リリース

影響確認 (2)

• securityAuthZEN ディスカバリーのエンドポイント URL を設定値から生成

  authzen.baseURL を設定している場合に適用されます。

• securityテスト用 Docker パッケージを Moby に置換

  テストを実行する場合に適用されます。

要対応 (1)

• securitycriticalGo 1.26.2への更新

  Goを1.26.2へ更新し、CVE-2026-32282、CVE-2026-32289、CVE-2026-33810、CVE-2026-27144、CVE-2026-27143、CVE-2026-32288、CVE-2026-32283、CVE-2026-27140、CVE-2026-32281に対応しました。

要対応 (1)

• securitycriticalGo 1.25.9への更新

  Goを1.25.9へ更新し、CVE-2026-32282、CVE-2026-32289、CVE-2026-27144、CVE-2026-27143、CVE-2026-32288、CVE-2026-32283、CVE-2026-27140、CVE-2026-32281に対応しています。

要対応 (1)

• securityビルド用Goの1.26.2への更新

  OPAのバイナリとイメージのビルドに使うGoのバージョンが1.26.2へ更新されました。このGoバージョンには複数のセキュリティ修正が含まれています。

要対応 (6)

• securityパスワードとOTPのブルートフォース保護の分離

  パスワードと OTP のブルートフォース保護が分離され、OTP バイパス攻撃を防ぐ設定がデフォルトになりました。

• securityResourceAdminManagerのURL構築検証の修正

  ResourceAdminManager で、Matrix Parameter InjectionによるURLが検証されないまま構築される問題が修正されました。

• securityクライアント取得時のフィッシング対策チェックの修正

  クライアント取得時にanti-ID phishingチェックが欠落していた問題が修正されました。

• breakingゼロダウンタイムパッチリリースの既定有効化

  zero-downtime patch releases がサポート対象となり、デフォルトで有効になります。

• breakingKubernetes向けトラストストア設定の既定有効化

  --truststore-kubernetes-enabled の動作がデフォルトで有効になりました。

• breakingnot-before検証の既定値変更

  not-before検証のデフォルト値が0秒から10秒に変更されました。

要対応 (1)

• securitymediumBatchCheckのポリシー適用不備を修正

  同じタプルに対する複数のチェックを含むBatchCheck呼び出しで、ポリシーが正しく適用されない問題を修正しました。CVE-2026-34972およびGHSA-jwvj-g8pc-cx45に関係する修正です。

要対応 (1)

• securitymediumCVE-2026-1002の静的ファイルアクセス拒否を修正

  静的ファイルへのアクセスを拒否できる、io.vertx/vertx-coreの静的ハンドラーコンポーネントキャッシュの操作を修正しました。

要対応 (1)

• securitygoogle.golang.org/grpc の更新

  スキャナーが報告した脆弱性への対応として、google.golang.org/grpc を更新しました。この脆弱性は cert-manager には影響しないものの、スキャナーの報告を受けて更新されています。

影響確認 (1)

• securitymedium条件付き Check リクエストのキャッシュ結果に関する脆弱性を修正

  条件付きの Check リクエストでキャッシュを有効にしている場合に適用されます。

影響確認 (8)

• securitymediumOIDC Dynamic Client Registration の SSRF 修正

  OIDC Dynamic Client Registration を利用している場合に適用されます。

• securitymediumrealm のクライアント操作における IDOR の修正

  適用対象はリリースノートに明記されていません。

• securitymediummanage-clients permission による権限昇格の修正

  manage-clients permission を設定している場合に適用されます。

• リリースページにあと 5 件

要対応 (1)

• securityエージェントレベルでのセレクター記録停止

  機密情報が漏えいする可能性を避けるため、エージェントレベルでセレクターをログに記録しなくなりました（#6732）。

要対応 (2)

