リリース

security機密情報の平文ログ出力への対処
コードスキャンアラートno. 2992で指摘された、機密情報の平文ログ出力に対処しました。
securityGetBackupsのディレクトリトラバーサル対策
ファイルバックアップストレージのGetBackups RPCにおけるディレクトリトラバーサルに対処しました。
breaking修飾なしの*を含むSELECTの扱い変更
SELECTリストでカンマの後に修飾なしの*を指定した場合、vtgateが拒否するようになりました。

影響確認 (12)

securityMANIFESTからの圧縮解除コマンド読み込み変更
適用対象はリリースノートに明記されていません。
securityバックアップMANIFESTを介した外部コマンド実行の制限
バックアップストレージを使用している場合に適用されます。
securitybackupengineのパストラバーサル対策
backupengineが実行される場合に適用されます。
リリースページにあと 9 件

事前準備 (4)

deprecatedglogの非推奨化v25で削除予定
glogを使用している場合に適用されます。
deprecatedOpenTracingバックエンドの非推奨化v25で削除予定
opentracing-jaegerまたはopentracing-datadogを使用している場合に適用されます。
deprecatedVTOrc Snapshot Topology機能の非推奨化v25で削除予定
--snapshot-topology-intervalを設定している場合に適用されます。
リリースページにあと 1 件

原文 ↗

Karmadav1.17.2Orchestration & Management2026年4月30日

ACTION 1OTHER 5分析を詳しく見る

v1.17.2では、セキュリティ上の懸念に対応するため、alpine のベースイメージが更新されています。この依存関係の更新にはアップグレードが必要です。

要対応 (1)

securityalpine ベースイメージの更新
セキュリティ上の懸念への対応として、ベースイメージ alpine が alpine:3.23.3 から alpine:3.23.4 に更新されました。

原文 ↗

Karmadav1.15.8Orchestration & Management2026年4月30日

ACTION 1OTHER 3分析を詳しく見る

オペレーターとスケジューラーの動作不具合が修正され、セキュリティ上の懸念に対応するベースイメージの更新も行われています。alpine は alpine:3.23.3 から alpine:3.23.4 に更新されました。

要対応 (1)

securityalpine ベースイメージの更新
セキュリティ上の懸念への対応として、ベースイメージ alpine が alpine:3.23.3 から alpine:3.23.4 に更新されました。

原文 ↗

Backstagev1.50.4CI/CD & App Delivery2026年4月29日

CHECK 1分析を詳しく見る

Backstageカタログ関連の3つのパッケージに、内容が公開されていないセキュリティ修正が含まれています。該当するパッケージを使用している場合は、アップグレードが必要です。

影響確認 (1)

securityBackstageカタログ関連パッケージのセキュリティ修正
@backstage/plugin-catalog-backend-module-unprocessed、@backstage/plugin-catalog-unprocessed-entities-common version、または@backstage/plugin-catalog-unprocessed-entitiesを使用している場合に適用されます。

原文 ↗

KServev0.18.0AI & ML2026年4月29日

ACTION 3CHECK 2OTHER 61分析を詳しく見る

運用者向けの修正や新機能、APIおよび設定の変更、依存関係の更新を含むリリースです。明示されたセキュリティ修正も含まれます。

要対応 (3)

securityhighPyJWT の CVE-2026-32597 対応
PyJWT の crit ヘッダー検証に関する CVE-2026-32597 を修正しました。
securityhighpyasn1 の CVE-2026-30922 対応
pyasn1 の DoS 脆弱性に関する CVE-2026-30922 を修正しました。
breakingMaxReplicas の必須化
MaxReplicas が必須の int32 になりました。

影響確認 (2)

breakingcert-hash 再起動アノテーションの削除
cert-hash を設定している場合に適用されます。
breakingPYTHONPATH 環境変数の遮断
PYTHONPATH を設定している場合に適用されます。

