CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
セキュリティ上の問題への修正と、APIの引数指定に関する変更を含みます。既存モジュールの削除に向けた準備も進められています。
要対応 (1)
securitymediumGHSA-qp9x-wp8f-qgjj の修正
GHSA-qp9x-wp8f-qgjj を修正しました。
影響確認 (1)
breakingUpdater() の bootstrap 引数を必須化
Updater() を使用している場合に適用されます。
事前準備 (1)
deprecatedsecuresystemslib. の削除準備
securesystemslib. を使用している場合に適用されます。
サイドカーの既定モードを変更し、native sidecars をGAに昇格しました。正確性に関する修正、タイムスタンプ処理の設定対応、11件のCVE修正、依存関係の更新を含みます。
要対応 (2)
securityhigh11件のCVEを修正
次のCVEを修正しました。CVE-2026-42501、CVE-2026-42499、CVE-2026-39836、CVE-2026-39826、CVE-2026-39825、CVE-2026-39823、CVE-2026-39820、CVE-2026-39819、CVE-2026-39817、CVE-2026-33814、CVE-2026-33811。
breakingconfig. の既定動作を変更
サイドカーの既定モードを変更し、config. で指定されるモードがデフォルトになります。
運用者向けの不具合修正に加え、設定によっては EndpointSlice の監視条件が変わり、対応するラベルが必要になりました。Helm の設定項目や外部イメージの指定が拡張され、依存モジュールとイメージも更新されています。
要対応 (2)
securitygithub. を v0.5.1 に更新
セキュリティ関連の更新として、依存モジュール github. を v0.5.1 に更新しました。
breakingloadbalancer/reflectors の EndpointSlice 監視をサービスラベルで絞り込み
loadbalancer/reflectors が監視する EndpointSlice を、サービスラベルで絞り込むようになりました。
影響確認 (1)
breakingEndpointSlices の監視にサービスプロキシ名ラベルの絞り込みを追加
--k8s-service-proxy-name を設定している場合に適用されます。
既存の挙動を制限する変更に加え、バグ修正、新しいメトリクス、Helmでのイメージ上書き、依存関係とイメージ、コンテナイメージマニフェストの更新を含みます。アドバイザリ識別子は示されていません。
要対応 (1)
securitygithub. の更新
依存モジュール github. を v0. に更新しました。
影響確認 (1)
breakingCiliumLocalRedirectPolicy の addressMatcher 上書き制限
CiliumLocalRedirectPolicy で addressMatcher を使用し、--enable-lrp-address-matcher-override=true を有効にしていない場合に適用されます。
破壊的な削除に加え、メトリクスとAPIの変更、複数の不具合修正、実験的な機能が含まれています。セキュリティアドバイザリやセキュリティ固有の修正は記載されていません。
要対応 (2)
breakingmetricstoreのmin step apiを削除
metricstoreからmin step apiを削除しました。
breakingjaegermcpのnon-standard health mcp toolを削除
jaegermcpからnon-standard health mcp toolを削除しました。
オペレーター向けの正確性修正に加え、制御設定とTLSキー設定が追加され、CRDによる制御入力はライブクラスタースキャンモードに限定されました。sidecar と --output の要件がなくなり、入力検証やエラー報告も改善されています。セキュリティアドバイザリや脆弱性の開示はありません。
影響確認 (3)
breakingprotobuf content type の削除
protobuf content type を使用している場合に該当します。
breakingsidecar 要件の削除
sidecar を使用している場合に該当します。
breaking--output フラグの削除
--output を設定している場合に該当します。
従来のドライバーやエントリーポイントの削除、設定の非推奨化、既定値と制約の変更が行われています。HostClaim や vbmctl の機能追加、不具合修正、依存関係の更新も含まれます。
要対応 (1)
breakingマネージャー TLS の既定値変更
マネージャーの TLS の既定値が未設定に戻りました。
影響確認 (3)
breakingiRMC ドライバーの削除
iRMC ドライバーを使用している場合に適用されます。
breakingデプロビジョニング時の PreprovisioningImage 必須化
クリーニングを有効にしている場合に適用されます。
breaking従来の vbmctl エントリーポイントの削除
従来の vbmctl エントリーポイントを使用している場合に適用されます。
事前準備 (1)
deprecatedBMH. の非推奨化
BMH. を設定している場合に適用されます。
バグ修正に加え、互換性や動作の変更、Go依存関係の更新、メトリクスの追加と削除、運用面の改善が含まれます。セキュリティアドバイザリや、セキュリティに明確に関係する修正は開示されていません。
