リリース

要対応 (6)

• securityhighgolang.org/x依存関係の脆弱性修正

  golang.org/x/netをv0.58.0、golang.org/x/textをv0.41.0、golang.org/x/cryptoをv0.55.0へ更新し、CVE-2026-46600、CVE-2026-56852、CVE-2026-56854を修正しました。

• securityhighgoogle.golang.org/grpcの脆弱性修正

  google.golang.org/grpcをv1.83.2へ更新し、CVE-2026-84304、CVE-2026-84445、CVE-2026-84303、GHSA-vp52-pcj8-j9qc、GHSA-2v4p-qf9q-27wj、GHSA-hrxh-6v49-42gfに対応しました。

• securityGo 1.26.5および1.26.6への更新

  Goを1.26.5へ更新し、続いて1.26.6へ更新しました。goコマンドと、crypto/tls、encoding/asn1、encoding/xml、html/template、net、net/http、net/urlパッケージに含まれるセキュリティ修正を取り込みます。

• securitymediumgithub.com/google/cel-goの脆弱性修正

  github.com/google/cel-goをv0.30.0へ更新し、GHSA-gcjh-h69q-9w9gで報告された脆弱性を修正しました。

• securityセキュリティスキャナーで指摘された依存関係の更新

  golang.org/x/mod、go.opentelemetry.io/otel、go.etcd.io/etcd/client/pkg/v3を、セキュリティスキャナーで更新対象として示されたバージョンへ引き上げました。

• securitymediumsoftware.sslmate.com/src/go-pkcs12の脆弱性修正

  software.sslmate.com/src/go-pkcs12をv0.7.2へ更新し、GHSA-mpwr-8vm7-h73fで報告された脆弱性を修正しました。

要対応 (4)

• securityhigh無制限のロケールキャッシュによるサービス拒否の修正

  認証なしで無制限にロケールがキャッシュされ、サービス拒否につながる問題を修正しました。CVE-2026-79651に対応しています。

• securityhighPathMatcherのマトリックスパラメーター除去回避の修正

  パーセントエンコードされたセミコロンによって、PathMatcherのマトリックスパラメーター除去を回避できる問題を修正しました。CVE-2026-74909に対応しています。

• securityhighimpersonationロールによるレルム管理者のなりすまし防止

  impersonationロールでレルム管理者になりすませる権限昇格の問題を修正しました。CVE-2026-17526に対応しています。

• securitymediumユーザー名の乗っ取りによるアカウントロックアウトの修正

  ユーザー名の乗っ取りによってアカウントがロックアウトされる問題を修正しました。CVE-2026-19607に対応しています。

要対応 (6)

• securityACME サーバーレスポンスボディの上限設定

  ACME サーバーのレスポンスボディを 16 MiB までに制限し、上限のないボディによるサービス拒否を防ぎます。

• securityHTTP-01 セルフチェックでのレスポンス内容の非開示

  ACME HTTP-01 のセルフチェックで取得したレスポンスボディを Challenge.status.reason に反映しなくなりました。リダイレクト先から取得した内部レスポンスの内容が開示されることを防ぎます。

• securityGo 1.26.6 への更新

  Go を 1.26.6 に更新しました。go コマンドと、crypto/tls、encoding/asn1、encoding/xml、html/template、net、net/http、net/url パッケージに含まれるセキュリティ修正が反映されています。

• securitygoogle.golang.org/grpc v1.83.2 への更新

  google.golang.org/grpc を v1.83.2 に更新し、報告されていたセキュリティ脆弱性を修正しました。

• securitygolang.org/x/crypto v0.56.0 への更新

  golang.org/x/crypto を v0.56.0 に更新し、報告されていたセキュリティ脆弱性を修正しました。

• breaking変換後リクエストへの検証適用

  適用対象はリリースノートに明記されていません。

  AdmissionReview では、v1 以外の API バージョンから変換された同等のリクエストにも検証を適用します。これまで検証を回避できたリクエストが対象になります。

要対応 (2)

• securitycriticalGo と x/net の更新

  Go を 1.26.6 に更新し、x/net を更新して CVE-2026-39821 に対応しました。

• securityhighGo の更新

  Go を更新して CVE-2026-56853 に対応しました。

要対応 (1)

• securitycriticalGoツールチェーンとイメージをgo1.26.8に更新

  Goツールチェーンとイメージをgo1.26.8に更新し、CVE-2026-39821（GO-2026-5026）に対応しました。

影響確認 (3)

• breakingStatus から State への変更

  Status を設定している場合に適用されます。

• breakingSCM basic auth から Entra ID bearer token への置き換え

  SCM basic auth を使用している場合に適用されます。

• breakingcloud-run のラベル変更で非スキーマフィールドを除外

  cloud-run を使用している場合に適用されます。

要対応 (2)

• securityGo依存関係のセキュリティ脆弱性を修正

  Go依存関係に含まれるDependabotのセキュリティ脆弱性を修正しました。

• securitygosec のSAST検出結果を修正

  gosec v2.27.1のSAST検出結果に対応するセキュリティ修正を追加しました。