リリース

要対応 (2)

• securityalpine のベースイメージを alpine:3.24.1 に更新

  ベースイメージ alpine が alpine:3.23.4 から alpine:3.24.1 に更新され、セキュリティ上の懸念に対応しました。

• securityalpine のベースイメージを alpine:3.23.4 に更新

  ベースイメージ alpine が alpine:3.23.3 から alpine:3.23.4 に更新され、セキュリティ上の懸念に対応しました。

要対応 (1)

• breakingControllerPriorityQueue のベータ昇格とデフォルト有効化

  ControllerPriorityQueue がベータ版に昇格し、デフォルトで有効になりました。

要対応 (1)

• securitymediumgithub.com/vektra/mockery の更新

  セキュリティ上の懸念（GO-2025-3900）への対応として、github.com/vektra/mockery が v3.5.5 に更新されました。

要対応 (3)

• securityhighoras.land/oras-go/v2 の更新

  oras.land/oras-go/v2 が 2.6.1 から 2.6.2 に更新され、GHSA-fxhp-mv3v-67qp に対応しました。

• breakingHTTPサーバーの ReadHeaderTimeout 設定

  すべてのHTTPサーバーで ReadHeaderTimeout が 32s に設定されました。

• breaking同名の部分集合ルールと -object ルールの拒否

  部分集合ルールと -object ルールが同じ名前を共有する場合、ast で拒否されるようになりました。

要対応 (2)

• securitycriticalgrpcのセキュリティ更新

  grpcを1.79.3へ更新し、CVE-2026-33186に対処しました。

• securityhighgithub.com/moby/spdystreamのセキュリティ更新

  github.com/moby/spdystreamをv0.5.0からv0.5.1へ更新し、CVE-2026-35469（GHSA-pc3f-x583-g7j2）に対処しました。

影響確認 (4)

• security空白だけの権限によるサーバークラッシュの修正

  JWT 検証を利用している場合に適用されます。

• securityTLS verify_and_map の認証回避の修正

  TLS verify_and_map を設定している場合に適用されます。

• securityMQTT クライアントの購読権限回避の修正

  MQTT を利用している場合に適用されます。

• リリースページにあと 1 件

要対応 (1)

• breakingディスク同時実行用セマフォを4096スロットに変更

  ディスク同時実行用セマフォのスロット数を、従来のCPUスケール方式から4096に増やしました。

要対応 (11)

• securitygoogle.golang.org/grpc の更新

  セキュリティ更新として google.golang.org/grpc が v1.79.3 に更新されました。

• securitygoogle.golang.org/grpc の更新

  セキュリティ更新として google.golang.org/grpc が v1.82.1 に更新されました。

• securityhelm.sh/helm/v4 の更新

  セキュリティ更新として helm.sh/helm/v4 が v4.1.4 に更新されました。

• securitygithub.com/cloudflare/circl の更新

  セキュリティ更新として github.com/cloudflare/circl が v1.6.3 に更新されました。

• securitygithub.com/go-jose/go-jose/v4 の更新

  セキュリティ更新として github.com/go-jose/go-jose/v4 が v4.1.4 に更新されました。

• securitygithub.com/moby/spdystream の更新

  セキュリティ更新として github.com/moby/spdystream が v0.5.1 に更新されました。

• breakingデフォルト CNI 設定バージョンの更新

  デフォルトの CNI 設定バージョンが 0.3.1 から 1.0.0 に更新されました。

• breakingIPAM メトリクスの削除

  IPAM メトリクス cilium_operator_ipam_ips と cilium_operator_ipam_available_interfaces が削除されました。

• breakingCNI 設定バージョンのデフォルト変更

  デフォルトの CNI 設定バージョンが 0.3.1 から 1.0.0 に変更されました。

• breakingネイティブヒストグラム出力のデフォルト化

  すべてのヒストグラムで、ネイティブヒストグラムがデフォルトで出力されるようになりました。

• breakingエージェント bootstrap メトリクスの削除

  エージェントの bootstrap メトリクスが削除されました。

要対応 (1)

• breakingNATSでコンシューマーグループをデフォルト使用

  NATSでは、コンシューマーグループがデフォルトで使用されるようになりました。

影響確認 (6)

• breakingKBS clientの認証方式を管理者トークンに変更

  KBS clientを使用している場合に適用されます。

• breakingCAA docker providerの削除

  CAA docker providerを使用している場合に適用されます。

• breakingFedoraベースのmkosiビルドによるCAA podvmイメージの削除

  FedoraベースのmkosiビルドによるCAA podvmイメージを使用している場合に適用されます。

• リリースページにあと 3 件

要対応 (3)