要対応 (2)
breakingSELECT リスト内の修飾なし * を拒否
vtgate は、SELECT リストでコンマの後に修飾なしの * が続く場合、そのクエリを拒否するようになりました。
breakingsqlparser の単独 * 制限を文法に適用
sqlparser の文法で、単独の * に対する制限が適用されるようになりました。
影響確認 (1)
breakingEmergencyReparentShard のレプリケーション停止エラーの送信元を限定
EmergencyReparentShard を使用している場合に適用されます。
正確性、性能、依存関係、運用者向けの改善を含む、保守と機能拡張のリリースです。クラスタバージョンのアノテーションと形式、gRPC DNS TXT 参照や ApplicationSet リソースステータス件数のデフォルト、UI の選択肢に変更があります。セキュリティ関連の依存関係も更新されていますが、悪用可能な脆弱性やセキュリティアドバイザリの明示的な開示はありません。
要対応 (4)
securityk8s. を v1. に更新
k8s. が v1. に更新されました。
securityhelm を 3. に更新
cve 対応のため、helm が 3. に更新されました。
breakinggRPC サービス設定の DNS TXT 参照をデフォルトで無効化
gRPC service config DNS TXT lookups は、デフォルトで無効になりました。
breakingApplicationSet リソースステータス件数のデフォルト値を 5000 に変更
appset resource status count のデフォルト値が 5000 に変更されました。
影響確認 (2)
breakinghelm version コマンドの --client 削除
この変更は、--client を使用している場合に適用されます。
breakingクラスタバージョンアノテーションと形式の変更
Kubernetes バージョンに基づいてクラスタを取得する Cluster Generators を使う Application Sets で、クラスタシークレットに argocd. を設定している場合に適用されます。
OTAイメージの事前加熱や K8s-on-K8s の展開、宣言的なYurtHub変換などの機能が加わり、ハブと YurtHub の機能も拡張されました。従来のコンポーネントの削除や非推奨化、複数の不具合修正も含まれますが、セキュリティアドバイザリは確認されていません。
影響確認 (4)
breakingYurtAppOverrider の削除
YurtAppOverrider を利用している場合に該当します。
breakingHelm charts からの yurt-coordinator 削除
yurt-coordinator と Helm charts の両方を利用している場合に該当します。
breakingyurt-manager からの yurt-coordinator-cert controller 削除
yurt-coordinator-cert controller と yurt-manager の両方を利用している場合に該当します。
事前準備 (2)
deprecatedyurtmanager delegate lease controller の非推奨化
yurtmanager delegate lease controller を利用している場合に該当します。
deprecatedYurtAppDaemon controller と YurtAppDaemon webhook の非推奨化
YurtAppDaemon controller または YurtAppDaemon webhook を利用している場合に該当します。
v0.では、セキュリティ修正と、今後の削除予定を伴う互換性上の変更が含まれます。特定のプロバイダーやイメージを利用する環境では、今回の非推奨化が関係します。
要対応 (1)
securityhighGHSA-q49m-57vm-c8ccに関連するCVEの修正
GHSA-q49m-57vm-c8ccに関連するCVEの修正が含まれます。
事前準備 (3)
deprecatedDocker CAA providerの非推奨化削除時期は未定
Docker CAA providerを利用している場合に該当します。
breakingFedora-based mkosi CAA podvm imageの非推奨化とUbuntu imageへの置き換え削除時期は未定
Fedora-based mkosi CAA podvm imageを利用している場合に該当します。
deprecatedpacker imagesサポートの非推奨化削除時期は未定
packer imagesを利用している場合に該当します。
メトリクスの追加とGOMAXPROCS設定フィールドの追加、ランタイムの不具い修正が含まれます。CNIのヘルス監視に関する変更は回帰を受けて取り消され、spdystream の更新で CVE-2026-35469 に対応しています。
要対応 (2)
securityhighspdystream の更新による CVE-2026-35469 対応
依存関係の spdystream を更新し、CVE-2026-35469 を修正しました。
breakingCRI-O CNI monitoring の差し戻し
ノードのブートストラップで回帰が発生していたため、CRI-O CNI monitoring を差し戻しました。
オペレーター向けの機能追加と挙動変更を含むリリースで、依存関係の更新だけではありません。既存環境との互換性を確認する必要がある制約変更と非推奨化に加え、新しい機能やその他の挙動変更も含まれています。
