RATATOSKRATATOSK
ログイン

リリース

CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。

緊急度
すべて要対応影響確認事前準備
性格
すべてSecurityBreakingDeprecated
カテゴリ
すべてAI & MLCI/CD & App DeliveryKubernetes CoreNetworking & MessagingObservabilityOrchestration & ManagementProvisioning & RuntimeSecurityStorage & Data
2026年6月解除 ×
Helmv4.2.1Kubernetes Core2026年6月12日
ACTION 1OTHER 11分析を詳しく見る

Helm v4.2.1には、依存関係の更新が含まれています。golang.org/x/netはGO-2026-5026への対応としてv0.55.0に更新されています。

要対応 (1)

  • securitycriticalgolang.org/x/netのv0.55.0への更新

    GO-2026-5026への対応として、golang.org/x/netをv0.55.0へ更新しました。

原文 ↗
Helmv3.21.1Kubernetes Core2026年6月12日
ACTION 1OTHER 17分析を詳しく見る

依存関係の更新を含むリリースです。GO-2026-5026への対応が行われています。

要対応 (1)

  • securitycriticalgolang.org/x/netの更新

    GO-2026-5026への対応として、golang.org/x/netをv0.55.0に更新しました。

原文 ↗
Daprv1.18.0Orchestration & Management2026年6月10日
ACTION 8CHECK 6PLAN 1OTHER 108分析を詳しく見る

ワークフローとMCPの機能拡張を中心に、コントロールプレーン、API、コンポーネント、ライフサイクルに関わる変更が含まれています。バグ修正、依存関係や既定値の更新、互換性に関わる制約に加え、セキュリティ修正も含まれるため、アップグレード前に前提条件と設定への影響を確認する必要があります。

要対応 (8)

  • securitymediumgolang.org/x/imageの更新

    golang.org/x/imageがv0.39.0へ更新され、GO-2026-4962に対応しました。

  • securitydurabletask-goとpgxの更新

    durabletask-goがv0.12.1へ更新され、pgxも更新されました。

  • breakingWorkflowsRemoteActivityReminderのデフォルト有効化

    WorkflowsRemoteActivityReminderがデフォルトで有効になり、アプリ間のワークフローアクティビティ結果がSchedulerのリマインダー経由で配信されます。

  • breakingコンポーネント群のホットリロード

    HotReloadがデフォルトで有効になり、Components、Subscriptions、MCPServers、Configurations、HTTPEndpoints、Resiliencies、WorkflowAccessPoliciesがデフォルトでホットリロードされます。

  • breakingサイドカーのプローブ既定値の変更

    サイドカーのlivenessは、kubeletが再起動するまでの時間が約230秒となるよう緩和され、readinessはより短い時間で反応する設定になりました。

  • breakingHotReloadのデフォルト有効化

    HotReloadがv1.18でデフォルト有効になりました。

  • breakinglivenessとreadinessのプローブ既定値更新

    livenessの既定値が緩和され、readinessの既定値が厳格になりました。

  • breakingサイドカープローブ既定値の変更

    サイドカーのプローブ既定値が変更されました。livenessはkubelet再起動まで約230秒となるよう緩和され、readinessはcontrol-planeで約3秒、daprdで約5秒となるよう短縮されました。

影響確認 (6)

  • securityサービス呼び出しのパストラバーサル修正

    サービス呼び出しを利用している場合に適用されます。

  • breakingフィーチャーゲートの削除

    MCPServerResourceまたはWorkflowAccessPolicyのフィーチャーゲートを設定している場合に適用されます。

  • breaking旧バージョンへの直接ロールバック制約

    適用対象はリリースノートに明記されていません。

  • リリースページにあと 3 件

事前準備 (1)

  • deprecatedアルファ版スケジュールRPCの非推奨化

    ScheduleJobAlpha1を利用している場合に適用されます。

原文 ↗
Chaos Meshv2.8.3Observability2026年6月10日
ACTION 2OTHER 1分析を詳しく見る

コンテナイメージに関する非公開のCVE修正と、NetworkChaosの復旧不具合修正を含みます。その他の見出しでは、運用者向けの変更はありません。

要対応 (2)

  • securityGoツールチェーンとcontainerdの更新

    Goツールチェーンを1.25.11に、containerdを1.7.32にアップグレードしました。

  • securitymemStressとchaos-daemonイメージの更新

    memStressヘルパーを最新のGoツールチェーンで再ビルドし、chaos-daemonイメージをヘッドレスJREに切り替えました。使用したGoツールチェーンのバージョンはv0.3.1です。