原文 ↗

Kyvernov1.18.0Security2026年4月29日

ACTION 4CHECK 2OTHER 102分析を詳しく見る

オペレーター機能を加え、設定、Helm、CLIの改善を含む機能・保守リリースです。多数の不具合修正や出力・依存関係の更新に加え、アクセス制約の見直しとCVE関連の問題3件への修正が含まれます。

要対応 (4)

securityhigh中間証明書の制限によるCVE-2026-32280対策
中間証明書の数を制限し、CVE-2026-32280の影響を抑える修正を加えました。
securityhighGo toolchainの1.26.2への更新
Go toolchainを1.26.2へ更新し、CVE-2026-32283を修正しました。
securitymediumgo-tuf/v2のv2.4.1への更新
go-tuf/v2をv2.4.1へ更新し、CVE-2026-24686を修正しました。
security標準ライブラリのCVE修正
標準ライブラリに関するCVEを修正しました。

影響確認 (2)

breakingnamespaced policiesのconfigmapアクセス制限
namespaced policiesを使用している場合に適用されます。
breakingアンインストール時のfinalizersと回避策の削除
アンインストールを実行する場合に適用されます。

原文 ↗

SPIREv1.14.6Security2026年4月27日

CHECK 2分析を詳しく見る

セキュリティ上の脆弱性を修正したリリースです。運用環境では更新が推奨されます。

影響確認 (2)

securityaws_iid の PKCS7 認証におけるアイデンティティ検証の修正
aws_iid サーバーノードアテスタープラグインを使用している場合に適用されます。
security参加トークンの並行認証処理を修正
適用対象はリリースノートに明記されていません。

原文 ↗

SPIREv1.13.6Security2026年4月27日

CHECK 1OTHER 1分析を詳しく見る

ノード認証時の身元確認に関わる問題を修正したリリースです。aws_iid サーバーノードアテスタープラグインを利用している環境が対象です。

影響確認 (1)

securityaws_iid の RSA-2048 PKCS7 ノード認証における身元文書検証の修正
aws_iid サーバーノードアテスタープラグインを使用している場合に適用されます。

原文 ↗

NATSv2.12.8Networking & Messaging2026年4月27日

ACTION 1OTHER 22分析を詳しく見る

セキュリティと動作の正確性、性能に関する修正に加え、依存関係およびツールチェーンのマニフェストも更新されています。多くの修正は、アップグレード以外の運用作業を必要としません。

要対応 (1)

security/connz における bearer JWTs の非開示
監視エンドポイント /connz が bearer JWTs を開示しなくなりました。

原文 ↗

NATSv2.11.17Networking & Messaging2026年4月27日

CHECK 2OTHER 7分析を詳しく見る

Goツールチェーンが更新され、NATSサーバーの複数の不具合が修正されています。認証情報の漏えいと秘匿情報のマスキングに関するセキュリティ修正も含まれます。依存関係マニフェストの項目は変更記録とは別に扱われています。

影響確認 (2)

security/connz監視エンドポイントでのbearer JWT非開示
/connz監視エンドポイントを使用している場合に適用されます。
securityコマンドライン引数で渡したrouteとcluster URLシークレットのマスキング
routeとcluster URLのシークレットをコマンドライン引数として渡す場合に適用されます。

原文 ↗

Prometheusv3.11.3Observability2026年4月27日

CHECK 3分析を詳しく見る

セキュリティ上の不具合を、勧告識別子付きで修正しています。該当する機能を利用している場合は、このリリースへの更新が対応事項です。

影響確認 (3)

securityhighAzureAD remote writeのOAuth client_secret露出を修正
AzureAD remote writeを利用している場合に適用されます。
securityhighRemote-readの圧縮リクエスト長検証を修正
Remote-readを利用している場合に適用されます。
securitymedium旧UIヒートマップチャートのleラベル値処理を修正
old UI heatmap chartを利用している場合に適用されます。

原文 ↗

OpenFGAv1.15.0Security2026年4月27日

ACTION 1OTHER 2分析を詳しく見る

このリリースでは、Go ツールチェーンを 1.26.2 に更新しています。Go標準ライブラリの脆弱性への対応を含むため、ビルドや実行環境で使用するツールチェーンの確認に関係します。