要対応 (1)
breakingOCI hook調整の所有者集約とプラグイン名のカンマ禁止
OCI hookの調整に関する所有者を集約し、プラグイン名にカンマを使用できなくなりました。
事前準備 (1)
deprecatedshim.の非推奨化
shim.を使用している場合に適用されます。
OPA v1.は、URI組み込み関数、Data APIのメタデータ、テストとWASM、Regoおよびスキーマ対応を広げる一方、書式設定やログ、サーバー、TLS、ソケット、ストレージ、依存関係の挙動も変えます。シャットダウンの回帰が報告されているため、利用先ではv1.を避け、v1.へ直接更新する扱いです。
要対応 (1)
breakingHTMLインデックスページのクエリフォーム削除
v1.では、HTMLインデックスページにあったクエリフォームが削除されました。
新しい機能の追加と既存機能の保守、動作の正確性や依存関係の更新を含むリリースです。設定のデフォルト値やバックアップ処理、削除・非推奨となったインターフェースを確認する必要があり、セキュリティ修正と外部圧縮解除処理の強化も含まれます。
要対応 (3)
security機密情報の平文ログ出力への対処
コードスキャンアラートno.で指摘された、機密情報の平文ログ出力に対処しました。
securityGetBackupsのディレクトリトラバーサル対策
ファイルバックアップストレージのGetBackups RPCにおけるディレクトリトラバーサルに対処しました。
breaking修飾なしの*を含むSELECTの扱い変更
SELECTリストでカンマの後に修飾なしの*を指定した場合、vtgateが拒否するようになりました。
影響確認 (12)
securityMANIFESTからの圧縮解除コマンド読み込み変更
適用対象はリリースノートに明記されていません。
securityバックアップMANIFESTを介した外部コマンド実行の制限
バックアップストレージを使用している場合に適用されます。
securitybackupengineのパストラバーサル対策
backupengineが実行される場合に適用されます。
事前準備 (4)
deprecatedglogの非推奨化v25で削除予定
glogを使用している場合に適用されます。
deprecatedOpenTracingバックエンドの非推奨化v25で削除予定
opentracing-jaegerまたはopentracing-datadogを使用している場合に適用されます。
deprecatedVTOrc Snapshot Topology機能の非推奨化v25で削除予定
--snapshot-topology-intervalを設定している場合に適用されます。
APIとランタイムの機能、メタデータ、依存関係に更新があります。セキュリティアドバイザリや脆弱性の開示はありません。
影響確認 (1)
breakingContainer フィールドの削除
API仕様で Container を使用している場合に適用されます。
運用者向けの修正や新機能、APIおよび設定の変更、依存関係の更新を含むリリースです。明示されたセキュリティ修正も含まれます。
要対応 (3)
securityhighPyJWT の CVE-2026-32597 対応
PyJWT の crit ヘッダー検証に関する CVE-2026-32597 を修正しました。
securityhighpyasn1 の CVE-2026-30922 対応
pyasn1 の DoS 脆弱性に関する CVE-2026-30922 を修正しました。
breakingMaxReplicas の必須化
MaxReplicas が必須の int32 になりました。
影響確認 (2)
breakingcert-hash 再起動アノテーションの削除
cert-hash を設定している場合に適用されます。
breakingPYTHONPATH 環境変数の遮断
PYTHONPATH を設定している場合に適用されます。
オペレーター機能を加え、設定、Helm、CLIの改善を含む機能・保守リリースです。多数の不具合修正や出力・依存関係の更新に加え、アクセス制約の見直しとCVE関連の問題3件への修正が含まれます。
要対応 (4)
securityhigh中間証明書の制限によるCVE-2026-32280対策
中間証明書の数を制限し、CVE-2026-32280の影響を抑える修正を加えました。
securityhighGo toolchainの1.への更新
Go toolchainを1.へ更新し、CVE-2026-32283を修正しました。
securitymediumgo-tuf/v2のv2.への更新
go-tuf/v2をv2.へ更新し、CVE-2026-24686を修正しました。
security標準ライブラリのCVE修正
標準ライブラリに関するCVEを修正しました。
影響確認 (2)
breakingnamespaced policiesのconfigmapアクセス制限
namespaced policiesを使用している場合に適用されます。
breakingアンインストール時のfinalizersと回避策の削除
アンインストールを実行する場合に適用されます。
既定値、APIと設定の契約、新しい機能、非推奨化、バグ修正を含むリリースです。セキュリティアドバイザリやセキュリティ固有の修正は公開されていません。
影響確認 (2)
breaking生成された Collector ソースの replace パスを相対指定に変更
生成された Collector ソースを使用している場合に適用されます。
breakingConfig. を名前付きフィールドに変更
Config. を使用している場合に適用されます。
事前準備 (1)