• securityhighgo ツールチェーンの更新

  go ツールチェーンを 1.25.8 に更新し、標準ライブラリの脆弱性 GO-2026-4603 と GO-2026-4601 に対応しました。

• breakingタプル文字列の検証条件変更

  タプル文字列に unicode control characters または null bytes が含まれている場合、タプル検証が失敗するようになりました。

要対応 (2)

• securityhighGo を v1.25.5 に更新

  Go を v1.25.5 に更新し、CVE-2025-61727 と CVE-2025-61729 に対応しました。

• breakingIssuer 参照の kind と group の既定値を変更

  Issuer の参照に使う kind と group の既定値が、v0.19.0 で導入された値から以前の設定に戻りました。

要対応 (1)

• securityGolang標準ライブラリと共通パッケージの依存関係更新

  Golang標準ライブラリと共通パッケージの脆弱性に関する依存関係更新が含まれています。

影響確認 (4)

• securityhighCVE-2026-3047 の SAML broker 認証バイパスを修正

  SAML brokerを使用し、disabled SAML clientを設定している場合に該当します。

• securityhighCVE-2026-3009 の無効なIdentity Providerの扱いを修正

  Disabled Identity Providerを設定している場合に該当します。

• securityhighCVE-2026-2603 の無効なSAML IdPによるログインを修正

  Disabled SAML IdPを設定している場合に該当します。

• リリースページにあと 1 件

影響確認 (2)

• securityhttp_challengeのSSRF脆弱性を修正

  http_challengeを利用している場合に適用されます。

• securityx509popのCPU時間過剰消費問題を修正

  x509popを利用している場合に適用されます。

影響確認 (2)

• securityhttp_challenge のSSRF攻撃問題を修正

  http_challenge サーバーノードアテスタープラグインを使用している場合に該当します。

• securityx509pop のCPU過剰消費問題を修正

  x509pop サーバーノードアテスタープラグインを使用している場合に該当します。

要対応 (1)

• securityhighgo.opentelemetry.io 依存関係のセキュリティ修正

  go.opentelemetry.io の依存関係を更新し、GHSA-9h8m-3fm2-qjrq に対する修正を適用しています。

要対応 (2)

• securitycritical報告された脆弱性の修正

  報告された脆弱性を修正するパッチリリースです。特に CVE-2025-68121 への対応が含まれています。

• securitycriticalGo の更新

  CVE-2025-68121 に対応するため、Go を更新しました。

要対応 (3)

• securitycriticalgoの更新

  CVE-2025-68121への対応として、goが更新されました。

• securityhigh報告された脆弱性を修正するパッチリリース

  v1.19.4は、報告された脆弱性を修正するパッチリリースです。CVE-2026-24051とCVE-2025-68121が修正対象として挙げられており、すべてのユーザーにアップグレードが案内されています。

• securityhighotel SDKの更新

  GO-2026-4394への対応として、otel SDKが更新されました。

要対応 (1)

• securitycriticalgrpc-health-probeをv0.4.45へ更新

  grpc-health-probeがv0.4.45に更新され、CVE-2025-68121に対応しました。

要対応 (2)

• securitymediumCVE-2026-0707 のAuthorizationヘッダー解析問題を修正

  CVE-2026-0707 に関して、Authorizationヘッダーの解析がセキュリティ制御の回避につながる問題を修正しました。

• securitylowCVE-2025-5416 に関する環境情報の問題を修正

  keycloak-core における環境情報に関する問題を修正しました。

要対応 (1)

• securitycriticalCVE-2025-68121の修正

  CVE-2025-68121を修正しました。

要対応 (1)

• securitycriticalビルド用Goを1.25.7へ更新

  OPAのバイナリとイメージのビルドに使うGoを1.25.7へ更新しました。Go標準ライブラリには、GO-2026-4337の修正が含まれています。

要対応 (1)

• securitycriticalgo 1.25.7への更新

  ツールチェーンの go を 1.25.7 に更新し、CVE-2025-68121 に対応しました。

要対応 (1)

