CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
依存関係とツールチェーンの更新に加え、JetStreamの性能と設定が改善されています。多数の正確性修正が含まれ、認証や権限に関する修正も記載されています。
影響確認 (4)
security空白だけの権限によるサーバークラッシュの修正
JWT 検証を利用している場合に適用されます。
空白文字だけの権限を使う場合でも、JWT 検証によってサーバーがクラッシュしなくなりました。
securityTLS verify_and_map の認証回避の修正
TLS verify_and_map を設定している場合に適用されます。
TLS verify_and_map が空のパスワードを持つユーザーを認証してしまう問題を修正しました。
securityMQTT クライアントの購読権限回避の修正
MQTT を利用している場合に適用されます。
MQTT クライアントが $MQTT. subject を購読できなくなり、権限確認を回避できる問題を修正しました。
Goツールチェーンと依存関係マニフェストが更新され、JetStreamの性能や設定に関する変更と、複数の正確性修正が含まれています。認証に関する2件の修正は、該当する設定を利用している場合にアップグレードが必要です。
要対応 (1)
breakingディスク同時実行用セマフォを4096スロットに変更
ディスク同時実行用セマフォのスロット数を、従来のCPUスケール方式から4096に増やしました。
影響確認 (2)
securityno_auth_user と auth callouts の認証チェックを修正
no_auth_user を設定し、auth callouts を使用している場合に適用されます。
no_auth_user と auth callouts を併用し、CONNECT メッセージが送られない場合でも認証チェックを省略しないよう修正しました。
securityTLS verify_and_map の認証バイパスを修正
TLS を使用し、verify_and_map を設定している場合に適用されます。
TLS の verify_and_map で空のパスワードを持つユーザーを認証してしまう認証バイパスを修正しました。
依存関係やツールチェーンのバージョン変更に加え、監視機能の変更、動作改善、不具合修正が含まれています。MQTTと認可に関わる修正はセキュリティ上の問題に対応していますが、アドバイザリ識別子は記載されていません。
影響確認 (3)
securityLeaf接続でのNats-Trace-Dest権限チェック回避を修正
Leaf接続を利用している場合に該当します。
Leaf接続がNats-Trace-Destのパブリッシュ権限チェックを回避しなくなりました。
security保持メッセージとQoS再送時のサブスクライブ拒否ルールを適用
MQTTを利用している場合に該当します。
保持メッセージの配信経路とQoS再送経路で、サブスクライブ拒否ルールが適用されるようになりました。
breaking監視エンドポイントのJSONPコールバック対応を削除
JSONPコールバック対応を利用している場合に該当します。
監視エンドポイントからJSONPコールバック対応が削除されました。
JetStream、運用、ロギング、subject transformに関する機能が追加され、いくつかの既定値とサポートされる動作も変わっています。JetStreamのstrict modeの扱いとダウングレード互換性を確認する必要があり、JetStreamの回帰も修正されています。追加機能の多くは、採用する場合に対応が必要です。
影響確認 (3)
breaking暗号スイートの既定動作変更
allow_insecure_cipher_suites を有効にする場合に適用されます。
crypto/tls の暗号スイートが追加されると自動的に取り込まれます。安全でない暗号スイートは既定で無効になり、allow_insecure_cipher_suites を有効にした場合に使用できます。
breakingJetStream strict modeの既定有効化
JetStreamを使用する場合に適用されます。
JetStreamのstrict modeが既定で有効になり、無効なJetStreamリクエストはログに記録されるだけでなく、クライアントにエラーを返して拒否されます。
breakingv2.12機能使用時のダウングレード制約
新しいv2.12機能を使用する場合に適用されます。
ダウングレード先はv2.11.9以降に限られます。新しいv2.12機能を使用するストリームやコンシューマーは、旧バージョンで未サポートまたはオフラインの状態になり、サーバーとデータを保護します。
JetStream、leafnode、設定、プロトコルに関する機能が追加され、Goツールチェーンのバージョンも変更されています。MQTTの保持メッセージのsubject制約が狭まり、ドメイン対応のackやフロー制御を有効にする環境ではACLの更新が必要です。
影響確認 (1)
