リリース

影響確認 (1)

• breakingDeviceStatus CRDからのデバイスステータス取得

  DeviceStatus CRDを利用している場合に適用されます。

影響確認 (6)

• breakingv1alpha2 node jobのデフォルト有効化

  NodeUpgradeJobまたはImagePrePullJobを使用している場合に適用されます。

• breakingnode job間の切り替え不可

  NodeUpgradeJobまたはImagePrePullJobを使用している場合に適用されます。

• breakingEdgeCoreのnode jobモジュールをデフォルト無効化

  EdgeCoreが稼働している場合に適用されます。

• リリースページにあと 3 件

影響確認 (11)

• securityhighHTTP/2のヘッダー制限と大量送信対策の変更

  HTTP/2を使用している場合に適用されます。

• securityhighHTTP/3のQPACKとcontent-length処理の修正

  HTTP/3を使用している場合に適用されます。

• securityhigh各種入力処理と解凍処理のセキュリティ修正

  DNSクエリ検証、JSONネスト制限、PROXY protocol TLV、フォーマッター、TCP StatsD、TLS SAN、またはZstd解凍を使用している場合に適用されます。

• リリースページにあと 8 件

要対応 (1)

• breakingOpenAPI 破壊的変更検出の oasdiff 移行

  OpenAPI の破壊的変更の検出に使う @useoptic/optic と @useoptic/openapi-utilities が oasdiff に置き換えられました。

要対応 (1)

• breakingcoreでGoのTLS既定値を使用

  coreでは、TLSにGoの既定値を使用します。

影響確認 (2)

• breakingサンドボックス停止中の CreateContainer を拒否

  CreateContainer を使っており、サンドボックスが実行中でない場合に適用されます。

• breakingerofs のプラットフォーム間での mkfs ブロックサイズ既定値の統一

  erofs を複数のプラットフォームで使う場合に適用されます。

要対応 (1)

• breakingsandbox実行中でない場合のCreateContainer拒否

  CRIは、sandboxが実行中でない場合のCreateContainerリクエストを拒否します。

要対応 (2)

• securityDocker依存関係のMoby移行

  github.com/docker/docker の依存関係を github.com/moby/moby 相当へ移行し、CVEを解消しました。

• breakingヘルスチェックのRPCメトリクス出力停止

  Agentのヘルスチェックで行うループバック呼び出しは、RPC メトリクスを出力しなくなり、メトリクスのノイズが減りました。

要対応 (1)

• securityアカウント乗っ取り前の攻撃につながる問題を修正

  アカウント乗っ取り前の攻撃につながる余地が残る問題を修正しました。

要対応 (1)

• securityサードパーティ依存関係の更新

  TiKV 8.5向けに、脆弱性のあるサードパーティ依存関係を更新しました。上流に合わせて互換性に必要な修正も取り込んでいます。

影響確認 (5)

• securitycert-manager-editのACMEリソース権限を削除

  cert-manager-edit集約ClusterRoleを利用している場合に該当します。

• breakingAPIからObjectReferenceを削除

  APIでObjectReferenceを利用している場合に該当します。

• breakingPrometheus関連のHelm値を削除

  prometheus.servicemonitor.targetPort、prometheus.servicemonitor.path、prometheus.podmonitor.pathのいずれかを設定している場合に該当します。

• リリースページにあと 2 件

要対応 (1)

• securitycriticalCVE-2026-33186 に対応する gRPC 実装を更新

  thanos-community/grpc-go のフォークを更新し、形式不正な :path ヘッダーを利用した認可バイパスを修正しました。対象は CVE-2026-33186 です。

影響確認 (1)

• breakingPython向けprotobuf下限バージョンの引き上げ

  Pythonを使用している場合に適用されます。

影響確認 (4)

• breakingBootstrap サービスの削除

  設定で Bootstrap サービスを利用している場合に該当します。

• breakingdynamicZones の削除

  設定で dynamicZones を利用している場合に該当します。

• breakingdoFinalize の既定値変更

  ZoneDelegation の finalization で doFinalize を使用している場合に該当します。

• リリースページにあと 1 件

影響確認 (1)

