リリース

要対応 (7)

• securityhigh中間証明書の制限

  中間証明書を制限し、CVE-2026-32280 の影響を緩和します。

• securityhighGoツールチェーンの更新

  go toolchain を 1.26.3 に更新し、CVE-2026-39836 に対応しました。

• securityCRDとドキュメントの再生成

  APIの更新に伴い、CRDとドキュメントを再生成しました。対象となる更新には GHSA-79gf-7frw-68m9 が含まれます。

• security暗号関連依存関係の更新

  golang.org/x/crypto を v0.53.0 に、x/net を v0.56.0 に更新し、セキュリティCVEに対応しました。

• securityORASとsigstoreのCodeQL脆弱性修正

  ORAS と sigstore に関する CodeQL の脆弱性を修正しました。

• securityCodeQL脆弱性の修正

  未対応だった CodeQL のセキュリティ脆弱性を修正しました。

• securitycel-goの更新

  cel-go を v0.30.0 に更新し、CVE-2026-GHSA-gcjh-h69q-9w9g に対応しました。

要対応 (2)

• securitymediumjackson-databind を 2.21.5 に更新

  CVE-2026-59888 および CVE-2026-59889 への対応として、jackson-databind が 2.21.5 に更新されました。

• securitymediumOpenTelemetry Java SDK の無制限メモリ割り当てを修正

  OpenTelemetry Java SDK の W3C Baggage Propagation におけるメモリの無制限割り当てを修正しました。対象は CVE-2026-45292 です。

要対応 (1)

• securitycriticalOPAのビルドに使用するGoを1.26.6へ更新

  このリリースでは、OPAをGo 1.26.6でビルドします。OPAのHTTPハンドラーと暗号組み込みが利用するコードの標準ライブラリ脆弱性を修正しています。

要対応 (3)

• security依存関係の脆弱性修正

  dependencies の脆弱性修正をまとめて適用しました（Batch 1および2、#2895）。

• breakingRegoV1への移行に伴う互換シムの削除

  RegoV1でのRego評価に切り替え、v0互換シムを削除しました。

• breakingループバック限定への制約変更

  アクセス範囲をループバック限定にしました（#2639）。

影響確認 (12)

• securityhighpathmatcher におけるURI照合による認可回避の修正

  pathmatcher を使用している場合に適用されます。

• securityhighDCRのプロトコルマッパー型置換によるポリシー回避の修正

  DCRを使用している場合に適用されます。

• securityhighSAMLブローカーのリンク限定ログイン回避の修正

  SAMLブローカーを使用している場合に適用されます。

• リリースページにあと 9 件

要対応 (1)

• securityhighGoツールチェーンの更新

  Goのツールチェーンを1.26.5へ更新し、組み込みのgrpc-health-probeをv0.4.53へ更新してGo 1.26.5で再ビルドしました。リリースイメージに含まれるGo標準ライブラリの脆弱性（CVE-2026-39822を含む）に対応しています。

要対応 (3)

• securityhighoras.land/oras-go/v2 の更新

  oras.land/oras-go/v2 が 2.6.1 から 2.6.2 に更新され、GHSA-fxhp-mv3v-67qp に対応しました。

• breakingHTTPサーバーの ReadHeaderTimeout 設定

  すべてのHTTPサーバーで ReadHeaderTimeout が 32s に設定されました。

• breaking同名の部分集合ルールと -object ルールの拒否

  部分集合ルールと -object ルールが同じ名前を共有する場合、ast で拒否されるようになりました。

要対応 (4)

• securitygolang.org/x/text v0.40.0への更新

  golang.org/x/text を v0.40.0 に更新し、報告されたセキュリティ脆弱性を修正します（#9039）。

• securitygoogle.golang.org/grpc v1.82.1への更新

  google.golang.org/grpc を v1.82.1 に更新し、報告されたセキュリティ脆弱性を修正します（#9063）。

• securitygithub.com/google/cel-go v0.29.0への更新

  github.com/google/cel-go を v0.29.0 に更新し、報告されたセキュリティ脆弱性を修正します（#9072）。

• securitygo.opentelemetry.io/otel v1.44.0への更新

  go.opentelemetry.io/otel を v1.44.0 に更新し、報告されたセキュリティ脆弱性を修正します（#9073）。

影響確認 (6)

