CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
ランタイム周辺の不具合修正を中心に、Kafkaの設定項目とヘルスチェック機能が加わっています。セキュリティ関連では、依存関係の更新も含まれます。
要対応 (3)
securitymediumgithub. の更新
github. を v5.2.4 に更新し、CVE-2025-69725 を解消します。
securitymediumMongoDBドライバーとコンポーネント依存関係の更新
go. を v1.17.7 に更新し、github. の依存バージョンを v1.18.3 に引き上げます。
breaking子ワークフローを示す競合エラー
子ワークフローが作成を妨げている場合、作成リクエストは競合エラーになります。エラーには、該当する子ワークフローが示されます。
ワークフローとMCPの機能拡張を中心に、コントロールプレーン、API、コンポーネント、ライフサイクルに関わる変更が含まれています。バグ修正、依存関係や既定値の更新、互換性に関わる制約に加え、セキュリティ修正も含まれるため、アップグレード前に前提条件と設定への影響を確認する必要があります。
要対応 (8)
securitymediumgolang.の更新
golang.がv0.39.0へ更新され、GO-2026-4962に対応しました。
securitydurabletask-goとpgxの更新
durabletask-goがv0.12.1へ更新され、pgxも更新されました。
breakingWorkflowsRemoteActivityReminderのデフォルト有効化
WorkflowsRemoteActivityReminderがデフォルトで有効になり、アプリ間のワークフローアクティビティ結果がSchedulerのリマインダー経由で配信されます。
breakingコンポーネント群のホットリロード
HotReloadがデフォルトで有効になり、Components、Subscriptions、MCPServers、Configurations、HTTPEndpoints、Resiliencies、WorkflowAccessPoliciesがデフォルトでホットリロードされます。
breakingサイドカーのプローブ既定値の変更
サイドカーのlivenessは、kubeletが再起動するまでの時間が約230秒となるよう緩和され、readinessはより短い時間で反応する設定になりました。
breakingHotReloadのデフォルト有効化
HotReloadがv1.18でデフォルト有効になりました。
breakinglivenessとreadinessのプローブ既定値更新
livenessの既定値が緩和され、readinessの既定値が厳格になりました。
breakingサイドカープローブ既定値の変更
サイドカーのプローブ既定値が変更されました。livenessはkubelet再起動まで約230秒となるよう緩和され、readinessはcontrol-planeで約3秒、daprdで約5秒となるよう短縮されました。
影響確認 (6)
securityサービス呼び出しのパストラバーサル修正
サービス呼び出しを利用している場合に適用されます。
サービス呼び出し経路のパストラバーサルによるACLバイパスが修正されました。
breakingフィーチャーゲートの削除
MCPServerResourceまたはWorkflowAccessPolicyのフィーチャーゲートを設定している場合に適用されます。
MCPServerResourceとWorkflowAccessPolicyのフィーチャーゲートが削除されました。
breaking旧バージョンへの直接ロールバック制約
適用対象はリリースノートに明記されていません。
v1.18から1.17.6以前へ直接ロールバックすることはできません。Dapr 1.18ではEd25519ワークロードIDキーが導入され、Sentryがそのキーに対応するCAをdapr-trust-bundle Secretへ保存します。
事前準備 (1)
deprecatedアルファ版スケジュールRPCの非推奨化
ScheduleJobAlpha1を利用している場合に適用されます。
ScheduleJobAlpha1などのアルファ版RPCは非推奨になりましたが、引き続き完全に機能します。
v1.17.7は、実行時の信頼性に関わる修正を中心としたリリースです。監視用メトリクスやスケジューラ設定の更新、依存ライブラリの更新も含まれます。
影響確認 (1)
breakingdrainOngoingCallTimeout の配置情報通知タイムアウト制約変更
アプリケーションが指定した actor の drainOngoingCallTimeout が、既定値30秒の daprd 側の配置情報通知タイムアウト以上になる場合に適用されます。
アプリケーションが指定した drainOngoingCallTimeout が、daprd 側の配置情報通知タイムアウト以上になる場合の制約が変更されました。配置情報通知タイムアウトの既定値は30秒です。
v1.16.13では、セキュリティに関わるGoの更新が行われています。スケジューラの信頼性とPulsarのpub/sub処理に関する修正も含まれます。
要対応 (1)
securityGoバージョンの更新
Goのバージョンが1.25.8から1.25.9に更新されました。
影響確認 (1)
breakingprocessModeの無効値検証
processModeを設定している場合に適用されます。
設定したprocessModeに無効な値がある場合、初期化時に拒否されます。
セキュリティ対応と、PulsarおよびSchedulerの動作修正を含むリリースです。PulsarではAvroとJSONスキーマ処理、Schedulerではクラスタ復旧に関する不具合が扱われています。
要対応 (1)
securitycriticalgRPC依存関係の更新
google.の依存関係を、CVE-2026-33186を解消するバージョンに更新しました。