deprecatedDefaultMetricsBuilderConfig 関数を非推奨化
DefaultMetricsBuilderConfig を使用している場合に適用されます。
従来の CRD API の削除、既定値や設定場所の変更、Kafka と HTTP Bridge の機能追加、新しい Operator 設定が含まれます。既存の監視設定やスタンドアロン Topic Operator を利用している環境では、更新が必要になる場合があります。
要対応 (2)
breakingUseConnectBuildWithBuildah をデフォルトで有効化
UseConnectBuildWithBuildah フィーチャーゲートがベータ段階に移行し、デフォルトで有効になりました。
breakingHTTP Bridge の /metrics エンドポイントを管理インターフェースへ移動
HTTP Bridge の /metrics エンドポイントは、通常の HTTP インターフェース（デフォルトではポート 8080）では利用できなくなりました。現在は HTTP 管理インターフェースの 8081 で利用できます。
影響確認 (4)
breakingCRD API の対応範囲を v1 のみに変更
v1beta2、v1beta1、または v1alpha1 CRD API を使用している場合に該当します。
breakingOpen Policy Agent (OPA) authorizer plugin の同梱を終了
Open Policy Agent (OPA) authorizer plugin を使用している場合に該当します。
breakingTLS 関連環境変数の使用を終了
STRIMZI_TLS_ENABLED、STRIMZI_TLS_AUTH_ENABLED、STRIMZI_PUBLIC_CA、STRIMZI_TRUSTSTORE_LOCATION、STRIMZI_TRUSTSTORE_PASSWORD、STRIMZI_KEYSTORE_LOCATION、または STRIMZI_KEYSTORE_PASSWORD のいずれかを設定している場合に該当します。
Linuxと同梱コンポーネントのセキュリティ修正を中心に、依存関係の更新が含まれています。minimal-initrdに伴う回帰の修正や、サービスの起動設定、SSH設定、利用できるカーネルモジュールの構成変更もあります。
要対応 (18)
securitycriticalLinuxの追加セキュリティ修正
Linuxのセキュリティ修正として、CVE-2026-31411を含む更新が反映されています。
securityhighcurlのセキュリティ修正
curlのセキュリティ修正が反映されています。
securityhighexpatのセキュリティ修正
expatのセキュリティ修正が反映されています。
securityhighgnupgのセキュリティ修正
gnupgのセキュリティ修正が反映されています。
securityhighgoのセキュリティ修正
goのセキュリティ修正が反映されています。
securityhighintel-microcodeのセキュリティ修正
intel-microcodeのセキュリティ修正が反映されています。
securityhighlibxsltのセキュリティ修正
libxsltのセキュリティ修正が反映されています。
securityhighnvidia-driversのセキュリティ修正
nvidia-driversのセキュリティ修正が反映されています。
securityhighopensslのセキュリティ修正
opensslのセキュリティ修正が反映されています。
securityhighpamのセキュリティ修正
pamのセキュリティ修正が反映されています。
securitymediumbinutilsのセキュリティ修正
binutilsのセキュリティ修正が反映されています。
securitymediumcoreutilsのセキュリティ修正
coreutilsのセキュリティ修正が反映されています。
securitymediumlibpcre2のセキュリティ修正
libpcre2のセキュリティ修正が反映されています。
securitymediumnet-toolsのセキュリティ修正
net-toolsのセキュリティ修正が反映されています。
securitylowopensshのセキュリティ修正
opensshのセキュリティ修正が反映されています。
securitylibxml2の更新
libxml2がlibxml2-20250908に更新されています。
breakingsshdでOpenSSHのデフォルト設定を使用
sshdの設定からCiphers、MACs、KexAlgorithmsが削除され、OpenSSHの上流デフォルトが使われるようになっています。
breaking最初のinitrdで利用できるカーネルモジュールの縮小
最初のinitrdで利用できるカーネルモジュールの数が減っています。
影響確認 (1)
breakingoverlaybd sysextのサービスを自動起動
overlaybd sysextを使用している場合に適用されます。
Store Gateway、フェデレーション、オーバーライド、キャッシュ、メトリクス、クエリに関する機能が追加され、複数の実験的機能が正式機能へ移行しました。デフォルト値や設定名、依存関係も更新され、正確性、メモリ使用量、パニック、データ破損に関する不具合が修正されています。
要対応 (1)
breakingバケットインデックスのデフォルト有効化
Blocks storage では、バケットインデックスがデフォルトで有効になりました。-blocks-storage. による無効化は、本番環境では推奨されません。
影響確認 (1)
