リリース

要対応 (1)

• securityalpine ベースイメージを alpine:3.23.4 に更新

  ベースイメージ alpine が alpine:3.23.3 から alpine:3.23.4 に更新されました。

要対応 (1)

• securityhighGo依存関係の更新

  脆弱性のあるGo依存関係が更新され、GHSA-xmrv-pmrh-hhx2 と CVE-2026-34986 に対応しました。

要対応 (3)

• security依存関係の更新

  依存関係を更新し、セキュリティアドバイザリに対応しました。

• securityEnvFromのクリアによるシークレット名漏えい対策

  removeContainersDataでEnvFromをクリアし、シークレット名が漏えいしないようにしました。

• securityEnv[].ValueFromのクリア

  removeContainersDataとremoveEphemeralContainersDataでEnv[].ValueFromをクリアするようにしました。

影響確認 (1)

• breakingaws.iam-access-key の json-diff フィルター削除

  aws.iam-access-key に json-diff フィルターを使うポリシーがある場合に該当します。

要対応 (1)

• breakingfgprofプロファイルの同時実行を拒否

  APIでfgprofプロファイルを同時に実行した場合、その実行を拒否するようになりました。

要対応 (1)

• breakinggRPC server supportの削除

  gRPC server supportを削除しました。

影響確認 (3)

• breakingpdata.useCustomProtoEncoding フィーチャーゲートの削除

  pdata.useCustomProtoEncoding を使用している場合に適用されます。

• breakingcmd/mdatagen の再集約設定生成をデフォルトで有効化

  cmd/mdatagen を実行している場合に適用されます。

• breakingmetadata.yaml の feature_gates 検証を厳格化

  metadata.yaml で feature_gates を設定している場合に適用されます。

要対応 (14)

• securitygithub.com/cloudflare/circl の更新

  github.com/cloudflare/circl を v1.6.3 に更新しました。

• securitygoogle.golang.org/grpc の更新

  google.golang.org/grpc を v1.79.3 に更新しました。

• securityOTLP HTTP エクスポーターの更新

  go.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttp を v1.43.0 に更新しました。

• securitygithub.com/go-git/go-git/v5 の更新

  github.com/go-git/go-git/v5 を v5.17.1 に更新しました。

• securitygithub.com/go-jose/go-jose/v4 の更新

  github.com/go-jose/go-jose/v4 を v4.1.4 に更新しました。

• securitygithub.com/sigstore/cosign/v3 の更新

  github.com/sigstore/cosign/v3 を v3.0.5 に更新しました。

• securitygithub.com/docker/cli の更新

  github.com/docker/cli を v29.2.0+incompatible に更新しました。

• securitygithub.com/sigstore/timestamp-authority/v2 の更新

  github.com/sigstore/timestamp-authority/v2 を v2.0.6 に更新しました。

• securityGo 1.25.9 への更新

  Go を 1.25.9 に更新しました。

• securitygithub.com/moby/spdystream の更新

  github.com/moby/spdystream を v0.5.1 に更新しました。

• securitygithub.com/go-git/go-git/v5 の更新

  github.com/go-git/go-git/v5 を v5.18.0 に更新しました。

• securitygithub.com/in-toto/in-toto-golang の更新

  github.com/in-toto/in-toto-golang を v0.11.0 に更新しました。

• securitygolang.org/x/net の更新

  golang.org/x/net を v0.53.0 に更新しました。

• securityGo 1.25.10 への更新

  標準ライブラリの CVE 修正に対応するため、Go を 1.25.10 に更新しました。

要対応 (1)

• securityhighCVE-2026-46680 の修正

  CVE-2026-46680 に対応しました。関連するアドバイザリは GHSA-fqw6-gf59-qr4w です。

要対応 (1)

• securityhighCVE-2026-46680への対応

  CVE-2026-46680に関する修正が含まれます。

要対応 (2)