要対応 (1)

securityGo ツールチェーンを 1.26.2 に更新
ツールチェーンの Go を 1.26.2 に更新しました。Go標準ライブラリで報告された脆弱性に対応する更新です。

原文 ↗

Prometheusv3.5.3Observability2026年4月27日

CHECK 4分析を詳しく見る

運用者向けのセキュリティ修正を含み、公開状態になっていた秘密情報と保存型XSSを修正しています。リモートの読み書きリクエストでは、展開後サイズが上限を超えるデータを拒否する検証が強化されています。

影響確認 (4)

securityhighAzureAD remote writeにおけるclient_secret露出の修正
AzureAD remote writeを利用している場合に適用されます。
securityhighRemote-readの展開後サイズ検証
Remote-readを利用している場合に適用されます。
securitymedium旧UIヒートマップの保存型XSS修正
UIを利用している場合に適用されます。
リリースページにあと 1 件

原文 ↗

Flatcar Container Linuxlts-4081.3.7Provisioning & Runtime2026年4月27日

ACTION 1OTHER 3分析を詳しく見る

このリリースは、セキュリティ対応を主な内容としています。セキュリティ修正について、アップグレード以外の設定変更や互換性対応は記載されていません。

要対応 (1)

securitycriticalLinux のセキュリティ修正
Linux に多数のセキュリティ修正が含まれています。対象には、記載された CVE-2023-52435 などのアドバイザリが含まれます。

原文 ↗

Flatcar Container Linuxstable-4593.2.0Provisioning & Runtime2026年4月27日

ACTION 18CHECK 1OTHER 99分析を詳しく見る

Linuxと同梱コンポーネントのセキュリティ修正を中心に、依存関係の更新が含まれています。minimal-initrdに伴う回帰の修正や、サービスの起動設定、SSH設定、利用できるカーネルモジュールの構成変更もあります。

要対応 (18)

securitycriticalLinuxの追加セキュリティ修正
Linuxのセキュリティ修正として、CVE-2026-31411を含む更新が反映されています。
securityhighcurlのセキュリティ修正
curlのセキュリティ修正が反映されています。
securityhighexpatのセキュリティ修正
expatのセキュリティ修正が反映されています。
securityhighgnupgのセキュリティ修正
gnupgのセキュリティ修正が反映されています。
securityhighgoのセキュリティ修正
goのセキュリティ修正が反映されています。
securityhighintel-microcodeのセキュリティ修正
intel-microcodeのセキュリティ修正が反映されています。
securityhighlibxsltのセキュリティ修正
libxsltのセキュリティ修正が反映されています。
securityhighnvidia-driversのセキュリティ修正
nvidia-driversのセキュリティ修正が反映されています。
securityhighopensslのセキュリティ修正
opensslのセキュリティ修正が反映されています。
securityhighpamのセキュリティ修正
pamのセキュリティ修正が反映されています。
securitymediumbinutilsのセキュリティ修正
binutilsのセキュリティ修正が反映されています。
securitymediumcoreutilsのセキュリティ修正
coreutilsのセキュリティ修正が反映されています。
securitymediumlibpcre2のセキュリティ修正
libpcre2のセキュリティ修正が反映されています。
securitymediumnet-toolsのセキュリティ修正
net-toolsのセキュリティ修正が反映されています。
securitylowopensshのセキュリティ修正
opensshのセキュリティ修正が反映されています。
securitylibxml2の更新
libxml2がlibxml2-20250908に更新されています。
breakingsshdでOpenSSHのデフォルト設定を使用
sshdの設定からCiphers、MACs、KexAlgorithmsが削除され、OpenSSHの上流デフォルトが使われるようになっています。
breaking最初のinitrdで利用できるカーネルモジュールの縮小
最初のinitrdで利用できるカーネルモジュールの数が減っています。

