リリース

要対応 (8)

• securitymediumgolang.org/x/imageの更新

  golang.org/x/imageがv0.39.0へ更新され、GO-2026-4962に対応しました。

• securitydurabletask-goとpgxの更新

  durabletask-goがv0.12.1へ更新され、pgxも更新されました。

• breakingWorkflowsRemoteActivityReminderのデフォルト有効化

  WorkflowsRemoteActivityReminderがデフォルトで有効になり、アプリ間のワークフローアクティビティ結果がSchedulerのリマインダー経由で配信されます。

• breakingコンポーネント群のホットリロード

  HotReloadがデフォルトで有効になり、Components、Subscriptions、MCPServers、Configurations、HTTPEndpoints、Resiliencies、WorkflowAccessPoliciesがデフォルトでホットリロードされます。

• breakingサイドカーのプローブ既定値の変更

  サイドカーのlivenessは、kubeletが再起動するまでの時間が約230秒となるよう緩和され、readinessはより短い時間で反応する設定になりました。

• breakingHotReloadのデフォルト有効化

  HotReloadがv1.18でデフォルト有効になりました。

• breakinglivenessとreadinessのプローブ既定値更新

  livenessの既定値が緩和され、readinessの既定値が厳格になりました。

• breakingサイドカープローブ既定値の変更

  サイドカーのプローブ既定値が変更されました。livenessはkubelet再起動まで約230秒となるよう緩和され、readinessはcontrol-planeで約3秒、daprdで約5秒となるよう短縮されました。

要対応 (1)

• securitygolang.org/x/net を v0.55.0 に更新

  依存モジュール golang.org/x/net を v0.55.0 に更新しました。変更には [security] の印が付いています。

要対応 (2)

• securitycriticalgoogle.golang.org/grpc のセキュリティ更新

  google.golang.org/grpc を 1.79.3 に更新し、GHSA-p77j-4mvh-x3m3 に対応しました。

• securityVMExport ディレクトリハンドラーのシンボリックリンク走査修正

  VMExport のディレクトリハンドラーで、シンボリックリンクをたどる問題を修正しました。

要対応 (1)

• securitycriticalgRPC依存関係の更新

  google.golang.org/grpc を 1.79.3 に更新し、CVE-2026-33186 に対応しました。

要対応 (1)

• securitycriticalgoogle.golang.org/grpc の更新と CVE-2026-33186 対応

  google.golang.org/grpc を更新し、CVE-2026-33186 に対処しました。

要対応 (2)

• securitywasmtime 44.0.2のセキュリティパッチ適用

  wasmtimeを44.0.2へ更新し、セキュリティパッチを適用しました。

• security報告済みセキュリティアドバイザリへの対応

  報告されたセキュリティアドバイザリに対応する依存関係のパッチを適用しました。対象となる脆弱性の内容は示されていません。

影響確認 (7)

• securityリダイレクト時の認証ヘッダー破棄

  適用対象はリリースノートに明記されていません。

• breaking63文字を超える ScaledObject 名の拒否

  ScaledObject の名前が63文字を超える場合に該当します。

• breaking0以下の unprocessedEventThreshold の拒否

  0以下の unprocessedEventThreshold を設定している場合に該当します。

• リリースページにあと 4 件

要対応 (4)

• securitymediumgithub.com/prometheus/prometheusの更新

  github.com/prometheus/prometheusを更新し、格納型XSSのアドバイザリGHSA-vffh-x6r8-xx99に対応しました。

• securitymediumadmission webhookのリクエスト本文制限

  admission webhookへのリクエスト本文のサイズを制限し、サイズの大きい本文によってwebhookサーバーがメモリ不足になるサービス拒否のリスクを修正しました。関連する識別子はCVE-2026-44247とGHSA-8wxp-xxp2-rcgxです。

• breakingDRAスケジューリング統合の既定有効化

  DRAスケジューリング統合が既定で有効になりました。対象となる設定項目はpredicate.DynamicResourceAllocationEnableです。

• breakingKubernetes 1.34以降に合わせたDRA既定値の変更

  Kubernetes 1.34以降の挙動に合わせ、DRAスケジューリング統合が既定で有効になりました。無効にする場合はpredicate.DynamicResourceAllocationEnable: falseを設定します。

要対応 (1)

• securityalpine ベースイメージを alpine:3.23.4 に更新

  ベースイメージ alpine が alpine:3.23.3 から alpine:3.23.4 に更新されました。

影響確認 (1)

• securitySentry OIDCディスカバリーでのX-Forwarded-Host利用条件の変更

  Sentry OIDCを利用している場合に適用されます。

要対応 (1)

• securitygolang.org/x/crypto を v0.52.0 に更新

  依存モジュール golang.org/x/crypto を v0.52.0 に更新しました。

要対応 (7)

• securitygithub.com/docker/cliをv29.2.0+incompatibleへ更新

  github.com/docker/cliをv29.2.0+incompatibleへ更新しました。セキュリティ対応として依存モジュールのバージョンを変更しています。

• securitygolang.org/x/netをv0.53.0へ更新

  golang.org/x/netをv0.53.0へ更新しました。セキュリティ対応として依存モジュールのバージョンを変更しています。

• securitygithub.com/in-toto/in-toto-golangをv0.11.0へ更新

  github.com/in-toto/in-toto-golangをv0.11.0へ更新し、依存モジュールのセキュリティ対応を行いました。

• securitygithub.com/go-git/go-git/v5をv5.19.0へ更新

  github.com/go-git/go-git/v5をv5.19.0へ更新し、依存モジュールのセキュリティ対応を行いました。

• securityGoを1.25.10へ更新

  Goを1.25.10へ更新し、標準ライブラリのCVEsに対応しました。

• securitygithub.com/go-git/go-git/v5をv5.19.1へ更新

  github.com/go-git/go-git/v5をv5.19.1へ更新し、依存モジュールのセキュリティ対応を行いました。

• securitygolang.org/x/cryptoをv0.52.0へ更新

  golang.org/x/cryptoをv0.52.0へ更新しました。セキュリティ対応として依存モジュールのバージョンを変更しています。

要対応 (6)