breakingDistributor のタイプ・単位ラベル用フラグ統合
remote write v2 と OTLP リクエストで -distributor. または -distributor. を設定している場合に適用されます。
事前準備 (3)
breakingRuler API フラグの名称変更
-experimental. を設定している場合に適用されます。
breakingAlertmanager API フラグの名称変更
-experimental. を設定している場合に適用されます。
breakingUsers Scanner の更新間隔設定の名称変更
-*.、clean_up_interval のいずれかを設定している場合に適用されます。
設定とフラグに互換性へ影響する変更があり、拡張機能とプロトコル対応が広がっています。CVE-2026-27135 対応やバイパス、インジェクション対策を含むセキュリティ修正に加え、正確性と可観測性に関する改善も含まれます。
要対応 (1)
securityhighnghttp2 の **CVE-2026-27135** 対応
nghttp2 に **CVE-2026-27135** の修正パッチが適用されました。
影響確認 (6)
securityquery_parameter_mutations の値を URL エンコード
query_parameter_mutations を設定している場合に適用されます。
securityRBAC の連結ベースのバイパスを修正
RBAC が実行される場合に適用されます。
breakingmax_early_data_bytes の明示設定を必須化
upstream_connect_mode に IMMEDIATE 以外の値を設定し、max_early_data_bytes を設定していない場合に適用されます。
事前準備 (1)
deprecatedenforce_rsa_key_usage の非推奨化削除時期は未定
enforce_rsa_key_usage を設定している場合に適用されます。
セキュリティ修正を中心としたリリースです。依存関係の更新に加え、デフォルト値やアクセス制限が変わる修正が含まれるため、該当する構成ではアップグレードの確認が必要です。
要対応 (12)
securitycriticalCVE-2025-68121の修正
CVE-2025-68121を修正しました。
securitycriticalCVE-2026-33186の修正
CVE-2026-33186を修正しました。
securityhighCVE-2026-24051の修正
release 1.16でCVE-2026-24051を修正しました。
securityhighgithub.の更新
github.を更新し、CVE-2025-15558を解消しました。
securityhighCVE-2025-66564の修正
CVE-2025-66564を解消しました。
securitymediumsigstore/rekor v1.5.1への更新
sigstore/rekorをv1.5.1に更新し、CVE-2026-23831を修正しました。
securitymediumgo-tuf/v2 v2.3.1への更新
go-tuf/v2をv2.3.1に更新し、CVE-2026-23992に対応しました。
securitymediumCVE-2026-22772の修正
CVE-2026-22772を修正しました。
securitymediumgo-tuf/v2 v2.4.1への更新
go-tuf/v2をv2.4.1に更新し、CVE-2026-24686に対応しました。
securitylowCVE-2026-1229の修正
release-1.16でCVE-2026-1229を修正しました。
securitylowCVE-2026-26958の修正
CVE-2026-26958を修正しました。
securitystdlibのCVE修正
stdlibに関するCVEを修正しました。
影響確認 (3)
securitycriticalnamespaced policiesのHTTP無効化
namespaced policiesを設定している場合に適用されます。
securitygo < 1.のCVE修正
go < 1.に依存している場合に適用されます。
breakingnamespaced policiesのconfigmapアクセス制限
namespaced policiesを設定している場合に適用されます。
複数の正確性修正と、CVEに関連する変更を含むセキュリティ修正が入っています。セキュリティ修正を得るにはアップグレードが必要で、デフォルト値とアクセス制約の変更も確認が必要です。
要対応 (6)
securitycriticalCVE-2026-33186 の修正
CVE-2026-33186 を修正しました。
securityhighCVE-2026-24051 の修正
CVE-2026-24051 を修正しました。
securityhighCVE-2026-34986 の修正
CVE-2026-34986 を修正しました。
securitylowCVE-2026-1229 の修正
CVE-2026-1229 を修正しました。
securityCVES 2026-15558 の修正
CVES 2026-15558 を修正しました。
securitygo の更新による標準ライブラリのCVE修正
go を更新し、標準ライブラリのCVEを修正しました。
影響確認 (2)
securitycriticalnamespaced policies のデフォルトでの HTTP 無効化
namespaced policies を設定している場合に適用されます。
breakingnamespaced policies の configmap アクセス制限
