リリース

要対応 (15)

• securityGo と Go 依存関係のセキュリティ更新

  Crossplane のビルドと実行に使う Go のバージョンが引き上げられ、標準ライブラリの CVE 修正が取り込まれました。リリースサイクル全体で、Crossplane の Go 依存関係にもセキュリティ更新が適用されています。

• securityGo を 1.25.10 に更新

  標準ライブラリの CVE を修正するため、Go が 1.25.10 に更新されました。

• securitygolang.org/x/crypto を v0.52.0 に更新

  セキュリティ対応として、golang.org/x/crypto が v0.52.0 に更新されました。

• securitygolang.org/x/sys を v0.44.0 に更新

  セキュリティ対応として、golang.org/x/sys が v0.44.0 に更新されました。

• securitygolang.org/x/net を v0.55.0 に更新

  セキュリティ対応として、golang.org/x/net が v0.55.0 に更新されました。

• securitygithub.com/sigstore/cosign/v3 を v3.0.6 に更新

  セキュリティ対応として、github.com/sigstore/cosign/v3 が v3.0.6 に更新されました。

• securitygithub.com/sigstore/rekor を v1.5.2 に更新

  セキュリティ対応として、github.com/sigstore/rekor が v1.5.2 に更新されました。

• securitygithub.com/sigstore/timestamp-authority/v2 を v2.1.0 に更新

  セキュリティ対応として、github.com/sigstore/timestamp-authority/v2 が v2.1.0 に更新されました。

• securitygithub.com/sigstore/sigstore-go を v1.2.0 に更新

  セキュリティ対応として、github.com/sigstore/sigstore-go が v1.2.0 に更新されました。

• securitygrpc、x/net、x/text のセキュリティ更新

  セキュリティ対応として、grpc、x/net、x/text の依存関係がまとめて更新されました。

• securitygolang.org/x/net を v0.56.0 に更新

  セキュリティ対応として、golang.org/x/net が v0.56.0 に更新されました。

• securitygolang.org/x/text を v0.39.0 に更新

  セキュリティ対応として、golang.org/x/text が v0.39.0 に更新されました。

• security脆弱な依存関係の更新

  脆弱性のある依存関係が更新されました。

• securitygithub.com/sigstore/sigstore-go を v1.2.1 に更新

  セキュリティ対応として、github.com/sigstore/sigstore-go が v1.2.1 に更新されました。

• securitygolang.org/x/mod を v0.40.0 に更新

  セキュリティ対応として、golang.org/x/mod が v0.40.0 に更新されました。

要対応 (2)

• securityalpine のベースイメージを alpine:3.24.1 に更新

  ベースイメージ alpine が alpine:3.23.4 から alpine:3.24.1 に更新され、セキュリティ上の懸念に対応しました。

• securityalpine のベースイメージを alpine:3.23.4 に更新

  ベースイメージ alpine が alpine:3.23.3 から alpine:3.23.4 に更新され、セキュリティ上の懸念に対応しました。

要対応 (1)

• breakingControllerPriorityQueue のベータ昇格とデフォルト有効化

  ControllerPriorityQueue がベータ版に昇格し、デフォルトで有効になりました。

要対応 (1)

• securitymediumgithub.com/vektra/mockery の更新

  セキュリティ上の懸念（GO-2025-3900）への対応として、github.com/vektra/mockery が v3.5.5 に更新されました。

要対応 (2)

• securitycriticalgrpcのセキュリティ更新

  grpcを1.79.3へ更新し、CVE-2026-33186に対処しました。

• securityhighgithub.com/moby/spdystreamのセキュリティ更新

  github.com/moby/spdystreamをv0.5.0からv0.5.1へ更新し、CVE-2026-35469（GHSA-pc3f-x583-g7j2）に対処しました。

要対応 (8)

• securitymediumgolang.org/x/imageの更新

  golang.org/x/imageがv0.39.0へ更新され、GO-2026-4962に対応しました。

• securitydurabletask-goとpgxの更新

  durabletask-goがv0.12.1へ更新され、pgxも更新されました。

• breakingWorkflowsRemoteActivityReminderのデフォルト有効化

  WorkflowsRemoteActivityReminderがデフォルトで有効になり、アプリ間のワークフローアクティビティ結果がSchedulerのリマインダー経由で配信されます。