• breakinggRPC Python release 1.82.0 のPyPIからの削除

  gRPC Python release 1.82.0 を利用している場合に該当します。

要対応 (1)

• securityblob-mountとトークンの検証を強化

  blob-mountのソースプロジェクトを検証し、iatがないトークンを拒否するようになりました。

要対応 (2)

• securitycriticalsanitize-htmlの更新

  UIで使用するsanitize-htmlを更新し、クロスサイトスクリプティングの脆弱性CVE-2026-44990を修正しました。

• breakingサードパーティライセンスの提供方法を変更

  サードパーティ製npm依存関係のライセンスをPrometheusバイナリに埋め込み、/assets/third-party-licenses.txtで提供する形に変更しました。リリースのtarballとコンテナイメージに収録していたnpm_licenses.tar.bz2は置き換えられています。

要対応 (1)

• securityhighquinn-proto の RUSTSEC-2026-0185 修正

  quinn-proto の RUSTSEC-2026-0185 を修正しました。

影響確認 (1)

• breaking終了したFlux APIのCRDからの削除

  CRDがimage.toolkit.fluxcd.io/v1beta2またはnotification.toolkit.fluxcd.io/v1beta2のAPIを使用している場合に該当します。

影響確認 (1)

• breakingSecurityException CRDの削除

  SecurityException CRDを使用している場合に適用されます。

影響確認 (3)

• securityLeaf接続でのNats-Trace-Dest権限チェック回避を修正

  Leaf接続を利用している場合に該当します。

• security保持メッセージとQoS再送時のサブスクライブ拒否ルールを適用

  MQTTを利用している場合に該当します。

• breaking監視エンドポイントのJSONPコールバック対応を削除

  JSONPコールバック対応を利用している場合に該当します。

影響確認 (1)

• breaking監視エンドポイントの JSONP コールバック対応を削除

  JSONP コールバック対応を利用している場合に該当します。

影響確認 (3)

• breakingKafka 4.1.xのサポート終了

  Kafka 4.1.xを使用している場合に該当します。

• breakingTLS認証とトラストストアのPEMファイル対応

  KafkaBridgeまたはKafkaMirrorMaker2でTLS認証もしくはTLSトラストストアを使用している場合に該当します。

• breakingentity-operatorのhealthcheckポート名変更

  entity-operatorのhealthcheckポートを使用している場合に該当します。

影響確認 (1)

• breakingUser-Agent ヘッダーの形式変更

  サーバー側のログフィルターまたは WAF ルールで旧文字列との完全一致を設定している場合に適用されます。

影響確認 (2)

• breakingin_monitor_agent の情報表示に関するデフォルト変更

  in_monitor_agent が実行される場合に適用されます。

• breakingin_debug_agent の接続元制限

  in_debug_agent が実行される場合に適用されます。

要対応 (1)

• breakingヘルスチェックの/healthyへの統合

  ヘルスチェックが/healthyエンドポイントに統合されました。

要対応 (12)

