リリース

要対応 (1)

• securityビルドに使う Go のバージョン更新

  ランタイム、ビルドツール、コンテナイメージで使う Go のバージョンが 1.26.4 から 1.26.5 に更新されました。

要対応 (3)

• securitymediumgithub.com/go-chi/chi/v5 の更新

  github.com/go-chi/chi/v5 を v5.2.4 に更新し、CVE-2025-69725 を解消します。

• securitymediumMongoDBドライバーとコンポーネント依存関係の更新

  go.mongodb.org/mongo-driver を v1.17.7 に更新し、github.com/dapr/components-contrib の依存バージョンを v1.18.3 に引き上げます。

• breaking子ワークフローを示す競合エラー

  子ワークフローが作成を妨げている場合、作成リクエストは競合エラーになります。エラーには、該当する子ワークフローが示されます。

要対応 (8)

• securitymediumgolang.org/x/imageの更新

  golang.org/x/imageがv0.39.0へ更新され、GO-2026-4962に対応しました。

• securitydurabletask-goとpgxの更新

  durabletask-goがv0.12.1へ更新され、pgxも更新されました。

• breakingWorkflowsRemoteActivityReminderのデフォルト有効化

  WorkflowsRemoteActivityReminderがデフォルトで有効になり、アプリ間のワークフローアクティビティ結果がSchedulerのリマインダー経由で配信されます。

• breakingコンポーネント群のホットリロード

  HotReloadがデフォルトで有効になり、Components、Subscriptions、MCPServers、Configurations、HTTPEndpoints、Resiliencies、WorkflowAccessPoliciesがデフォルトでホットリロードされます。

• breakingサイドカーのプローブ既定値の変更

  サイドカーのlivenessは、kubeletが再起動するまでの時間が約230秒となるよう緩和され、readinessはより短い時間で反応する設定になりました。

• breakingHotReloadのデフォルト有効化

  HotReloadがv1.18でデフォルト有効になりました。

• breakinglivenessとreadinessのプローブ既定値更新

  livenessの既定値が緩和され、readinessの既定値が厳格になりました。

• breakingサイドカープローブ既定値の変更

  サイドカーのプローブ既定値が変更されました。livenessはkubelet再起動まで約230秒となるよう緩和され、readinessはcontrol-planeで約3秒、daprdで約5秒となるよう短縮されました。

影響確認 (1)

• securitySentry OIDCディスカバリーでのX-Forwarded-Host利用条件の変更

  Sentry OIDCを利用している場合に適用されます。

  handleDiscoveryは、--oidc-allowed-hostsが設定され、許可リストのミドルウェアで検証済みの場合に限りX-Forwarded-Hostを使用します。許可リストがない場合、issuerとjwks_uriはr.Hostだけから導出され、X-Forwarded-Hostは無視されます。

要対応 (2)

• securityACLチェックと送信処理で正規化形式を統一

  正規化した形式をACLチェックと外向きのディスパッチの両方で使うようになり、両者の不一致が解消されています。

• securityGoの1.24系CVE対応に伴うバージョン更新

  Goのバージョンが更新され、1.24系のCVEへの対応が行われています。

要対応 (1)

• securityACLチェックと送信処理での正規化形式の統一

  正規化した形式をACLチェックと送信処理の両方で使うようになり、両者の不一致が解消されました。

要対応 (3)

• securityサービス呼び出し時のメソッドパス正規化を統一

  サービス呼び出しの境界でメソッドパスを正規化します。HTTPおよびgRPCの公開API呼び出しではdirectMessaging.Invoke、gRPCの内部呼び出しではcallLocalValidateACL、プロキシ経由の呼び出しではgRPCプロキシハンドラーを使います。正規化後のパスをACLチェックと送信処理の両方に使うため、両者の不一致が解消されました。

• securityメソッドパスの受け入れ条件を変更

  メソッドパスの正規化にpath.Cleanを使い、../や重複したスラッシュを解決します。#、?、ヌルバイト、制御文字を含むメソッドパスは受け付けなくなりました。

• securityACLパス処理からpurell依存関係を削除

  ACLパス処理からpurell依存関係を削除しました。

要対応 (1)

• securityGoバージョンの更新

  Goのバージョンが1.25.8から1.25.9に更新されました。

要対応 (1)

• securityGo toolchainの更新

  リポジトリ内の全モジュールとDockerイメージで、Go toolchainを1.25.8から1.25.9へ更新しました。

要対応 (1)

• securitycriticalgRPC依存関係の更新

  google.golang.org/grpcの依存関係を、CVE-2026-33186を解消するバージョンに更新しました。

要対応 (2)

• securitycriticalgoogle.golang.org/grpc の更新

  google.golang.org/grpc の依存関係が、CVE-2026-33186 を解消するバージョンへ更新されました。

• securitymediumgolang.org/x/image の更新

  golang.org/x/image が v0.25.0 から v0.38.0 に更新され、CVE-2026-33809 が解消されました。

要対応 (1)

• securityGo 1.25.8への更新

  Goのバージョンが1.25.7から1.25.8に更新されました。

要対応 (3)

• securityhighGo 1.25.8 へのツールチェーン更新

  リポジトリ内のすべてのモジュールと Docker イメージで、Go ツールチェーンを 1.24.13 から Go 1.25.8 に更新しました。

• securitymediumGO-2026-4603 に対応した html/template の URL エスケープ修正

  html/template の meta content 属性で URL のアクションがエスケープされず、細工した URL によってクロスサイトスクリプティングが発生する可能性を修正しました。

• securitylowGO-2026-4602 に対応した os.FileInfo の境界逸脱修正

  os の FileInfo が Root の外へ抜け、想定したディレクトリ境界の外にあるファイルへアクセスできる可能性を修正しました。

要対応 (1)

• securityGo 1.25.7の更新

  Go 1.25.7では、go コマンドと crypto/tls パッケージのセキュリティ修正に加え、コンパイラーと crypto/x509 パッケージの不具合修正が行われています。

要対応 (9)

• security暗号関連依存関係の更新

  x/(net/sync/crypto)を更新し、dvsekhvalnov/jose2goのバージョンを固定しました。

• securityGoの脆弱性修正

  Goの脆弱性を修正しました。

• securityUID確認の対象をrootに限定

  UIDの確認対象をrootだけに更新しました。

• securityHTTPパスマッチングとinvocation自動登録の修正

  HTTPパスのマッチングで発生するcardinality leakを修正し、invocationの自動登録に対応しました。

• securitygolang.org/x/cryptoの更新

  golang.org/x/cryptoを更新しました。

• securitygithub.com/docker/dockerの更新

  github.com/docker/dockerを更新しました。

• securityセキュリティ修正

  セキュリティ修正を追加しました。

• securitygithub.com/coreos/go-oidc/v3の更新

  github.com/coreos/go-oidc/v3を更新しました。

• securityNATSの脆弱性修正

  NATSの脆弱性を修正しました。

要対応 (1)

• securityhighGo 1.24.13への更新

  Goを1.24.13へ更新しています。