リリース

要対応 (1)

• securitycriticalgRPC依存関係の更新

  google.golang.org/grpcの依存関係を、CVE-2026-33186を解消するバージョンに更新しました。

要対応 (2)

• securitycriticalgoogle.golang.org/grpc の更新

  google.golang.org/grpc の依存関係が、CVE-2026-33186 を解消するバージョンへ更新されました。

• securitymediumgolang.org/x/image の更新

  golang.org/x/image が v0.25.0 から v0.38.0 に更新され、CVE-2026-33809 が解消されました。

要対応 (1)

• securityGo 1.25.8への更新

  Goのバージョンが1.25.7から1.25.8に更新されました。

影響確認 (7)

• breakingvirt-controller ClusterRole の取得権限削除

  適用対象はリリースノートに明記されていません。

• breaking一時停止中のVMIに対する停止要求の拒否

  一時停止中のVMIを実行している場合に該当します。

• breakingEnableVirtioFsConfigVolumes のGA移行

  EnableVirtioFsConfigVolumes feature gate を使用している場合に該当します。

• リリースページにあと 4 件

要対応 (2)

• securitymediumRUSTSEC-2026-0007に対応するロックファイル更新

  依存関係のロックファイルを更新し、RUSTSEC-2026-0007に対応しました。

• breakingCRDの配置先を/crdsへ変更

  CRDの配置先をtemplates/crdsから/crdsへ移しました。

要対応 (3)

• securityhighGo 1.25.8 へのツールチェーン更新

  リポジトリ内のすべてのモジュールと Docker イメージで、Go ツールチェーンを 1.24.13 から Go 1.25.8 に更新しました。

• securitymediumGO-2026-4603 に対応した html/template の URL エスケープ修正

  html/template の meta content 属性で URL のアクションがエスケープされず、細工した URL によってクロスサイトスクリプティングが発生する可能性を修正しました。

• securitylowGO-2026-4602 に対応した os.FileInfo の境界逸脱修正

  os の FileInfo が Root の外へ抜け、想定したディレクトリ境界の外にあるファイルへアクセスできる可能性を修正しました。

要対応 (1)

• breakingQuiesceFailed indication の QuiesceTimeout への変更

  QuiesceFailed の表示が QuiesceTimeout に置き換わります。

要対応 (1)

• securityhighCVE-2025-47913 への対処

  golang/x/crypto を openshift/golang-crypto の修正版モジュールに向ける replace directive が追加され、CVE-2025-47913 に対処しました。

要対応 (1)

• securitygoと依存関係のCVE対応

  goおよび依存関係が更新され、CVEへの対応が行われました。

要対応 (1)

• securityGo 1.25.7の更新

  Go 1.25.7では、go コマンドと crypto/tls パッケージのセキュリティ修正に加え、コンパイラーと crypto/x509 パッケージの不具合修正が行われています。