用する場合に該当します。
セキュリティ関連の依存モジュールを更新したリリースです。セキュリティ修正を取り込むにはアップグレードが必要ですが、追加の設定作業はありません。
要対応 (7)
securitygithub. を v1.5.2 に更新
github. を v1.5.2 に更新しました。セキュリティ修正を含むバージョンです。
securitygithub. を v3.0.6 に更新
github. を v3.0.6 に更新しました。セキュリティ修正を含むバージョンです。
securitygithub. を v2.1.0 に更新
github. を v2.1.0 に更新しました。セキュリティ修正を含むバージョンです。
securitygithub. を v1.2.0 に更新
github. を v1.2.0 に更新しました。セキュリティ修正を含むバージョンです。
securitygrpc、golang.、golang. のセキュリティ更新
grpc、golang.、golang. のセキュリティ更新をまとめて適用しました。
securitygolang. を v0.39.0 に更新
golang. を v0.39.0 に更新しました。セキュリティ修正を含むバージョンです。
securitygolang. を v0.56.0 に更新
golang. を v0.56.0 に更新しました。セキュリティ修正を含むバージョンです。
このリリースは依存モジュールの更新を含みます。更新対象にはセキュリティ関連のモジュールが含まれています。
要対応 (5)
securitygithub. の v1.5.2 への更新
github. を v1.5.2 に更新しました。
securitygithub. の v3.0.6 への更新
github. を v3.0.6 に更新しました。
securitygithub. の v2.1.0 への更新
github. を v2.1.0 に更新しました。
securitygithub. の v1.2.0 への更新
github. を v1.2.0 に更新しました。
securitygrpc、x/net、x/text の依存関係更新
grpc、x/net、x/text のセキュリティ関連の依存関係を更新しました。
このリリースは、セキュリティ対応の依存関係更新とツールチェーン更新を含みます。署名関連モジュールや Go のバージョンを管理している環境では、更新対象の差分が関係します。
要対応 (7)
securitygithub. の更新
github. を v1. に更新しました。
securitygithub. の更新
github. を v2. に更新しました。
securitygithub. の更新
github. を v2. に更新しました。
securityGo 1. への更新
ビルドに使用する Go を 1. に更新しました。
securitygithub. の更新
github. を v1. に更新しました。
securitygrpc、x/net、x/text の更新
grpc、x/net、x/text のセキュリティ対応更新をまとめて適用しました。
securitygolang. の更新
golang. を v0. に更新しました。
Usageの所有者更新が繰り返される問題を修正し、セキュリティ関連の依存関係とツールチェーンを更新しています。依存モジュール、Go、Dockerイメージの更新を含むリリースです。
要対応 (4)
securitygithub. の更新
依存モジュール github. を v1.5.2 に更新しました。
securityGo 1.25.12 への更新
セキュリティ対応として、Go を 1.25.12 に更新しました。
securityalpine Docker タグの更新
Docker の alpine タグを v3.24 に更新しました。
securitygrpc、x/net、x/text の更新
grpc、x/net、x/text の依存関係をセキュリティ対応の更新にまとめて引き上げました。
ランタイム周辺の不具合修正を中心に、Kafkaの設定項目とヘルスチェック機能が加わっています。セキュリティ関連では、依存関係の更新も含まれます。
要対応 (3)
securitymediumgithub. の更新
github. を v5.2.4 に更新し、CVE-2025-69725 を解消します。
securitymediumMongoDBドライバーとコンポーネント依存関係の更新
go. を v1.17.7 に更新し、github. の依存バージョンを v1.18.3 に引き上げます。
breaking子ワークフローを示す競合エラー
子ワークフローが作成を妨げている場合、作成リクエストは競合エラーになります。エラーには、該当する子ワークフローが示されます。
v2.5.0では、ランタイムの実行基盤と依存関係に更新があります。wasip3 を使うワークロードでは既定値の変更が関係し、quinn-proto の修正も含まれます。
要対応 (1)
securityhighquinn-proto の RUSTSEC-2026-0185 修正
quinn-proto の RUSTSEC-2026-0185 を修正しました。
影響確認 (1)
breakingWasmtime 46への更新とwasip3の既定有効化
ワークロードで wasip3 を使用している場合に適用されます。
依存関係、ベースイメージ、Ansibleオペレータープラグインのバージョン更新を中心としたリリースです。セキュリティアドバイザリや、明示的に説明された脆弱性への対応は含まれていません。
原文 ↗セキュリティ関連の修正を含み、依存関係とツールチェーンも更新されたリリースです。パッケージ署名の検証処理や Go 環境を利用する構成に関係します。
要対応 (2)
securityパッケージ署名検証における TOCTOU の修正
悪意のある OCI レジストリが、署名済みイメージで検証を通過した後に未署名の内容をインストール用に配信できる TOCTOU の問題を修正しました。crossplane-runtime を v2. に更新してこの修正を取り込みました。関連するアドバイザリは GHSA-mf7q-r4rv-jv94 です。
securityGo とネットワーク関連依存関係の更新
Go を 1. に更新し、CVE 対応として golang. と golang. も更新しました。
パッケージ署名検証に関する問題を修正したリリースです。依存関係の更新も含まれています。
要対応 (1)
securitycriticalパッケージ署名検証の TOCTOU 修正
パッケージ署名検証における TOCTOU の問題を修正しました。関連するアドバイザリは GHSA-wfqx-gjrf-g28r です。
v2.1.7では、依存関係とGoのバージョンに関わる更新が含まれています。セキュリティ関連として記載された変更であり、該当する依存関係やビルド環境を利用する運用に関係します。
要対応 (3)
securitygithub. の v0. 更新
依存モジュール github. を v0. に更新しました。リリースノートでは、セキュリティ関連の更新として記載されています。
securitygolang. の v0. 更新
依存モジュール golang. を v0. に更新しました。リリースノートでは、セキュリティ関連の更新として記載されています。
securityGo の 1. への更新
Go を 1. に更新しました。リリースノートでは、セキュリティ関連の変更として記載されています。
セキュリティ関連のGoツールチェーンとMongoDBドライバーの依存関係更新に加え、通常の依存関係更新を含むリリースです。cosignとDockerの対応項目は適用されず、制限として残っています。
要対応 (2)
securityhighGoツールチェーンを1.へ更新
Goツールチェーンを1.へ更新しました。1.はGo 1.25向けのセキュリティパッチで、CVE-2026-27145、CVE-2026-42504、CVE-2026-42507に対応します。
securitygo.をv1.へ更新
go.をv1.へ更新しました。
オペレーター機能と設定の拡張に加え、動作の正確性や対応プラットフォームに関わる変更を含むリリースです。セキュリティに関わる依存関係の更新も含まれるため、実行環境と依存関係を確認する利用者に関係します。
要対応 (1)
securitypostgres クレートの更新
postgres クレートが更新され、RUSTSEC-2026-0178、RUSTSEC-2026-1079、RUSTSEC-2026-0180 に対応しました。
影響確認 (1)
breakings390 での webgpu 無効化
適用対象はリリースノートに明記されていません。
依存ライブラリの更新を含むリリースです。github. の利用環境では、更新後のバージョンと CVE-2026-35469 への対応内容が関係します。
要対応 (1)
securityhighgithub. の v0.5.1 への更新
PR #17962 で github. を v0. から v0. に更新し、CVE-2026-35469（GHSA-pc3f-x583-g7j2）に対応しました。