影響確認 (1)

breakingoverlaybd sysextのサービスを自動起動
overlaybd sysextを使用している場合に適用されます。

原文 ↗

wasmCloudv2.0.5Orchestration & Management2026年4月24日

ACTION 1OTHER 4分析を詳しく見る

wasmcloud v2.0.5では、rustls-webpkiに関するセキュリティ更新が行われています。RUSTSEC-2026-0049の影響を確認している環境に関係するリリースです。

要対応 (1)

securityrustls-webpkiのセキュリティ更新
rustls-webpkiのセキュリティ更新として、RUSTSEC-2026-0049に対応しました。

原文 ↗

Crossplanev1.20.7Orchestration & Management2026年4月24日

ACTION 1分析を詳しく見る

v1.20.7では、Goツールチェーンのバージョンが更新されています。Goのバージョンを運用環境で確認している場合に関係します。

要対応 (1)

securityGoツールチェーンを1.25.9へ更新
Goが1.25.9に更新されました。

原文 ↗

Envoyv1.38.0Networking & Messaging2026年4月23日

ACTION 1CHECK 6PLAN 1OTHER 77分析を詳しく見る

設定とフラグに互換性へ影響する変更があり、拡張機能とプロトコル対応が広がっています。CVE-2026-27135 対応やバイパス、インジェクション対策を含むセキュリティ修正に加え、正確性と可観測性に関する改善も含まれます。

要対応 (1)

securityhighnghttp2 の **CVE-2026-27135** 対応
nghttp2 に **CVE-2026-27135** の修正パッチが適用されました。

影響確認 (6)

securityquery_parameter_mutations の値を URL エンコード
query_parameter_mutations を設定している場合に適用されます。
securityRBAC の連結ベースのバイパスを修正
RBAC が実行される場合に適用されます。
breakingmax_early_data_bytes の明示設定を必須化
upstream_connect_mode に IMMEDIATE 以外の値を設定し、max_early_data_bytes を設定していない場合に適用されます。
リリースページにあと 3 件

事前準備 (1)

deprecatedenforce_rsa_key_usage の非推奨化削除時期は未定
enforce_rsa_key_usage を設定している場合に適用されます。

原文 ↗

Kyvernov1.16.4Security2026年4月23日

ACTION 12CHECK 3OTHER 2分析を詳しく見る

セキュリティ修正を中心としたリリースです。依存関係の更新に加え、デフォルト値やアクセス制限が変わる修正が含まれるため、該当する構成ではアップグレードの確認が必要です。

要対応 (12)

securitycriticalCVE-2025-68121の修正
CVE-2025-68121を修正しました。
securitycriticalCVE-2026-33186の修正
CVE-2026-33186を修正しました。
securityhighCVE-2026-24051の修正
release 1.16でCVE-2026-24051を修正しました。
securityhighgithub.com/docker/cliの更新
github.com/docker/cliを更新し、CVE-2025-15558を解消しました。
securityhighCVE-2025-66564の修正
CVE-2025-66564を解消しました。
securitymediumsigstore/rekor v1.5.1への更新
sigstore/rekorをv1.5.1に更新し、CVE-2026-23831を修正しました。
securitymediumgo-tuf/v2 v2.3.1への更新
go-tuf/v2をv2.3.1に更新し、CVE-2026-23992に対応しました。
securitymediumCVE-2026-22772の修正
CVE-2026-22772を修正しました。
securitymediumgo-tuf/v2 v2.4.1への更新
go-tuf/v2をv2.4.1に更新し、CVE-2026-24686に対応しました。
securitylowCVE-2026-1229の修正
release-1.16でCVE-2026-1229を修正しました。
securitylowCVE-2026-26958の修正
CVE-2026-26958を修正しました。
securitystdlibのCVE修正
stdlibに関するCVEを修正しました。