原文 ↗
Open Policy Agent (OPA)v1.17.1Security2026年6月8日
ACTION 1分析を詳しく見る

Goの依存バージョンを更新し、標準ライブラリで報告された2件の脆弱性に対応しています。公式のOPAバイナリを利用している場合は更新が必要で、自前でバイナリやイメージをビルドしている場合はGoのバージョンを個別に管理してください。

要対応 (1)

  • securitymediumGo 1.26.4への更新による標準ライブラリの脆弱性修正

    OPAのビルドにGo 1.26.4を使用し、HTTP handlerとcrypto builtinsが利用する標準ライブラリの脆弱性GO-2026-5037およびGO-2026-5039を修正しました。

原文 ↗
Crossplanev1.20.9Orchestration & Management2026年6月5日
ACTION 1OTHER 2分析を詳しく見る

依存モジュールの更新を含むリリースです。golang.org/x/net の更新には [security] の印が付いていますが、具体的な脆弱性は示されていません。

要対応 (1)

  • securitygolang.org/x/net を v0.55.0 に更新

    依存モジュール golang.org/x/net を v0.55.0 に更新しました。変更には [security] の印が付いています。

原文 ↗
Cortexv1.21.1Observability2026年6月5日
CHECK 3OTHER 7分析を詳しく見る

セキュリティ上の問題への対処と、受信データのサイズ制限に関する修正が含まれます。対象となる機能を利用している構成では、関係する設定を確認する必要があります。

影響確認 (3)

  • securityステータスページの保存型XSS脆弱性を修正

    Alertmanager または Store Gateway を実行している場合に該当します。

  • securityネイティブヒストグラムのprotobufサイズ制限

    ネイティブヒストグラムを利用している場合に該当します。

  • breakinggzip展開後の出力サイズ制限

    OTLPの取り込み経路を利用している場合に該当します。

原文 ↗
OpenFGAv1.17.1Security2026年6月5日
ACTION 2OTHER 3分析を詳しく見る

このリリースには、Go標準ライブラリの脆弱性に対応するツールチェーンと関連イメージの更新が含まれています。これらの対応を反映するには、リリースのアップグレードが必要です。

要対応 (2)

  • securityGoツールチェーンの1.26.4への更新

    ツールチェーンのGoを1.26.4へ更新し、Go標準ライブラリの脆弱性に対処しました。

  • securitygrpc-health-probeのv0.4.52への更新

    grpc-health-probeをv0.4.52へ更新し、Go 1.26.4で再ビルドしました。リリース済みイメージに、修正済みのGo標準ライブラリの脆弱性を含む状態が残らなくなります。

原文 ↗
Istio1.29.4Networking & Messaging2026年6月4日
ACTION 1OTHER 6分析を詳しく見る

セキュリティ修正が1件含まれ、運用に関わる正確性の修正も複数入っています。nftablesバックエンドの自動フォールバックに加え、Istio ambient、ゲートウェイ、ルーティング、CNIの動作が修正されています。

要対応 (1)

  • securityhighEnvoyのメモリ枯渇を引き起こすサービス拒否の修正

    CVE-2026-47774を修正しました。認証されていないリモート攻撃者が、細工したHTTP/2リクエストでEnvoyプロセスのメモリを過剰消費させ、サービス拒否を引き起こせる問題です。Cookieヘッダーのバイト数がリクエストヘッダーサイズの検証に完全には含まれず、HPACKヘッダーブロックの制限もデコード後のヘッダー全体のサイズを制限していませんでした。

原文 ↗
Istio1.28.8Networking & Messaging2026年6月4日
ACTION 1OTHER 3分析を詳しく見る

公開されたEnvoyのサービス拒否脆弱性と、正確性に関する不具合を修正しています。運用者にはセキュリティ修正のためのアップグレードが該当し、その他の修正では設定変更は必要ありません。

要対応 (1)

  • securityhighEnvoyのメモリ枯渇によるサービス拒否脆弱性の修正

    CVE-2026-47774では、認証なしのリモート攻撃者が細工したHTTP/2リクエストを送信すると、Envoyプロセスのメモリを枯渇させてサービス拒否を引き起こせる問題がありました。リクエストヘッダーサイズの検証でCookieヘッダーのバイト数が完全には計上されず、HPACKヘッダーブロックの制限もデコード後のヘッダー全体のサイズを制限していませんでした。