• securityhighCVE-2026-47220 のクラッシュを修正

  CVE-2026-47220 に関するクラッシュの不具合が修正されました。

• securityhighCVE-2026-48044 のメモリ枯渇脆弱性を修正

  CVE-2026-48044 に関するメモリ枯渇脆弱性が修正されました。

• securityhighCVE-2026-48042 の JSON 入れ子深度を制限

  CVE-2026-48042 に関して、JSON の入れ子の深さを 1000 に制限しました。

• securitymediumCVE-2026-47692 の不具合を修正

  CVE-2026-47692 に関する不具合が修正されました。

• securitymediumCVE-2026-47205 の use-after-free クラッシュを修正

  CVE-2026-47205 に関する use-after-free によるクラッシュが修正されました。

• securitymediumCVE-2026-48090 の非同期コールバック処理を修正

  CVE-2026-48090 に関して、フィルターの破棄後に非同期トークン変更コールバックが呼び出される不具合が修正されました。

• securitymediumCVE-2026-47778 の SAN 検証を修正

  CVE-2026-47778 に関して、Envoy が Subject Alternative Name（SAN）を検証できない問題が修正されました。

• securitymediumCVE-2026-47204 のクラッシュと use-after-free を修正

  CVE-2026-47204 に関するクラッシュまたは use-after-free が修正されました。

• securitymediumCVE-2026-48497 のクエリ名長検査を修正

  CVE-2026-48497 に関して、クエリ名の長さを検査する処理が修正されました。

• securitymediumCVE-2026-47775 のパディングオラクルに対処

  CVE-2026-47775 に関するパディングオラクルの問題に対処しました。

• securityGHSA-p7c7-7c47-pwch のサービス拒否脆弱性を修正

  GHSA-p7c7-7c47-pwch に関するサービス拒否脆弱性が修正されました。

• breakingメッセージのログレベルを warn に変更

  メッセージのログ出力レベルが warn になりました。

要対応 (16)

• securityhighWasm依存関係の更新

  Wasmで使用する com_github_wasmtime を更新し、CVE-2026-47261 に対応しました。

• securityhighREQUESTED_SERVER_NAME のクラッシュ修正

  REQUESTED_SERVER_NAME の処理でクラッシュする問題を修正しました。CVE-2026-47220 と GHSA-j9wh-4qfm-wf2v に対応しています。

• securityhighzstd RLE zip bombの修正

  zstdのRLE zip bombに関する問題を修正しました。CVE-2026-48044 と GHSA-m3p9-47wh-88wg に対応しています。

• securityhigh入れ子の深いJSONによるスタックオーバーフロー修正

  深く入れ子になったJSONのデストラクタでスタックオーバーフローが発生する問題を修正しました。CVE-2026-48042 と GHSA-f24p-rxw2-g6pv に対応しています。

• securityhighHTTP/3からHTTP/1へのリクエストスマグリング修正

  Content-Length がゼロ以外のヘッダーのみのリクエストによって、HTTP/3からHTTP/1へのリクエストスマグリングが発生する問題を修正しました。CVE-2026-48743 と GHSA-8phg-2h2q-jgxf に対応しています。

• securitymediumルート単位の認可処理のクラッシュ修正

  ルート単位の認可処理でクラッシュする問題を修正しました。CVE-2026-47205 と GHSA-mvh9-767w-x47j に対応しています。

• securitymediumext_proc レスポンス処理の修正

  ext_proc のレスポンスを1つのgRPCメッセージで処理する際の問題を修正しました。CVE-2026-47207 と GHSA-68cv-hq5f-g6xv に対応しています。

• securitymediumルーター内部リダイレクトのクラッシュ修正

  ルーターの内部リダイレクトでクラッシュする問題を修正しました。CVE-2026-47221 と GHSA-rcff-gw58-pjpr に対応しています。

• securitymediumOAuth2コード検証値の修正

  OAuth2コード検証値のパディングオラクルに関する問題を修正しました。CVE-2026-47775 と GHSA-396h-jpq4-vc7p に対応しています。

• securitymediumgrpc_stats フィルターのセグメンテーション違反修正

  Connectプロトコルのリクエストが direct_response ルートに送られた際、grpc_stats フィルターでセグメンテーション違反が発生する問題を修正しました。CVE-2026-47204 と GHSA-3jxh-8p6x-7pf6 に対応しています。

• securitymediumPROXY Protocol v2 ヘッダー生成の修正

  PROXY Protocol v2 ヘッダー生成器が「skipped」TLVを出力し、攻撃者が制御する最大65 KBのデータが上流アプリケーションのストリームに流れ込む問題を修正しました。CVE-2026-47692 と GHSA-wh36-hm39-mm3r に対応しています。

• securitymediumTLS SAN切り詰め処理の認証回避修正

  TLS SANの切り詰め処理で埋め込みNULが認証を回避できる問題を修正しました。CVE-2026-47778 と GHSA-f8x4-rw5x-f3r7 に対応しています。

• securitymediumOAuth2非同期トークン処理の修正

  OAuth2フィルターで、ストリーム破棄後に非同期トークン処理が完了すると解放済みメモリの使用やクラッシュにつながる問題を修正しました。CVE-2026-48090 と GHSA-3cj2-c63f-q26f に対応しています。