• securityotel/sdk の v1.40.0 への更新

  otel/sdk を v1.40.0 に更新し、以前のバージョンに存在する SNYK-GOLANG-GOOPENTELEMETRYIOOTELSDKRESOURCE-15182758 に対応します。

要対応 (4)

• securityhighCVE-2026-1609 による無効化ユーザーのトークン取得を修正

  CVE-2026-1609 により、無効化されたユーザーでも JWT Authorization Grant を使ってトークンを取得できる問題を修正しました。

• securityhighCVE-2026-1529 による組織間自己登録を修正

  CVE-2026-1529 により、偽造した招待用 JWT で組織をまたいだ自己登録が可能になる問題を修正しました。

• securityhighCVE-2026-1486 の JWT Authorization Grant の認証バイパスを修正

  CVE-2026-1486 により、無効化されたアイデンティティープロバイダーを使った認証が可能になる、JWT Authorization Grant のロジックバイパスを修正しました。

• securitymedium/uma-policy/ の所有権チェックを修正

  CVE-2025-14778 に関連する /uma-policy/ の所有権チェックの不備を修正しました。

要対応 (1)

• securityバージョン処理とインジェクションの修正

  b97f50ffb52b198a53b46b60e3743c302a8fb882 で、バージョン処理とインジェクションに関する問題を修正しました。

要対応 (1)

• securitymediumGHSA-gx3x-vq4p-mhhv のDoS問題を修正

  GHSA-gx3x-vq4p-mhhv に関するDoS問題を修正しました。全ユーザーに最新リリースへのアップグレードが案内されています。

影響確認 (1)

• securitymediumDNS応答のキャッシュ順序によるcert-manager controllerのパニック修正

  適用対象はリリースノートに明記されていません。

要対応 (2)

• securityセキュリティ脆弱性への対処

  セキュリティ脆弱性に対処しました。

• securitykubectl image の更新による CVEs 対応

  kubectl image を更新し、CVEs に対処しました。

要対応 (2)

• securitymediumポリシー適用の不備を修正

  ポリシー適用の不備を修正しました。対象は CVE-2026-24851 と GHSA-jq9f-gm9w-rwm9 で報告されています。

• breakingカスタム grpc_prometheus フォークの置き換え

  カスタム grpc_prometheus フォークを go-grpc-middleware のプロバイダーに置き換えました。このメトリクスからカスタムの grpc_code ラベルを削除しました。

要対応 (1)

• securitystdlibのCVEに対応するgoバージョン更新

  goのバージョンを更新し、stdlibのCVEに対処しました。

要対応 (3)

• securitymediumnetty-codec-http のリクエストスマグリング脆弱性の修正

  netty-codec-http における CVE-2025-67735 の、CRLFインジェクションを利用したリクエストスマグリングの脆弱性が修正されています。

• securitymediumQuarkus RESTワーカースレッド枯渇の脆弱性の修正

  io.quarkus/quarkus-rest における CVE-2025-66560 の、Quarkus RESTワーカースレッド枯渇の脆弱性が修正されています。

• securitymedium無効化ユーザーへの不正なトークン発行の修正

  keycloak-services における CVE-2025-14559 の、無効化されたユーザーに不正なトークン発行を許してしまうビジネスロジックの欠陥が修正されています。

影響確認 (1)

• securityOrganization 機能でアカウント名が自動表示・入力される問題の修正

  Organization 機能を利用している場合に該当します。

影響確認 (2)

• securityブルートフォース検知設定の脆弱性修正

  ブルートフォース検知設定を構成している場合に該当します。

• breakingPostgreSQL 13.x のサポート削除

  PostgreSQL 13.x に依存している場合に該当します。

要対応 (1)

• securityhighgolang-jwt の更新による CVE-2025-30204 対応

  CVE-2025-30204 に対応するため、golang-jwt を更新しました。