• securityModule Federation パッケージの v2.3.3 更新

  既知の脆弱性に対応するため、Module Federation パッケージが v2.3.3 に更新されました。

• breaking@remixicon/react の依存バージョン制限

  ライセンス変更により、@remixicon/react の依存バージョンは 4.9.0 未満に制限されました。

影響確認 (2)

• breakingsnappyリクエストへのmax_request_body_size適用タイミングの変更

  max_request_body_size を設定している場合に適用されます。

• breaking明示的なPrometheusテレメトリ設定の既定値修正

  テレメトリのメトリクス設定を構成している場合に適用されます。

要対応 (6)

• securityhighHTTP/2 CONTINUATION フレーム大量送信によるサービス拒否の修正

  CVE-2026-33871 に関する、HTTP/2 CONTINUATION フレームの大量送信によるサービス拒否の問題を修正しました。

• securityhighChunked Extension 解析を悪用した HTTP リクエストスマグリングの修正

  CVE-2026-33870 に関する、Chunked Extension の Quoted-String 解析を悪用した HTTP リクエストスマグリングの問題を修正しました。

• securityhighbouncycastle に関する複数の問題の修正

  CVE-2026-0636、CVE-2026-3505、CVE-2026-5598 に関する bouncycastle の問題を修正しました。

• securityhighリダイレクト URI 検証回避の修正

  CVE-2026-7504 に関する、Keycloak のリダイレクト URI 検証を回避できる問題を修正しました。

• securitymediumbcpkix モジュールの暗号アルゴリズム問題の修正

  CVE-2026-5588 に関する、Bouncy Castle Crypto Package For Java の bcpkix モジュールで、危険または破損した暗号アルゴリズムが使用される問題を修正しました。

• security権限およびポリシー呼び出し順序による client ID 露出の修正

  権限とポリシーの呼び出し順序によって client ID が露出する問題を修正しました。

要対応 (3)

• securitytensorflow/tensorflowのセキュリティ更新

  tensorflow/tensorflowを2.20.0rc0-gpuから2.21.0rc0-gpuへ更新します。

• securitytensorflow/tensorflowのセキュリティ更新

  tensorflow/tensorflowを2.21.0rc0-gpuから2.21.0rc1-gpuへ更新します。

• securitygolangのセキュリティ更新

  セキュリティ上の問題に対応するため、golangをアップグレードします。

要対応 (1)

• securityhighGo依存関係の脆弱性対応

  脆弱性のあるGo依存関係を更新し、GHSA-xmrv-pmrh-hhx2およびCVE-2026-34986に対応しました。

要対応 (1)

• breakingIstioイメージのデフォルトレジストリ変更

  Istioイメージのデフォルトレジストリが registry.istio.io になりました。

要対応 (1)

• security名前空間をまたぐプロキシ列挙と設定ダンプ取得の認可修正

  認証済みのワークロードが、別の名前空間にあるワークロードのプロキシを列挙し、設定ダンプを取得できていた問題を修正しました。対象には istio.io/debug/syncz と istio.io/debug/config_dump が含まれます。

要対応 (1)

• securitymediumGHSA-qp9x-wp8f-qgjj の修正

  GHSA-qp9x-wp8f-qgjj を修正しました。

影響確認 (1)

• breakingdrainOngoingCallTimeout の配置情報通知タイムアウト制約変更

  アプリケーションが指定した actor の drainOngoingCallTimeout が、既定値30秒の daprd 側の配置情報通知タイムアウト以上になる場合に適用されます。

要対応 (2)

• securityhigh11件のCVEを修正

  次のCVEを修正しました。CVE-2026-42501、CVE-2026-42499、CVE-2026-39836、CVE-2026-39826、CVE-2026-39825、CVE-2026-39823、CVE-2026-39820、CVE-2026-39819、CVE-2026-39817、CVE-2026-33814、CVE-2026-33811。