• securityhighgoogle.golang.org/grpc の 1.82.1 への更新

  google.golang.org/grpc を 1.82.1 に更新し、GHSA-hrxh-6v49-42gf に対応しました。

• breakingsnapshotLimitByte のデフォルト値変更

  snapshotLimitByte に妥当な値を設定するよう、デフォルトを変更しました。

• breakingclient http.Server の ReadHeaderTimeout 設定

  client http.Server に ReadHeaderTimeout を設定しました。

要対応 (5)

• securitycriticalgolang.org/x/net の更新

  golang.org/x/net を 0.54.0 から 0.55.0 に更新し、CVE-2026-25681、CVE-2026-27136、CVE-2026-39821、CVE-2026-42502、CVE-2026-25680、CVE-2026-42506 に対応しました。

• securityhighキーの watch 応答に関する認可問題の修正

  1つのキーへの読み取り権限を付与されたユーザーが、そのキー以降のすべてのキーに関する watch 応答を受け取れていた認可上の問題を修正しました。GHSA-xg4h-6gfc-h4m8 に対応しています。

• securityhightlsListener の TLS ハンドシェイクタイムアウト設定

  tlsListener に tlsHandshakeTimeout を設定しました。GHSA-6vch-q96h-7gc3 に対応しています。

• securityhighgoogle.golang.org/grpc の更新

  google.golang.org/grpc を 1.82.1 に更新し、GHSA-hrxh-6v49-42gf に対応しました。

• breakingsnapshotLimitByte の既定値設定

  snapshotLimitByte に妥当な既定値を設定しました。

影響確認 (1)

• breaking埋め込みVAPバンドルを使う deploy-library の既定動作

  deploy-library を使う場合に適用されます。

要対応 (1)

• breaking未定義のサービスポートへのリクエスト拒否

  定義されていないサービスポート宛てのリクエストを拒否するようになりました。

要対応 (3)

• securitymediumgithub.com/go-chi/chi/v5 の更新

  github.com/go-chi/chi/v5 を v5.2.4 に更新し、CVE-2025-69725 を解消します。

• securitymediumMongoDBドライバーとコンポーネント依存関係の更新

  go.mongodb.org/mongo-driver を v1.17.7 に更新し、github.com/dapr/components-contrib の依存バージョンを v1.18.3 に引き上げます。

• breaking子ワークフローを示す競合エラー

  子ワークフローが作成を妨げている場合、作成リクエストは競合エラーになります。エラーには、該当する子ワークフローが示されます。

影響確認 (3)

• breaking既定のVMドライバーをqemuに変更

  VMドライバーを設定していない場合に適用されます。

• breakingsocket_vmnetのアクセス範囲を%adminグループに制限

  socket_vmnetを使用している場合に適用されます。

• breakingalmalinux-kittenをexperimental/へ移動

  almalinux-kittenを使用している場合に適用されます。

影響確認 (1)

• breakingBalancerName関数の削除

  BalancerNameを使用している場合に適用されます。

影響確認 (1)

• breaking管理トークン未設定時のエンドポイント無効化

  管理トークンを設定せずにエンドポイントを利用している場合に適用されます。

影響確認 (3)

• securityvela-system definitions のアクセス権限を明示的な許可に限定

  vela-system definitions を利用している場合に適用されます。

• securityTerraform module remote URLs の認証情報をログ出力・保存から除外

  Terraform module remote URLs を設定している場合に適用されます。

• breakingapplication definitions の未宣言パラメータを検証

  application definitions を利用している場合に適用されます。

要対応 (1)

• breakingテンプレート作成処理の esclient への移行

  テンプレートの作成処理を esclient に移行し、従来の legacy mapping rendering を廃止しました。

影響確認 (1)

• breakingHelmでのホストファイアウォール無効化処理の修正

  hostFirewall.enabledをHelmでtrueからfalseに切り替えて無効化する場合に適用されます。

影響確認 (1)

• breakingDeviceStatus CRDからのデバイスステータス取得

  DeviceStatus CRDを利用している場合に適用されます。

影響確認 (6)

• breakingv1alpha2 node jobのデフォルト有効化

  NodeUpgradeJobまたはImagePrePullJobを使用している場合に適用されます。

• breakingnode job間の切り替え不可

  NodeUpgradeJobまたはImagePrePullJobを使用している場合に適用されます。

• breakingEdgeCoreのnode jobモジュールをデフォルト無効化

  EdgeCoreが稼働している場合に適用されます。

• リリースページにあと 3 件

影響確認 (11)