• breakingKBS clientの認証方式を管理者トークンに変更

  KBS clientを使用している場合に適用されます。

• breakingCAA docker providerの削除

  CAA docker providerを使用している場合に適用されます。

• breakingFedoraベースのmkosiビルドによるCAA podvmイメージの削除

  FedoraベースのmkosiビルドによるCAA podvmイメージを使用している場合に適用されます。

• リリースページにあと 3 件

影響確認 (1)

• breaking埋め込みVAPバンドルを使う deploy-library の既定動作

  deploy-library を使う場合に適用されます。

要対応 (1)

• securityセキュリティ関連の依存関係更新

  #16340 に含まれるセキュリティ関連の依存関係更新を release-1.18 にバックポートしました。

要対応 (2)

• securityDocker依存関係のMoby移行

  github.com/docker/docker の依存関係を github.com/moby/moby 相当へ移行し、CVEを解消しました。

• breakingヘルスチェックのRPCメトリクス出力停止

  Agentのヘルスチェックで行うループバック呼び出しは、RPC メトリクスを出力しなくなり、メトリクスのノイズが減りました。

要対応 (1)

• securityアカウント乗っ取り前の攻撃につながる問題を修正

  アカウント乗っ取り前の攻撃につながる余地が残る問題を修正しました。

影響確認 (5)

• securitycert-manager-editのACMEリソース権限を削除

  cert-manager-edit集約ClusterRoleを利用している場合に該当します。

• breakingAPIからObjectReferenceを削除

  APIでObjectReferenceを利用している場合に該当します。

• breakingPrometheus関連のHelm値を削除

  prometheus.servicemonitor.targetPort、prometheus.servicemonitor.path、prometheus.podmonitor.pathのいずれかを設定している場合に該当します。

• リリースページにあと 2 件

影響確認 (1)

• breakingSecurityException CRDの削除

  SecurityException CRDを使用している場合に適用されます。

要対応 (8)

• securityhighgroup-adminからrealm-adminへの権限昇格

  CVE-2026-9099により、group-adminからrealm-adminへ権限を昇格できる問題が修正されました。

• securityhighURI検証の回避によるクロスサイトスクリプティング

  CVE-2026-9086に該当する、URI検証の大文字小文字を区別しない判定を回避したクロスサイトスクリプティング（XSS）の問題が修正されました。

• securityhigh不適切なスコープマッピング適用による権限昇格

  CVE-2026-9795に該当する、不適切なスコープマッピングの適用による権限昇格の問題が修正されました。

• securityhighURI比較の誤りによる認可回避

  CVE-2026-9800に該当する、URI比較の誤りによるKeycloak policy enforcerの認可回避の問題が修正されました。

• securityhighJWTアルゴリズムの混同による認証回避

  CVE-2026-11800に該当する、JWTアルゴリズムの混同を利用した認証回避の問題が修正されました。

• securitymedium任意のファイルシステムパス探索による情報漏えい

  CVE-2026-9083に該当する、任意のファイルシステムパスの探索による情報漏えいの問題が修正されました。

• securitymedium無効化されたクライアントの再有効化と乗っ取り

  CVE-2026-9705に該当する、registration access tokenを使って無効化されたクライアントを再有効化し、乗っ取れる問題が修正されました。

• securitymediumUMA permission ticket回避によるリソースへの不正アクセス

  CVE-2026-9799に該当する、UMA permission ticketの回避によるリソースへの不正アクセスの問題が修正されました。

影響確認 (1)

• breakingUser-Agent ヘッダーの形式変更

  サーバー側のログフィルターまたは WAF ルールで旧文字列との完全一致を設定している場合に適用されます。

要対応 (2)