• breakingconfig.linkerd.io/proxy-enable-native-sidecar の既定動作を変更

  サイドカーの既定モードを変更し、config.linkerd.io/proxy-enable-native-sidecar で指定されるモードがデフォルトになります。

要対応 (2)

• securitygithub.com/moby/spdystream を v0.5.1 に更新

  セキュリティ関連の更新として、依存モジュール github.com/moby/spdystream を v0.5.1 に更新しました。

• breakingloadbalancer/reflectors の EndpointSlice 監視をサービスラベルで絞り込み

  loadbalancer/reflectors が監視する EndpointSlice を、サービスラベルで絞り込むようになりました。

要対応 (1)

• securitygithub.com/moby/spdystream の更新

  依存モジュール github.com/moby/spdystream を v0.5.1 に更新しました。

要対応 (2)

• breakingmetricstoreのmin step apiを削除

  metricstoreからmin step apiを削除しました。

• breakingjaegermcpのnon-standard health mcp toolを削除

  jaegermcpからnon-standard health mcp toolを削除しました。

影響確認 (3)

• breakingprotobuf content type の削除

  protobuf content type を使用している場合に該当します。

• breakingsidecar 要件の削除

  sidecar を使用している場合に該当します。

• breaking--output フラグの削除

  --output を設定している場合に該当します。

要対応 (1)

• breakingマネージャー TLS の既定値変更

  マネージャーの TLS の既定値が未設定に戻りました。

影響確認 (1)

• breakingcanary-v2 の削除

  canary-v2 を設定している場合に適用されます。

影響確認 (1)

• breakingVTOrcのセル監視フラグ追加を取り消し

  VTOrcが稼働している場合に適用されます。

要対応 (2)

• breakingSELECT リスト内の修飾なし * を拒否

  vtgate は、SELECT リストでコンマの後に修飾なしの * が続く場合、そのクエリを拒否するようになりました。

• breakingsqlparser の単独 * 制限を文法に適用

  sqlparser の文法で、単独の * に対する制限が適用されるようになりました。

要対応 (4)

• securityk8s.io/kubernetes を v1.34.2 に更新

  k8s.io/kubernetes が v1.34.2 に更新されました。

• securityhelm を 3.19.4 に更新

  cve 対応のため、helm が 3.19.4 に更新されました。

• breakinggRPC サービス設定の DNS TXT 参照をデフォルトで無効化

  gRPC service config DNS TXT lookups は、デフォルトで無効になりました。

• breakingApplicationSet リソースステータス件数のデフォルト値を 5000 に変更

  appset resource status count のデフォルト値が 5000 に変更されました。

影響確認 (4)

• breakingYurtAppOverrider の削除

  YurtAppOverrider を利用している場合に該当します。

• breakingHelm charts からの yurt-coordinator 削除

  yurt-coordinator と Helm charts の両方を利用している場合に該当します。

• breakingyurt-manager からの yurt-coordinator-cert controller 削除

  yurt-coordinator-cert controller と yurt-manager の両方を利用している場合に該当します。

• リリースページにあと 1 件

要対応 (1)

• securityhighGHSA-q49m-57vm-c8ccに関連するCVEの修正

  GHSA-q49m-57vm-c8ccに関連するCVEの修正が含まれます。

影響確認 (1)

• breakingcanary-v2 の削除

  canary-v2 を設定している場合に適用されます。

要対応 (2)

• securityhighspdystream の更新による CVE-2026-35469 対応

  依存関係の spdystream を更新し、CVE-2026-35469 を修正しました。

• breakingCRI-O CNI monitoring の差し戻し

  ノードのブートストラップで回帰が発生していたため、CRI-O CNI monitoring を差し戻しました。

要対応 (1)

• breakingcanary-v2 の削除

  canary が存在するため、canary-v2 を削除しました。

影響確認 (1)

• breaking対応する Kubernetes の最低バージョンを1.31に変更

  クラスタで Kubernetes 1.31未満を実行している場合に適用されます。