breaking保持メッセージのsubjectにおけるASCII DELの制限
保持メッセージを利用している場合に適用されます。
保持メッセージのsubjectにASCII DEL文字（0x7F）を含められなくなりました（#8071）。
依存関係やツールチェーンのバージョン更新、設定上の制約変更、性能改善、正確性の修正を含むリリースです。ACL のバイパスを修正するセキュリティ関連の変更も含まれます。
影響確認 (3)
securityキューサブスクリプションによる ACL deny 回避を修正
キューサブスクリプションを使用し、非キュー ACL の deny パターンを設定している場合に適用されます。
キューサブスクリプションが、非キュー ACL の deny パターンを誤って回避することはなくなりました。
breakingno_auth_user の適用範囲をクライアント接続に限定
no_auth_user を設定している場合に適用されます。
no_auth_user はクライアント接続でのみ使用できるようになりました。
breakingsolicited leaf 接続以外での重複した INFO 権限更新を制限
solicited leaf 接続を使用している場合に適用されます。
重複した INFO 権限更新は、solicited leaf 接続でのみ受け付けるようになりました。
Goツールチェーンが更新され、認可、leafnode、WebSocket周りの動作が修正されています。no_auth_user や重複した leaf 権限更新の受け入れ条件も狭まり、既存の設定によっては確認が必要です。
影響確認 (2)
breakingno_auth_user の適用範囲をクライアント接続に限定
no_auth_user を設定している場合に該当します。
no_auth_user はクライアント接続にのみ設定できるよう制限されました。
breakingsolicited leaf接続でのみ受け付ける重複 INFO 権限更新
solicited leaf接続を利用している場合に該当します。
重複した INFO 権限更新は、solicited leaf接続でのみ受け付けるようになりました。
セキュリティ修正に加え、運用者の対応が必要になる権限や利用条件の変更、依存関係マニフェストの記載が含まれます。通常の正確性修正と改善も行われています。
要対応 (1)
breakingJWTのサイズ上限を1MBに変更
JWTのサイズ上限を1MBに設定しました。#7960に対応しています。
影響確認 (13)
securityhighMQTTに関する脆弱性の修正
MQTTを利用している場合に適用されます。
securityhighleafnodesに関する脆弱性の修正
leafnodesを利用している場合に適用されます。
CVE-2026-33218を修正しました。
securityhighコマンドラインで渡す認証情報に関する脆弱性の修正
コマンドラインで認証情報を渡している場合に適用されます。
CVE-2026-33247を修正しました。
開示済みのCVE識別子に関するセキュリティ修正に加え、正確性の修正、検証と権限制約の強化が含まれています。依存関係とツールチェーンも更新されています。
要対応 (1)
breakingJWTのサイズ上限を1MBに変更
JWTのサイズ上限を1MBに設定しました。
影響確認 (11)
securityhighMQTTに関するCVE-2026-33216、CVE-2026-33217、CVE-2026-33215の修正
MQTTを利用している場合に適用されます。
CVE-2026-33216、CVE-2026-33217、CVE-2026-33215を修正しました。
securityhighleafnodesに関するCVE-2026-33218の修正
leafnodesを利用している場合に適用されます。
CVE-2026-33218を修正しました。
securityhighコマンドラインの認証情報に関するCVE-2026-33247の修正
コマンドラインで認証情報を設定している場合に適用されます。
CVE-2026-33247を修正しました。
セキュリティ修正、正確性の修正、JetStream設定機能の拡張、依存関係の更新を含みます。クラスタ構成ではストリーム更新に関する回帰が報告されており、max_connsの挙動も変わっています。
影響確認 (3)
securityCVE-2026-29785の修正
leafnode compressionを有効にしている場合に適用されます。
leafnode compressionを有効にしたシステムに影響するCVE-2026-29785を修正しました。
securityCVE-2026-27889の修正
WebSocketsを有効にしている場合に適用されます。
WebSocketsを有効にしたシステムに影響するCVE-2026-27889を修正しました。
breakingmax_connsの0設定
サーバー設定でmax_connsを指定している場合に適用されます。
サーバー設定のmax_connsに0を指定できるようになり、受信するクライアント接続をすべて拒否できます。