• securityhighHTTP/2のヘッダー制限と大量送信対策の変更

  HTTP/2を使用している場合に適用されます。

• securityhighHTTP/3のQPACKとcontent-length処理の修正

  HTTP/3を使用している場合に適用されます。

• securityhigh各種入力処理と解凍処理のセキュリティ修正

  DNSクエリ検証、JSONネスト制限、PROXY protocol TLV、フォーマッター、TCP StatsD、TLS SAN、またはZstd解凍を使用している場合に適用されます。

• リリースページにあと 8 件

要対応 (1)

• breakingOpenAPI 破壊的変更検出の oasdiff 移行

  OpenAPI の破壊的変更の検出に使う @useoptic/optic と @useoptic/openapi-utilities が oasdiff に置き換えられました。

要対応 (1)

• breakingcoreでGoのTLS既定値を使用

  coreでは、TLSにGoの既定値を使用します。

影響確認 (2)

• breakingサンドボックス停止中の CreateContainer を拒否

  CreateContainer を使っており、サンドボックスが実行中でない場合に適用されます。

• breakingerofs のプラットフォーム間での mkfs ブロックサイズ既定値の統一

  erofs を複数のプラットフォームで使う場合に適用されます。

要対応 (1)

• breakingsandbox実行中でない場合のCreateContainer拒否

  CRIは、sandboxが実行中でない場合のCreateContainerリクエストを拒否します。

要対応 (2)

• securityDocker依存関係のMoby移行

  github.com/docker/docker の依存関係を github.com/moby/moby 相当へ移行し、CVEを解消しました。

• breakingヘルスチェックのRPCメトリクス出力停止

  Agentのヘルスチェックで行うループバック呼び出しは、RPC メトリクスを出力しなくなり、メトリクスのノイズが減りました。

要対応 (1)

• securityアカウント乗っ取り前の攻撃につながる問題を修正

  アカウント乗っ取り前の攻撃につながる余地が残る問題を修正しました。

要対応 (1)

• securityサードパーティ依存関係の更新

  TiKV 8.5向けに、脆弱性のあるサードパーティ依存関係を更新しました。上流に合わせて互換性に必要な修正も取り込んでいます。

影響確認 (5)

• securitycert-manager-editのACMEリソース権限を削除

  cert-manager-edit集約ClusterRoleを利用している場合に該当します。

• breakingAPIからObjectReferenceを削除

  APIでObjectReferenceを利用している場合に該当します。

• breakingPrometheus関連のHelm値を削除

  prometheus.servicemonitor.targetPort、prometheus.servicemonitor.path、prometheus.podmonitor.pathのいずれかを設定している場合に該当します。

• リリースページにあと 2 件

要対応 (1)

• securitycriticalCVE-2026-33186 に対応する gRPC 実装を更新

  thanos-community/grpc-go のフォークを更新し、形式不正な :path ヘッダーを利用した認可バイパスを修正しました。対象は CVE-2026-33186 です。

影響確認 (1)

• breakingPython向けprotobuf下限バージョンの引き上げ

  Pythonを使用している場合に適用されます。

影響確認 (4)

• breakingBootstrap サービスの削除

  設定で Bootstrap サービスを利用している場合に該当します。

• breakingdynamicZones の削除

  設定で dynamicZones を利用している場合に該当します。

• breakingdoFinalize の既定値変更

  ZoneDelegation の finalization で doFinalize を使用している場合に該当します。

• リリースページにあと 1 件

影響確認 (1)

• breakinggRPC Python release 1.82.0 のPyPIからの削除

  gRPC Python release 1.82.0 を利用している場合に該当します。

要対応 (1)

• securityblob-mountとトークンの検証を強化

  blob-mountのソースプロジェクトを検証し、iatがないトークンを拒否するようになりました。

要対応 (2)

• securitycriticalsanitize-htmlの更新

  UIで使用するsanitize-htmlを更新し、クロスサイトスクリプティングの脆弱性CVE-2026-44990を修正しました。

• breakingサードパーティライセンスの提供方法を変更

  サードパーティ製npm依存関係のライセンスをPrometheusバイナリに埋め込み、/assets/third-party-licenses.txtで提供する形に変更しました。リリースのtarballとコンテナイメージに収録していたnpm_licenses.tar.bz2は置き換えられています。