影響確認 (3)

securitycriticalnamespaced policiesのHTTP無効化
namespaced policiesを設定している場合に適用されます。
securitygo < 1.25.8のCVE修正
go < 1.25.8に依存している場合に適用されます。
breakingnamespaced policiesのconfigmapアクセス制限
namespaced policiesを設定している場合に適用されます。

原文 ↗

Kyvernov1.17.2Security2026年4月23日

ACTION 6CHECK 2OTHER 17分析を詳しく見る

複数の正確性修正と、CVEに関連する変更を含むセキュリティ修正が入っています。セキュリティ修正を得るにはアップグレードが必要で、デフォルト値とアクセス制約の変更も確認が必要です。

要対応 (6)

securitycriticalCVE-2026-33186 の修正
CVE-2026-33186 を修正しました。
securityhighCVE-2026-24051 の修正
CVE-2026-24051 を修正しました。
securityhighCVE-2026-34986 の修正
CVE-2026-34986 を修正しました。
securitylowCVE-2026-1229 の修正
CVE-2026-1229 を修正しました。
securityCVES 2026-15558 の修正
CVES 2026-15558 を修正しました。
securitygo の更新による標準ライブラリのCVE修正
go を更新し、標準ライブラリのCVEを修正しました。

影響確認 (2)

securitycriticalnamespaced policies のデフォルトでの HTTP 無効化
namespaced policies を設定している場合に適用されます。
breakingnamespaced policies の configmap アクセス制限
namespaced policies を設定している場合に適用されます。

原文 ↗

CoreDNSv1.14.3Kubernetes Core2026年4月22日

ACTION 1CHECK 1OTHER 34分析を詳しく見る

運用者向けの機能追加と複数の不具合修正を含むリリースです。開示されたGo依存関係の脆弱性に対処するため、アップグレードが直ちに必要です。その他の変更は、新しいオプションを選ぶ場合や影響を受ける挙動を利用している場合に対応が必要です。

要対応 (1)

securitycriticalGo 1.26.2への更新と脆弱性修正の取り込み
Go 1.26.2でビルドされ、CVE-2026-32282、CVE-2026-32289、CVE-2026-33810、CVE-2026-27144、CVE-2026-27143、CVE-2026-32288、CVE-2026-32283、CVE-2026-27140、CVE-2026-32936、CVE-2026-33190、CVE-2026-33489、CVE-2026-32934、CVE-2026-35579のセキュリティ修正が含まれています。

影響確認 (1)

breakingDoHのGET DNSクエリパラメータのサイズ検証
DoHを使用している場合に適用されます。

原文 ↗

cert-managerv1.19.5Security2026年4月21日

ACTION 2OTHER 1分析を詳しく見る

報告された脆弱性への対応として、依存関係とgoの更新を含むリリースです。脆弱性に関わる変更があるため、アップグレードが推奨されます。

要対応 (2)

securityGo依存関係の更新
報告された脆弱性に対応するため、Go依存関係を更新しました。
securitygo 1.25.8への更新
報告された複数の脆弱性に対応するため、goを1.25.8へ更新しました。

原文 ↗

Contourv1.33.4Networking & Messaging2026年4月20日

CHECK 2OTHER 2分析を詳しく見る

Luaコードインジェクションによる任意コード実行の脆弱性を修正しています。Envoy 1.35.0以降が必要となり、依存先はv1.35.10へ更新されています。Kubernetes 1.32から1.34でテストされています。

影響確認 (2)

securityhighHTTPProxy の cookieRewritePolicies[].pathRewrite.value によるコード実行脆弱性の修正
HTTPProxy リソースを使用している場合に該当します。
breakingEnvoy 1.35.0以降への対応
Envoy に依存している場合に適用されます。

原文 ↗

Contourv1.32.5Networking & Messaging2026年4月20日

ACTION 1OTHER 1分析を詳しく見る

このリリースでは、Luaコードインジェクションの脆弱性が修正され、Envoyがv1.34.14へ更新されています。セキュリティ修正とEnvoyのバージョン更新を確認するリリースです。