影響確認 (2)
breakingrawPayload指定時の公開制約
CloudEventsでラップされたトピックにrawPayloadが設定されている場合に適用されます。
CloudEventsでラップされたトピックにrawPayload=trueを指定して公開すると、明確なエラーを返して拒否するようになりました。
breakingJSONスキーマの構造検証
.を設定している場合に適用されます。
PulsarのJSONスキーマがAvroスキーマ定義を使うことに合わせ、初期化時にgoavro codecをコンパイルし、公開時にはNativeFromTextualでペイロード全体の構造を検証するようになりました。不正なスキーマは起動時に即座に失敗します。
Go 標準ライブラリのセキュリティ修正、Go ツールチェーンの更新、Configuration CRD の変更、新しい RavenDB ステートストア登録を含むリリースです。pub/sub、スケジューラー、サービス呼び出し、ワークフロー、アクター、会話コンポーネント、ステートストア、Sentry にも正確性と性能に関する修正があります。
要対応 (3)
securityhighGo 1. へのツールチェーン更新
リポジトリ内のすべてのモジュールと Docker イメージで、Go ツールチェーンを 1.24.13 から Go 1. に更新しました。
securitymediumGO-2026-4603 に対応した html/template の URL エスケープ修正
html/template の meta content 属性で URL のアクションがエスケープされず、細工した URL によってクロスサイトスクリプティングが発生する可能性を修正しました。
securitylowGO-2026-4602 に対応した os. の境界逸脱修正
os の FileInfo が Root の外へ抜け、想定したディレクトリ境界の外にあるファイルへアクセスできる可能性を修正しました。
影響確認 (2)
securityhighGO-2026-4601 に対応した IPv6 ホストリテラル解析の修正
net/url を使用している場合に適用されます。
net/url で IPv6 ホストリテラルを正しく解析できない問題を修正しました。ユーザー入力の URL を解析するアプリケーションで、想定外の URL ルーティングや SSRF につながる可能性がありました。
breakingstateRetentionPolicy の Configuration CRD スキーマ修正
stateRetentionPolicy を設定している場合に適用されます。
Configuration CRD のすべての stateRetentionPolicy フィールドを type: string に変更しました。metav1. のシリアライズ形式と一致する定義です。
ワークフローやコンポーネント、API、認証、トレーシング、設定、CLI、可観測性に関する機能を追加し、複数の不具合修正と依存関係・ツールチェーンの更新を含むリリースです。セキュリティ修正に加え、Alpha Bulk PubSub APIとAlphaアプリケーションコールバックの非推奨化、従来の動作の削除や縮小も含まれますが、多くの更新では運用者による特別な対応は必要ありません。
要対応 (9)
security暗号関連依存関係の更新
x/(net/sync/crypto)を更新し、dvsekhvalnov/jose2goのバージョンを固定しました。
securityGoの脆弱性修正
Goの脆弱性を修正しました。
securityUID確認の対象をrootに限定
UIDの確認対象をrootだけに更新しました。
securityHTTPパスマッチングとinvocation自動登録の修正
HTTPパスのマッチングで発生するcardinality leakを修正し、invocationの自動登録に対応しました。
securitygolang.の更新
golang.を更新しました。
securitygithub.の更新
github.を更新しました。
securityセキュリティ修正
セキュリティ修正を追加しました。
securitygithub.の更新
github.を更新しました。
securityNATSの脆弱性修正
NATSの脆弱性を修正しました。
影響確認 (3)
securityPlacementでのDapr actor type認可
Placement を使用している場合に適用されます。
PlacementでDapr actor typeを認可するようになりました。
securitycloudflare workerの脆弱性修正
cloudflare worker を使用している場合に適用されます。
cloudflare workerの脆弱性を修正しました。
breakingHelm chartからscheduler resourcesを削除
Helm chartを使用している場合に適用されます。
Helm chartからscheduler resourcesを完全に削除するようになり、ゼロスケールでは処理しなくなりました。
事前準備 (2)
deprecatedAlpha Bulk PubSub APIの非推奨化
/v1.、BulkPublishEventAlpha1、OnBulkTopicEventAlpha1 のいずれかを使用している場合に適用されます。
Alpha Bulk PubSub APIは安定版Bulk PubSub APIへの移行に伴い非推奨になりました。/v1.とBulkPublishEventAlpha1が非推奨となり、アプリケーションコールバックのOnBulkTopicEventAlpha1も非推奨です。
deprecatedOnBulkTopicEventAlpha1 の非推奨化
OnBulkTopicEventAlpha1 を使用している場合に適用されます。
OnBulkTopicEventAlpha1 は引き続き動作しますが、安定版APIへの移行に伴い非推奨になりました。
