リリース

要対応 (7)

• securityhigh中間証明書の制限

  中間証明書を制限し、CVE-2026-32280 の影響を緩和します。

• securityhighGoツールチェーンの更新

  go toolchain を 1.26.3 に更新し、CVE-2026-39836 に対応しました。

• securityCRDとドキュメントの再生成

  APIの更新に伴い、CRDとドキュメントを再生成しました。対象となる更新には GHSA-79gf-7frw-68m9 が含まれます。

• security暗号関連依存関係の更新

  golang.org/x/crypto を v0.53.0 に、x/net を v0.56.0 に更新し、セキュリティCVEに対応しました。

• securityORASとsigstoreのCodeQL脆弱性修正

  ORAS と sigstore に関する CodeQL の脆弱性を修正しました。

• securityCodeQL脆弱性の修正

  未対応だった CodeQL のセキュリティ脆弱性を修正しました。

• securitycel-goの更新

  cel-go を v0.30.0 に更新し、CVE-2026-GHSA-gcjh-h69q-9w9g に対応しました。

要対応 (3)

• security依存関係の脆弱性修正

  dependencies の脆弱性修正をまとめて適用しました（Batch 1および2、#2895）。

• breakingRegoV1への移行に伴う互換シムの削除

  RegoV1でのRego評価に切り替え、v0互換シムを削除しました。

• breakingループバック限定への制約変更

  アクセス範囲をループバック限定にしました（#2639）。

要対応 (3)

• securityhighoras.land/oras-go/v2 の更新

  oras.land/oras-go/v2 が 2.6.1 から 2.6.2 に更新され、GHSA-fxhp-mv3v-67qp に対応しました。

• breakingHTTPサーバーの ReadHeaderTimeout 設定

  すべてのHTTPサーバーで ReadHeaderTimeout が 32s に設定されました。

• breaking同名の部分集合ルールと -object ルールの拒否

  部分集合ルールと -object ルールが同じ名前を共有する場合、ast で拒否されるようになりました。

影響確認 (6)

• breakingKBS clientの認証方式を管理者トークンに変更

  KBS clientを使用している場合に適用されます。

• breakingCAA docker providerの削除

  CAA docker providerを使用している場合に適用されます。

• breakingFedoraベースのmkosiビルドによるCAA podvmイメージの削除

  FedoraベースのmkosiビルドによるCAA podvmイメージを使用している場合に適用されます。

• リリースページにあと 3 件

影響確認 (1)

• breaking埋め込みVAPバンドルを使う deploy-library の既定動作

  deploy-library を使う場合に適用されます。

要対応 (2)

• securityDocker依存関係のMoby移行

  github.com/docker/docker の依存関係を github.com/moby/moby 相当へ移行し、CVEを解消しました。

• breakingヘルスチェックのRPCメトリクス出力停止

  Agentのヘルスチェックで行うループバック呼び出しは、RPC メトリクスを出力しなくなり、メトリクスのノイズが減りました。

要対応 (1)

• securityアカウント乗っ取り前の攻撃につながる問題を修正

  アカウント乗っ取り前の攻撃につながる余地が残る問題を修正しました。

影響確認 (5)

• securitycert-manager-editのACMEリソース権限を削除

  cert-manager-edit集約ClusterRoleを利用している場合に該当します。

• breakingAPIからObjectReferenceを削除

  APIでObjectReferenceを利用している場合に該当します。

• breakingPrometheus関連のHelm値を削除

  prometheus.servicemonitor.targetPort、prometheus.servicemonitor.path、prometheus.podmonitor.pathのいずれかを設定している場合に該当します。

• リリースページにあと 2 件

影響確認 (1)

• breakingSecurityException CRDの削除

  SecurityException CRDを使用している場合に適用されます。

影響確認 (1)

• breakingUser-Agent ヘッダーの形式変更

  サーバー側のログフィルターまたは WAF ルールで旧文字列との完全一致を設定している場合に適用されます。

要対応 (2)

• securityhighlodash のコードインジェクション脆弱性を修正

  CVE-2026-4800 に関連する、lodash のコードインジェクション脆弱性を修正しました。

• securitymediumNetty の HTTP/1.0 リクエストスマグリング対策の修正

  CVE-2026-42581 に関連する、Netty の HTTP/1.0 における TE と CL の併用がリクエストスマグリング対策を回避する問題を修正しました。

要対応 (3)

• security依存関係の更新

  依存関係を更新し、セキュリティアドバイザリに対応しました。

• securityEnvFromのクリアによるシークレット名漏えい対策

  removeContainersDataでEnvFromをクリアし、シークレット名が漏えいしないようにしました。

• securityEnv[].ValueFromのクリア

  removeContainersDataとremoveEphemeralContainersDataでEnv[].ValueFromをクリアするようにしました。

影響確認 (1)