要対応 (1)

securityhighCVE-2026-41246のLuaコードインジェクション修正
CVE-2026-41246（GHSA-x4mj-7f9g-29h4）として報告されたLuaコードインジェクションの脆弱性を修正しました。

原文 ↗

Contourv1.31.6Networking & Messaging2026年4月20日

CHECK 1OTHER 2分析を詳しく見る

Luaコードインジェクション脆弱性の修正を含むリリースです。Envoyはv1.34.14に更新され、Kubernetes 1.30から1.32まででテストされています。

影響確認 (1)

securityhighCookie RewritingのLuaコードインジェクション脆弱性を修正
cookieRewritePolicies[].pathRewrite.value を設定している場合に適用されます。

原文 ↗

Crossplanev2.2.1Orchestration & Management2026年4月20日

ACTION 10OTHER 3分析を詳しく見る

このリリースでは、セキュリティ対応として Go と複数の依存モジュールを更新しています。依存関係の更新を取り込む環境に関係するリリースです。

要対応 (10)

securitygithub.com/cloudflare/circl の v1.6.3 への更新
github.com/cloudflare/circl を v1.6.3 に更新しました。
securityotlptracehttp の v1.43.0 への更新
go.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttp を v1.43.0 に更新しました。
securitygithub.com/go-jose/go-jose/v4 の v4.1.4 への更新
github.com/go-jose/go-jose/v4 を v4.1.4 に更新しました。
securitygithub.com/sigstore/cosign/v3 の v3.0.5 への更新
github.com/sigstore/cosign/v3 を v3.0.5 に更新しました。
securitygithub.com/go-git/go-git/v5 の v5.17.1 への更新
github.com/go-git/go-git/v5 を v5.17.1 に更新しました。
securitygithub.com/docker/cli の v29.2.0+incompatible への更新
github.com/docker/cli を v29.2.0+incompatible に更新しました。
securityGo の 1.25.9 への更新
Go を 1.25.9 に更新しました。
securitygithub.com/moby/spdystream の v0.5.1 への更新
github.com/moby/spdystream を v0.5.1 に更新しました。
securitygithub.com/sigstore/timestamp-authority/v2 の v2.0.6 への更新
github.com/sigstore/timestamp-authority/v2 を v2.0.6 に更新しました。
securitygithub.com/go-git/go-git/v5 の v5.18.0 への更新
github.com/go-git/go-git/v5 を v5.18.0 に更新しました。

原文 ↗

Crossplanev2.1.5Orchestration & Management2026年4月20日

ACTION 10OTHER 4分析を詳しく見る

Crossplane v2.1.5は、依存関係とGoツールチェーンのセキュリティ対応を中心としたリリースです。複数のモジュールが新しいバージョンに更新されています。

要対応 (10)

securitygithub.com/cloudflare/circl の v1.6.3 への更新
セキュリティ対応として、github.com/cloudflare/circl を v1.6.3 に更新しました。
securitygoogle.golang.org/grpc の v1.79.3 への更新
セキュリティ対応として、google.golang.org/grpc を v1.79.3 に更新しました。
securitygo.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttp の v1.43.0 への更新
セキュリティ対応として、go.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttp を v1.43.0 に更新しました。
securitygithub.com/go-jose/go-jose/v4 の v4.1.4 への更新
セキュリティ対応として、github.com/go-jose/go-jose/v4 を v4.1.4 に更新しました。
securityGo 1.25.9 への更新
セキュリティ対応として、Go を 1.25.9 に更新しました。
securitygithub.com/go-git/go-git/v5 の v5.17.1 への更新
セキュリティ対応として、github.com/go-git/go-git/v5 を v5.17.1 に更新しました。
securitygithub.com/moby/spdystream の v0.5.1 への更新
セキュリティ対応として、github.com/moby/spdystream を v0.5.1 に更新しました。
securitygithub.com/sigstore/timestamp-authority/v2 の v2.0.6 への更新
セキュリティ対応として、github.com/sigstore/timestamp-authority/v2 を v2.0.6 に更新しました。
securitygithub.com/docker/cli の v29.2.0+incompatible への更新
セキュリティ対応として、github.com/docker/cli を v29.2.0+incompatible に更新しました。
securitygithub.com/go-git/go-git/v5 の v5.18.0 への更新
セキュリティ対応として、github.com/go-git/go-git/v5 を v5.18.0 に更新しました。