• breakingコンポーネント群のホットリロード

  HotReloadがデフォルトで有効になり、Components、Subscriptions、MCPServers、Configurations、HTTPEndpoints、Resiliencies、WorkflowAccessPoliciesがデフォルトでホットリロードされます。

• breakingサイドカーのプローブ既定値の変更

  サイドカーのlivenessは、kubeletが再起動するまでの時間が約230秒となるよう緩和され、readinessはより短い時間で反応する設定になりました。

• breakingHotReloadのデフォルト有効化

  HotReloadがv1.18でデフォルト有効になりました。

• breakinglivenessとreadinessのプローブ既定値更新

  livenessの既定値が緩和され、readinessの既定値が厳格になりました。

• breakingサイドカープローブ既定値の変更

  サイドカーのプローブ既定値が変更されました。livenessはkubelet再起動まで約230秒となるよう緩和され、readinessはcontrol-planeで約3秒、daprdで約5秒となるよう短縮されました。

要対応 (2)

• securitycriticalgoogle.golang.org/grpc のセキュリティ更新

  google.golang.org/grpc を 1.79.3 に更新し、GHSA-p77j-4mvh-x3m3 に対応しました。

• securityVMExport ディレクトリハンドラーのシンボリックリンク走査修正

  VMExport のディレクトリハンドラーで、シンボリックリンクをたどる問題を修正しました。

影響確認 (7)

• securityリダイレクト時の認証ヘッダー破棄

  適用対象はリリースノートに明記されていません。

• breaking63文字を超える ScaledObject 名の拒否

  ScaledObject の名前が63文字を超える場合に該当します。

• breaking0以下の unprocessedEventThreshold の拒否

  0以下の unprocessedEventThreshold を設定している場合に該当します。

• リリースページにあと 4 件

要対応 (1)

• breakingchart.yaml の appVersion を使うデフォルトタグの削除

  chart.yaml の appVersion を使うため、デフォルトタグが削除されました。

影響確認 (7)

• breakingvirt-controller ClusterRole の取得権限削除

  適用対象はリリースノートに明記されていません。

• breaking一時停止中のVMIに対する停止要求の拒否

  一時停止中のVMIを実行している場合に該当します。

• breakingEnableVirtioFsConfigVolumes のGA移行

  EnableVirtioFsConfigVolumes feature gate を使用している場合に該当します。

• リリースページにあと 4 件

影響確認 (4)

• breakingspec.resourceSelectors の namespace 検証

  PropagationPolicy または OverridePolicy を使用している場合に適用されます。

• breakingWorkloadAffinity の GroupByLabelKey 設定制約

  WorkloadAffinity で GroupByLabelKey を設定している場合に適用されます。

• breaking既定コンポーネントイメージの更新

  適用対象はリリースノートに明記されていません。

• リリースページにあと 1 件

要対応 (9)

• security暗号関連依存関係の更新

  x/(net/sync/crypto)を更新し、dvsekhvalnov/jose2goのバージョンを固定しました。

• securityGoの脆弱性修正

  Goの脆弱性を修正しました。

• securityUID確認の対象をrootに限定

  UIDの確認対象をrootだけに更新しました。

• securityHTTPパスマッチングとinvocation自動登録の修正

  HTTPパスのマッチングで発生するcardinality leakを修正し、invocationの自動登録に対応しました。

• securitygolang.org/x/cryptoの更新

  golang.org/x/cryptoを更新しました。

• securitygithub.com/docker/dockerの更新

  github.com/docker/dockerを更新しました。

• securityセキュリティ修正

  セキュリティ修正を追加しました。

• securitygithub.com/coreos/go-oidc/v3の更新

  github.com/coreos/go-oidc/v3を更新しました。

• securityNATSの脆弱性修正

  NATSの脆弱性を修正しました。