• securitymediumDNS UDPフィルターの異常終了修正

  DNS UDPフィルターでプロセスが異常終了する問題を修正しました。CVE-2026-48497 と GHSA-j6g2-wf95-q66q に対応しています。

• securitymediumTcpStatsdSink のヒープバッファオーバーフロー修正

  TcpStatsdSink でヒープバッファオーバーフローが発生する問題を修正しました。CVE-2026-48706 と GHSA-7q3f-gwg7-j8g4 に対応しています。

• securityHTTP/3のQPACK処理に関するサービス拒否の修正

  QPACK のデコードがブロックされた際にHTTP/3スタックでサービス拒否が発生する問題を修正しました。GHSA-p7c7-7c47-pwch に対応しています。

要対応 (1)

• securityhighcom_github_wasmtimeの更新

  CVE-2026-47261への対応として、com_github_wasmtimeを更新しました。

要対応 (1)

• securityhigh深く入れ子になった JSON のスタックオーバーフロー修正

  深く入れ子になった JSON のデストラクタで発生するスタックオーバーフローを修正しました。CVE-2026-48042 に対応しています。

要対応 (1)

• securityhigh深くネストしたJSONのスタックオーバーフローを修正

  深くネストしたJSONをデストラクターで処理した際にスタックオーバーフローが発生する問題を修正しました。CVE-2026-48042 および GHSA-f24p-rxw2-g6pv に対応しています。

影響確認 (9)

• breakingconfighttp.framedSnappy ゲートの削除

  confightp.framedSnappy を使用している場合が対象です。

• breakingconfigoptional.AddEnabledField ゲートの削除

  configoptional.AddEnabledField を使用している場合が対象です。

• breakingconfmap.newExpandedValueSanitizer フィーチャーゲートの削除

  confmap.newExpandedValueSanitizer を使用している場合が対象です。

• リリースページにあと 6 件

影響確認 (2)

• breakingKruise API の v1beta1 への更新

  マニフェストで次の Kruise API を v1alpha1 として使用している場合に適用されます。

• breaking数値文字列の maxUnavailable と maxSurge の検証変更

  maxUnavailable または maxSurge に数値文字列を設定している場合に適用されます。

影響確認 (5)

• securitycriticalcontainerd の更新と脆弱性修正

  containerd を使用している場合に適用されます。

• securityhighQEMU VMのゲストエージェントソケット経由の権限取得問題の修正

  ゲストエージェントソケットを使用するQEMU VMを実行している場合に適用されます。

• breakingcontainerd.user の非Linuxゲスト向けデフォルト変更

  非Linuxゲストを実行している場合に適用されます。

• リリースページにあと 2 件

要対応 (2)

• securitycriticalCVE-2026-50195の修正

  CVE-2026-50195に関するセキュリティ修正が含まれています。

• breakingopenUserFileのユーザーデータベースファイル読み取り制限

  openUserFileで読み取るユーザーデータベースファイルの範囲が制限されます。

要対応 (2)

• securityhighCVE-2026-55225の修正

  CVE-2026-55225を修正しました。

• securitymediumCVE-2026-55226の修正

  CVE-2026-55226を修正しました。

要対応 (1)

• securitypostgres クレートの更新

  postgres クレートが更新され、RUSTSEC-2026-0178、RUSTSEC-2026-1079、RUSTSEC-2026-0180 に対応しました。

影響確認 (2)

• breaking古い MDS and RGW pdbs の削除

  MDS and RGW pdbs を設定している場合に適用されます。

• breakingcsi-addons のデフォルト無効化

  csi-addons を有効にしている場合に適用されます。

影響確認 (2)

• breakingCephの既定バージョンを19.2.4に変更

  Cephを使用している場合に適用されます。

• breaking古いMDSとRGWのPDBを削除

  適用対象はリリースノートに明記されていません。

要対応 (2)

• securityinfinispan の更新

  既知の脆弱性への対応として、infinispan が ^0.12.0 から ^0.13.0 に更新されました。

• breakingjson-schema ランタイム依存関係の削除

  未使用の json-schema ランタイム依存関係が削除されました。