原文 ↗

Crossplanev2.0.8Orchestration & Management2026年4月20日

ACTION 9OTHER 3分析を詳しく見る

v2.0.8では、運用時に確認される不具合を修正し、Goと複数の依存モジュールを更新しました。セキュリティ更新の詳細な開示内容は示されず、対象コンポーネントのみが記載されています。

要対応 (9)

securitygithub.com/cloudflare/circlをv1.6.3へ更新
github.com/cloudflare/circlをv1.6.3へ更新しました。
securityotlptracehttpをv1.43.0へ更新
go.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttpをv1.43.0へ更新しました。
securitygithub.com/go-jose/go-jose/v4をv4.1.4へ更新
github.com/go-jose/go-jose/v4をv4.1.4へ更新しました。
securityGo 1.25.9への更新
Goを1.25.9へ更新しました。
securitygithub.com/go-git/go-git/v5をv5.17.1へ更新
github.com/go-git/go-git/v5をv5.17.1へ更新しました。
securitygithub.com/moby/spdystreamをv0.5.1へ更新
github.com/moby/spdystreamをv0.5.1へ更新しました。
securitygithub.com/docker/cliをv29.2.0+incompatibleへ更新
github.com/docker/cliをv29.2.0+incompatibleへ更新しました。
securitygithub.com/sigstore/timestamp-authority/v2をv2.0.6へ更新
github.com/sigstore/timestamp-authority/v2をv2.0.6へ更新しました。
securitygithub.com/go-git/go-git/v5をv5.18.0へ更新
github.com/go-git/go-git/v5をv5.18.0へ更新しました。

原文 ↗

Crossplanev1.20.6Orchestration & Management2026年4月20日

ACTION 5OTHER 1分析を詳しく見る

このリリースでは、依存関係の更新によってセキュリティ修正が取り込まれています。該当する依存関係を利用している環境では、修正を得るためにアップグレードが必要です。

要対応 (5)

securitygithub.com/cloudflare/circl を v1.6.3 に更新
github.com/cloudflare/circl が v1.6.3 に更新されました。セキュリティ修正を含む依存関係の更新です。
securityOTLPトレースHTTPエクスポーターを v1.43.0 に更新
go.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttp が v1.43.0 に更新されました。セキュリティ修正を含む依存関係の更新です。
securitygithub.com/go-git/go-git/v5 を v5.17.1 に更新
github.com/go-git/go-git/v5 が v5.17.1 に更新されました。セキュリティ修正を含む依存関係の更新です。
securitygithub.com/moby/spdystream を v0.5.1 に更新
github.com/moby/spdystream が v0.5.1 に更新されました。セキュリティ修正を含む依存関係の更新です。
securitygithub.com/go-git/go-git/v5 を v5.18.0 に更新
github.com/go-git/go-git/v5 が v5.18.0 に更新されました。セキュリティ修正を含む依存関係の更新です。

原文 ↗

Daprv1.15.14Orchestration & Management2026年4月16日

ACTION 2分析を詳しく見る

このリリースは、アクセス制御と実行時の依存関係に関わるセキュリティ更新を含みます。サービス呼び出しの経路やGoの1.24系を利用する環境では、変更内容の確認が関係します。

要対応 (2)

securityACLチェックと送信処理で正規化形式を統一
正規化した形式をACLチェックと外向きのディスパッチの両方で使うようになり、両者の不一致が解消されています。
securityGoの1.24系CVE対応に伴うバージョン更新
Goのバージョンが更新され、1.24系のCVEへの対応が行われています。