namespaced policies を設定している場合に適用されます。
API、設定、CLI のデフォルト、スケジューリング、ランタイム、フィーチャーゲート、メトリクス、依存関係にまたがる変更を含む、運用への影響が広いリリースです。削除や非推奨化、成熟度の移行もあるため、アップグレード前の確認とテストが必要です。セキュリティアドバイザリや、明示的に記載された脆弱性は確認されていません。
要対応 (11)
breakingStrictIPCIDRValidation のデフォルト有効化
kube-apiserver の StrictIPCIDRValidation フィーチャーゲートがデフォルトで有効になりました。
breakingデバッグプロファイルのデフォルト変更
デバッグプロファイルのデフォルトが legacy から general に変更されました。
breakingWatchCacheInitializationPostStartHook のデフォルト有効化
WatchCacheInitializationPostStartHook フィーチャーゲートがデフォルトで有効になりました。
breakingKubeletPSI の GA 移行
KubeletPSI が GA に移行し、デフォルトで有効になりました。
breakingRelaxedServiceNameValidation のベータ移行
RelaxedServiceNameValidation フィーチャーゲートがベータ版に移行し、デフォルトで有効になりました。
breakingRestartAllContainersOnContainerExits のベータ移行
RestartAllContainersOnContainerExits フィーチャーゲートがベータ版に移行し、デフォルトで有効になりました。
breaking中断ジョブ関連フィーチャーゲートのデフォルト有効化
MutablePodResourcesForSuspendedJobs と MutableSchedulingDirectivesForSuspendedJobs がデフォルトで有効になりました。
breakingInformer のストア更新順序変更
Informer のデフォルト動作が変わり、list または relist に含まれるすべてのオブジェクトでストア状態を更新してから、個々の削除、追加、更新に対する OnDelete、OnAdd、OnUpdate を呼び出すようになりました。
breakingInformer の watch イベント処理変更
Informer は、キューに入ったイベントの処理中でも新しい watch イベントをキューに追加できるようになりました。
breakingクライアント CA ローテーション機能のデフォルト有効化
この機能がデフォルトで有効になり、ClientsAllowCARotation フィーチャーゲートで無効にできます。
breakingTLS キャッシュ GC 機能のデフォルト有効化
この機能がデフォルトで有効になり、ClientsAllowTLSCacheGC フィーチャーゲートで制御できるようになりました。
影響確認 (25)
breakingvolume_operation_total_errors メトリクスの名称変更
volume_operation_total_errors を利用している場合に該当します。
breakinggit-repo ボリュームプラグインの無効化
git-repo ボリュームプラグインを利用している場合に該当します。
breakingCredential plugin 許可リストのフィールド名変更
AllowlistEntry. を設定している場合に該当します。
事前準備 (6)
deprecatedService . の非推奨化
Service の . を設定している場合に該当します。
deprecatedmetav1. の直接アクセスを非推奨化
metav1. を利用している場合に該当します。
deprecatedスコア設定フィールドの非推奨化
MinNodeScore または MaxNodeScore を利用している場合に該当します。
運用者向けの機能追加と複数の不具合修正を含むリリースです。開示されたGo依存関係の脆弱性に対処するため、アップグレードが直ちに必要です。その他の変更は、新しいオプションを選ぶ場合や影響を受ける挙動を利用している場合に対応が必要です。
要対応 (1)
securitycriticalGo 1.への更新と脆弱性修正の取り込み
Go 1.でビルドされ、CVE-2026-32282、CVE-2026-32289、CVE-2026-33810、CVE-2026-27144、CVE-2026-27143、CVE-2026-32288、CVE-2026-32283、CVE-2026-27140、CVE-2026-32936、CVE-2026-33190、CVE-2026-33489、CVE-2026-32934、CVE-2026-35579のセキュリティ修正が含まれています。
影響確認 (1)
breakingDoHのGET DNSクエリパラメータのサイズ検証
DoHを使用している場合に適用されます。
Luaコードインジェクションによる任意コード実行の脆弱性を修正しています。Envoy 1.35.0以降が必要となり、依存先はv1.35.10へ更新されています。Kubernetes 1.32から1.34でテストされています。
影響確認 (2)
securityhighHTTPProxy の cookieRewritePolicies[]. によるコード実行脆弱性の修正
HTTPProxy リソースを使用している場合に該当します。
breakingEnvoy 1.35.0以降への対応
Envoy に依存している場合に適用されます。