• breakingaws.iam-access-key の json-diff フィルター削除

  aws.iam-access-key に json-diff フィルターを使うポリシーがある場合に該当します。

要対応 (1)

• breakinggRPC server supportの削除

  gRPC server supportを削除しました。

要対応 (6)

• securityhighHTTP/2 CONTINUATION フレーム大量送信によるサービス拒否の修正

  CVE-2026-33871 に関する、HTTP/2 CONTINUATION フレームの大量送信によるサービス拒否の問題を修正しました。

• securityhighChunked Extension 解析を悪用した HTTP リクエストスマグリングの修正

  CVE-2026-33870 に関する、Chunked Extension の Quoted-String 解析を悪用した HTTP リクエストスマグリングの問題を修正しました。

• securityhighbouncycastle に関する複数の問題の修正

  CVE-2026-0636、CVE-2026-3505、CVE-2026-5598 に関する bouncycastle の問題を修正しました。

• securityhighリダイレクト URI 検証回避の修正

  CVE-2026-7504 に関する、Keycloak のリダイレクト URI 検証を回避できる問題を修正しました。

• securitymediumbcpkix モジュールの暗号アルゴリズム問題の修正

  CVE-2026-5588 に関する、Bouncy Castle Crypto Package For Java の bcpkix モジュールで、危険または破損した暗号アルゴリズムが使用される問題を修正しました。

• security権限およびポリシー呼び出し順序による client ID 露出の修正

  権限とポリシーの呼び出し順序によって client ID が露出する問題を修正しました。

要対応 (1)

• securitymediumGHSA-qp9x-wp8f-qgjj の修正

  GHSA-qp9x-wp8f-qgjj を修正しました。

影響確認 (3)

• breakingprotobuf content type の削除

  protobuf content type を使用している場合に該当します。

• breakingsidecar 要件の削除

  sidecar を使用している場合に該当します。

• breaking--output フラグの削除

  --output を設定している場合に該当します。

要対応 (1)

• securityhighGHSA-q49m-57vm-c8ccに関連するCVEの修正

  GHSA-q49m-57vm-c8ccに関連するCVEの修正が含まれます。

要対応 (1)

• breakingHTMLインデックスページのクエリフォーム削除

  v1.16.0では、HTMLインデックスページにあったクエリフォームが削除されました。

要対応 (4)

• securityhigh中間証明書の制限によるCVE-2026-32280対策

  中間証明書の数を制限し、CVE-2026-32280の影響を抑える修正を加えました。

• securityhighGo toolchainの1.26.2への更新

  Go toolchainを1.26.2へ更新し、CVE-2026-32283を修正しました。

• securitymediumgo-tuf/v2のv2.4.1への更新

  go-tuf/v2をv2.4.1へ更新し、CVE-2026-24686を修正しました。

• security標準ライブラリのCVE修正

  標準ライブラリに関するCVEを修正しました。

要対応 (12)

• securitycriticalCVE-2025-68121の修正

  CVE-2025-68121を修正しました。

• securitycriticalCVE-2026-33186の修正

  CVE-2026-33186を修正しました。

• securityhighCVE-2026-24051の修正

  release 1.16でCVE-2026-24051を修正しました。

• securityhighgithub.com/docker/cliの更新

  github.com/docker/cliを更新し、CVE-2025-15558を解消しました。

• securityhighCVE-2025-66564の修正

  CVE-2025-66564を解消しました。

• securitymediumsigstore/rekor v1.5.1への更新

  sigstore/rekorをv1.5.1に更新し、CVE-2026-23831を修正しました。

• securitymediumgo-tuf/v2 v2.3.1への更新

  go-tuf/v2をv2.3.1に更新し、CVE-2026-23992に対応しました。

• securitymediumCVE-2026-22772の修正

  CVE-2026-22772を修正しました。

• securitymediumgo-tuf/v2 v2.4.1への更新

  go-tuf/v2をv2.4.1に更新し、CVE-2026-24686に対応しました。

• securitylowCVE-2026-1229の修正

  release-1.16でCVE-2026-1229を修正しました。

• securitylowCVE-2026-26958の修正

  CVE-2026-26958を修正しました。

• securitystdlibのCVE修正

  stdlibに関するCVEを修正しました。

要対応 (6)

• securitycriticalCVE-2026-33186 の修正

  CVE-2026-33186 を修正しました。

• securityhighCVE-2026-24051 の修正

  CVE-2026-24051 を修正しました。

• securityhighCVE-2026-34986 の修正

  CVE-2026-34986 を修正しました。

• securitylowCVE-2026-1229 の修正

  CVE-2026-1229 を修正しました。

• securityCVES 2026-15558 の修正

  CVES 2026-15558 を修正しました。

• securitygo の更新による標準ライブラリのCVE修正

  go を更新し、標準ライブラリのCVEを修正しました。

要対応 (6)