原文 ↗

Daprv1.17.5Orchestration & Management2026年4月16日

ACTION 1分析を詳しく見る

Dapr v1.17.5では、ACLチェックと送信処理で使う正規化形式の不一致が修正されました。サービス呼び出しのアクセス制御ポリシーを利用する環境に関係する変更です。

要対応 (1)

securityACLチェックと送信処理での正規化形式の統一
正規化した形式をACLチェックと送信処理の両方で使うようになり、両者の不一致が解消されました。

原文 ↗

Daprv1.16.14Orchestration & Management2026年4月16日

ACTION 3OTHER 1分析を詳しく見る

サービス呼び出しでパスの正規化が一致しないことに起因するACLチェックの迂回を修正しました。メソッドパスの受け入れ条件を狭め、ACLパス処理からpurell依存関係を削除しています。

要対応 (3)

securityサービス呼び出し時のメソッドパス正規化を統一
サービス呼び出しの境界でメソッドパスを正規化します。HTTPおよびgRPCの公開API呼び出しではdirectMessaging.Invoke、gRPCの内部呼び出しではcallLocalValidateACL、プロキシ経由の呼び出しではgRPCプロキシハンドラーを使います。正規化後のパスをACLチェックと送信処理の両方に使うため、両者の不一致が解消されました。
securityメソッドパスの受け入れ条件を変更
メソッドパスの正規化にpath.Cleanを使い、../や重複したスラッシュを解決します。#、?、ヌルバイト、制御文字を含むメソッドパスは受け付けなくなりました。
securityACLパス処理からpurell依存関係を削除
ACLパス処理からpurell依存関係を削除しました。

原文 ↗

Ciliumv1.19.3Networking & Messaging2026年4月15日

ACTION 1OTHER 50分析を詳しく見る

このリリースでは、依存モジュールの更新が行われています。github.com/go-jose/go-jose/v4 を利用する環境が対象です。

要対応 (1)

securitygithub.com/go-jose/go-jose/v4 の v4.1.4 への更新
セキュリティ対応として、依存モジュール github.com/go-jose/go-jose/v4 を v4.1.4 に更新しました。

原文 ↗

Ciliumv1.18.9Networking & Messaging2026年4月15日

ACTION 2OTHER 39分析を詳しく見る

v1.18.9 は、動作の正確性を整える修正と依存関係の更新を含むリリースです。セキュリティに関わる変更も含まれます。

要対応 (2)

security正規表現の $ 文字のエスケープ
正規表現内の $ 文字をエスケープし、インジェクションを防ぐ修正です。
securitygithub.com/go-jose/go-jose/v4 の更新
セキュリティ関連の依存更新として、github.com/go-jose/go-jose/v4 を v4.1.4 に更新しました。

原文 ↗

Keycloak26.6.1Security2026年4月15日

ACTION 2OTHER 9分析を詳しく見る

Keycloak 26.6.1では、HTTPリダイレクト処理とidentity-first loginに関する修正が含まれます。これらの機能を利用する環境に関係するリリースです。

要対応 (2)

securitymediumCVE-2026-4366のHTTPリダイレクト処理におけるSSRF修正
HTTPリダイレクト処理を介したブラインドサーバーサイドリクエストフォージェリ（SSRF）を修正しました。対象はcoreです。
securitylowCVE-2026-4633のユーザー列挙問題の修正
identity-first loginでKeycloakユーザーを列挙できる問題を修正しました。対象はcoreです。

原文 ↗

Daprv1.16.13Orchestration & Management2026年4月15日

ACTION 1CHECK 1OTHER 5分析を詳しく見る

v1.16.13では、セキュリティに関わるGoの更新が行われています。スケジューラの信頼性とPulsarのpub/sub処理に関する修正も含まれます。

要対応 (1)

securityGoバージョンの更新
Goのバージョンが1.25.8から1.25.9に更新されました。

影響確認 (1)

breakingprocessModeの無効値検証
processModeを設定している場合に適用されます。

原文 ↗

2026年4月30日 – 2026年4月15日古い →

月別に見る