• securitygo.opentelemetry.io/otel の更新

  go.opentelemetry.io/otel を v1.41.0 に更新しました。

• securitygithub.com/in-toto/in-toto-golang の更新

  github.com/in-toto/in-toto-golang を v0.11.0 に更新しました。

• securitygithub.com/go-git/go-git/v5 の更新

  github.com/go-git/go-git/v5 を v5.19.0 に更新しました。

• securityGo 1.25.10への更新

  Go を 1.25.10 に更新し、標準ライブラリのCVEsに対応しました。

• securitygithub.com/go-git/go-git/v5 の更新

  github.com/go-git/go-git/v5 を v5.19.1 に更新しました。

• securitygolang.org/x/crypto の更新

  golang.org/x/crypto を v0.52.0 に更新しました。

要対応 (5)

• securitygithub.com/in-toto/in-toto-golang の v0.11.0 更新

  セキュリティ対応として、github.com/in-toto/in-toto-golang を v0.11.0 に更新しました。

• securitygithub.com/go-git/go-git/v5 の v5.19.0 更新

  セキュリティ対応として、github.com/go-git/go-git/v5 を v5.19.0 に更新しました。

• securityGo 1.25.10 への更新

  標準ライブラリの CVE を修正するため、Go を 1.25.10 に更新しました。

• securitygithub.com/go-git/go-git/v5 の v5.19.1 更新

  セキュリティ対応として、github.com/go-git/go-git/v5 を v5.19.1 に更新しました。

• securitygolang.org/x/crypto の v0.52.0 更新

  セキュリティ対応として、golang.org/x/crypto を v0.52.0 に更新しました。

要対応 (14)

• securitygithub.com/cloudflare/circl の更新

  github.com/cloudflare/circl を v1.6.3 に更新しました。

• securitygoogle.golang.org/grpc の更新

  google.golang.org/grpc を v1.79.3 に更新しました。

• securityOTLP HTTP エクスポーターの更新

  go.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttp を v1.43.0 に更新しました。

• securitygithub.com/go-git/go-git/v5 の更新

  github.com/go-git/go-git/v5 を v5.17.1 に更新しました。

• securitygithub.com/go-jose/go-jose/v4 の更新

  github.com/go-jose/go-jose/v4 を v4.1.4 に更新しました。

• securitygithub.com/sigstore/cosign/v3 の更新

  github.com/sigstore/cosign/v3 を v3.0.5 に更新しました。

• securitygithub.com/docker/cli の更新

  github.com/docker/cli を v29.2.0+incompatible に更新しました。

• securitygithub.com/sigstore/timestamp-authority/v2 の更新

  github.com/sigstore/timestamp-authority/v2 を v2.0.6 に更新しました。

• securityGo 1.25.9 への更新

  Go を 1.25.9 に更新しました。

• securitygithub.com/moby/spdystream の更新

  github.com/moby/spdystream を v0.5.1 に更新しました。

• securitygithub.com/go-git/go-git/v5 の更新

  github.com/go-git/go-git/v5 を v5.18.0 に更新しました。

• securitygithub.com/in-toto/in-toto-golang の更新

  github.com/in-toto/in-toto-golang を v0.11.0 に更新しました。

• securitygolang.org/x/net の更新

  golang.org/x/net を v0.53.0 に更新しました。

• securityGo 1.25.10 への更新

  標準ライブラリの CVE 修正に対応するため、Go を 1.25.10 に更新しました。

影響確認 (1)

• breakingdrainOngoingCallTimeout の配置情報通知タイムアウト制約変更

  アプリケーションが指定した actor の drainOngoingCallTimeout が、既定値30秒の daprd 側の配置情報通知タイムアウト以上になる場合に適用されます。

影響確認 (1)

• securitymediumCVE-2026-44247 によるWebhookサーバーのメモリ枯渇を修正

  Volcano webhook server を実行している場合に適用されます。

影響確認 (1)

• securitymediumCVE-2026-44247によるVolcano webhook serverのメモリ不足停止を修正

  Podがネットワーク経由でVolcano webhook serverのエンドポイントにアクセスできる場合に該当します。

影響確認 (1)

• securitymediumCVE-2026-44247 によるWebhookサーバーのOOM問題を修正

  Volcano webhook server が稼働している場合に適用されます。

影響確認 (1)

• breakingcanary-v2 の削除

  canary-v2 を設定している場合に適用されます。

影響確認 (1)

• breakingcanary-v2 の削除

  canary-v2 を設定している場合に適用されます。

要対応 (1)

• breakingcanary-v2 の削除

  canary が存在するため、canary-v2 を削除しました。

要対応 (1)

• securityalpine ベースイメージの更新

  セキュリティ上の懸念への対応として、ベースイメージ alpine が alpine:3.23.3 から alpine:3.23.4 に更新されました。

要対応 (1)

• securityalpine ベースイメージの更新

  セキュリティ上の懸念への対応として、ベースイメージ alpine が alpine:3.23.3 から alpine:3.23.4 に更新されました。

要対応 (1)

• securityrustls-webpkiのセキュリティ更新

  rustls-webpkiのセキュリティ更新として、RUSTSEC-2026-0049に対応しました。