• securityパスワードとOTPのブルートフォース保護の分離

  パスワードと OTP のブルートフォース保護が分離され、OTP バイパス攻撃を防ぐ設定がデフォルトになりました。

• securityResourceAdminManagerのURL構築検証の修正

  ResourceAdminManager で、Matrix Parameter InjectionによるURLが検証されないまま構築される問題が修正されました。

• securityクライアント取得時のフィッシング対策チェックの修正

  クライアント取得時にanti-ID phishingチェックが欠落していた問題が修正されました。

• breakingゼロダウンタイムパッチリリースの既定有効化

  zero-downtime patch releases がサポート対象となり、デフォルトで有効になります。

• breakingKubernetes向けトラストストア設定の既定有効化

  --truststore-kubernetes-enabled の動作がデフォルトで有効になりました。

• breakingnot-before検証の既定値変更

  not-before検証のデフォルト値が0秒から10秒に変更されました。

要対応 (1)

• securitymediumBatchCheckのポリシー適用不備を修正

  同じタプルに対する複数のチェックを含むBatchCheck呼び出しで、ポリシーが正しく適用されない問題を修正しました。CVE-2026-34972およびGHSA-jwvj-g8pc-cx45に関係する修正です。

影響確認 (5)

• breakingCDH の Go サポートを削除

  CDH を利用している場合に該当します。

• breakingCanonical TDX Tech preview のサポート終了

  Canonical TDX Tech preview を利用している場合に該当します。

• breaking対応する Ubuntu バージョンの変更

  Ubuntu 24.04.4 (linux-image-generic-hwe-24.04) または 25.10 を利用している場合に該当します。

• リリースページにあと 2 件

影響確認 (1)

• breakingHTTPAuthPluginの認証処理位置の変更

  カスタムのHTTPAuthPlugin実装を使用している場合に適用されます。

要対応 (2)

• securityhighgo ツールチェーンの更新

  go ツールチェーンを 1.25.8 に更新し、標準ライブラリの脆弱性 GO-2026-4603 と GO-2026-4601 に対応しました。

• breakingタプル文字列の検証条件変更

  タプル文字列に unicode control characters または null bytes が含まれている場合、タプル検証が失敗するようになりました。

要対応 (2)

• securityhighGo を v1.25.5 に更新

  Go を v1.25.5 に更新し、CVE-2025-61727 と CVE-2025-61729 に対応しました。

• breakingIssuer 参照の kind と group の既定値を変更

  Issuer の参照に使う kind と group の既定値が、v0.19.0 で導入された値から以前の設定に戻りました。

要対応 (1)

• securityhighgo.opentelemetry.io 依存関係のセキュリティ修正

  go.opentelemetry.io の依存関係を更新し、GHSA-9h8m-3fm2-qjrq に対する修正を適用しています。

要対応 (1)

• securitycriticalgrpc-health-probeをv0.4.45へ更新

  grpc-health-probeがv0.4.45に更新され、CVE-2025-68121に対応しました。

要対応 (1)

• securitycriticalCVE-2025-68121の修正

  CVE-2025-68121を修正しました。

要対応 (2)

• securityセキュリティ脆弱性への対処

  セキュリティ脆弱性に対処しました。

• securitykubectl image の更新による CVEs 対応

  kubectl image を更新し、CVEs に対処しました。

要対応 (2)

• securitymediumポリシー適用の不備を修正

  ポリシー適用の不備を修正しました。対象は CVE-2026-24851 と GHSA-jq9f-gm9w-rwm9 で報告されています。

• breakingカスタム grpc_prometheus フォークの置き換え

  カスタム grpc_prometheus フォークを go-grpc-middleware のプロバイダーに置き換えました。このメトリクスからカスタムの grpc_code ラベルを削除しました。

影響確認 (2)

• breakingリリースビルドでのソース設定パス出力の削除

  デバッグビルドを使用している場合に適用されます。

• breakingDEB/RPMパッケージ署名キーのローテーション

  DEB/RPMパッケージを使用している場合に適用されます。

影響確認 (2)

• breakingenclave-ccのサポート削除

  enclave-ccを使用している場合に該当します。

• breakingSecure Comms modeのサポート削除

  Secure Comms modeを設定している場合に該当します。

影響確認 (2)

• securityブルートフォース検知設定の脆弱性修正

  ブルートフォース検知設定を構成している場合に該当します。

• breakingPostgreSQL 13.x のサポート削除

  PostgreSQL 13.x に依存している場合に該当します。