• securityhighGoのv1.25.11への更新

  Goがv1.25.11へ更新され、CVE-2026-27145、CVE-2026-42504、CVE-2026-42507への対応が行われました。

• securityGoの1.25.10へのアップグレード

  報告された脆弱性への対応として、Goが1.25.10へアップグレードされ、依存関係も更新されました。

要対応 (1)

• securityhighGo を v1.26.4 に更新

  Go を v1.26.4 に更新し、CVE-2026-27145、CVE-2026-42504、CVE-2026-42507 への修正を取り込みました。

影響確認 (3)

• securitymediumMySQLスキーママイグレーション008の追加

  MySQL backendを使用している場合に適用されます。

• security事前共有鍵認証の定時間比較

  事前共有鍵認証を使用している場合に適用されます。

• securityOIDC設定でのissuerとaudienceの必須化

  authn.methodがoidcに設定されている場合に適用されます。

要対応 (1)

• securitymediumGo 1.26.4への更新による標準ライブラリの脆弱性修正

  OPAのビルドにGo 1.26.4を使用し、HTTP handlerとcrypto builtinsが利用する標準ライブラリの脆弱性GO-2026-5037およびGO-2026-5039を修正しました。

要対応 (2)

• securityGoツールチェーンの1.26.4への更新

  ツールチェーンのGoを1.26.4へ更新し、Go標準ライブラリの脆弱性に対処しました。

• securitygrpc-health-probeのv0.4.52への更新

  grpc-health-probeをv0.4.52へ更新し、Go 1.26.4で再ビルドしました。リリース済みイメージに、修正済みのGo標準ライブラリの脆弱性を含む状態が残らなくなります。

要対応 (2)

• securityhighlodash のコードインジェクション脆弱性を修正

  CVE-2026-4800 に関連する、lodash のコードインジェクション脆弱性を修正しました。

• securitymediumNetty の HTTP/1.0 リクエストスマグリング対策の修正

  CVE-2026-42581 に関連する、Netty の HTTP/1.0 における TE と CL の併用がリクエストスマグリング対策を回避する問題を修正しました。

要対応 (1)

• securityキャッシュキー生成の再設計

  キャッシュキーの生成方式を、TLV（type-length-value）バイナリエンコーディングに変更しました。文字列連結による衝突リスクをなくし、プロセスごとのハッシュシードを追加してハッシュフラッディング攻撃を防ぎます。関連する変更は #3148 です。

要対応 (1)

• securityGHSA-84rc-2q4r-45pc の修正

  GHSA-84rc-2q4r-45pc のセキュリティアドバイザリに対応しました。

要対応 (3)

• security依存関係の更新

  依存関係を更新し、セキュリティアドバイザリに対応しました。

• securityEnvFromのクリアによるシークレット名漏えい対策

  removeContainersDataでEnvFromをクリアし、シークレット名が漏えいしないようにしました。

• securityEnv[].ValueFromのクリア

  removeContainersDataとremoveEphemeralContainersDataでEnv[].ValueFromをクリアするようにしました。

影響確認 (1)

• breakingaws.iam-access-key の json-diff フィルター削除

  aws.iam-access-key に json-diff フィルターを使うポリシーがある場合に該当します。

影響確認 (1)

• securityazure_imdsのノードアテーション文書検証を修正

  azure_imdsサーバーノードアテスタープラグインを使用している場合に適用されます。

影響確認 (1)

• securityazure_imds のノード証明書検証の修正

  サーバーのノードアテスター・プラグイン azure_imds を使用している場合に適用されます。

要対応 (1)

• securitygrpc-health-probe の v0.4.50 への更新

  grpc-health-probe を v0.4.50 に更新し、Go標準ライブラリにある複数のCVEに対応します。

要対応 (1)

• breakinggRPC server supportの削除

  gRPC server supportを削除しました。

要対応 (1)

• securityGoツールチェーンを1.26.3へ更新

  標準ライブラリの脆弱性に対応するため、Goのツールチェーンを1.26.3へ更新しました。