原文 ↗
Istio1.30.1Networking & Messaging2026年6月4日
ACTION 1CHECK 1OTHER 15分析を詳しく見る

セキュリティ修正と複数の不具合修正に加え、運用者向けの機能追加や依存関係の更新が含まれます。機能ゲートによる保護が解除された変更も含まれるため、該当する API の利用状況を確認する必要があります。

要対応 (1)

  • securityhighEnvoy のメモリ枯渇によるサービス拒否を修正

    CVE-2026-47774 に対応しました。認証不要のリモート攻撃者が、細工した HTTP/2 リクエストで Envoy プロセスのメモリを枯渇させ、サービス拒否を引き起こせる問題です。リクエストヘッダーサイズの検証で Cookie ヘッダーのバイト数が完全に考慮されていなかったほか、HPACK のヘッダーブロック制限がエンコード後のサイズだけに適用され、デコード後の合計サイズに上限がありませんでした。

影響確認 (1)

  • breakingListenerSet の機能ゲート保護を解除

    ListenerSet APIを利用している場合に適用されます。

原文 ↗
Envoyv1.38.1Networking & Messaging2026年6月4日
ACTION 1CHECK 4OTHER 2分析を詳しく見る

HTTP/2のセキュリティ修正、サードパーティ依存関係の脆弱性修正、OAuth2のタイミングサイドチャネル修正を含みます。レスポンスボディの内容とロードバランサー再構築の既定動作も変わるため、該当する構成では運用上の確認が必要です。

要対応 (1)

  • securityhighnghttp2へのCVE-2026-27135パッチ適用

    HTTP/2で使用する nghttp2 に CVE-2026-27135 のパッチを適用しました。

影響確認 (4)

  • securityhighHTTP/2ヘッダー制限へのCookie計上

    HTTP/2を使用しており、envoy.reloadable_features.http2_include_cookies_in_limitsを有効にしていない場合に適用されます。

  • securityoauth2のHMAC検証におけるタイミングサイドチャネル修正

    oauth2を使用している場合に適用されます。

  • breakingHTTPレスポンスボディからの上流失敗理由の除外

    routerを使用しており、envoy.reloadable_features.hide_transport_failure_reason_in_response_bodyを有効にしていない場合に適用されます。

  • リリースページにあと 1 件
原文 ↗
Keycloak26.6.3Security2026年6月4日
ACTION 2CHECK 15OTHER 30分析を詳しく見る

認証、認可、アカウントおよび管理 API、フェデレーション、依存ライブラリに関するセキュリティ修正を含みます。起動時の動作や SPI の設定、その他の正確性に関する修正も追加されています。

要対応 (2)

  • securityhighlodash のコードインジェクション脆弱性を修正

    CVE-2026-4800 に関連する、lodash のコードインジェクション脆弱性を修正しました。

  • securitymediumNetty の HTTP/1.0 リクエストスマグリング対策の修正

    CVE-2026-42581 に関連する、Netty の HTTP/1.0 における TE と CL の併用がリクエストスマグリング対策を回避する問題を修正しました。

影響確認 (15)

  • securitymediumKeycloak Server のアクセス制御を修正

    account/api を利用している場合に該当します。

  • securitymediumOIDC トークンイントロスペクションの notBefore 処理を修正

    oidc を利用している場合に該当します。

  • securitymediumサーバー側 WebAuthn 検証の不足を修正

    authentication/webauthn を利用している場合に該当します。

  • リリースページにあと 12 件
原文 ↗
Envoyv1.37.3Networking & Messaging2026年6月4日
ACTION 1CHECK 2OTHER 2分析を詳しく見る

アップグレードが必要となるセキュリティ修正に加え、通常の正確性修正が含まれています。残る見出しのみの項目には、運用者向けの変更はありません。

要対応 (1)

  • securityhighnghttp2のCVE-2026-27135パッチ適用

    nghttp2 の CVE-2026-27135 パッチが適用されました。

影響確認 (2)

  • securityhighHTTP/2ヘッダー制限とCookieのメモリ使用対策

    HTTP/2を使用している場合に適用されます。

  • securityoauth2のHMAC検証におけるタイミングサイドチャネルの修正

    oauth2を使用している場合に適用されます。

原文 ↗
Envoyv1.36.7Networking & Messaging2026年6月4日
ACTION 1CHECK 2OTHER 2分析を詳しく見る

このリリースには、HTTP通信と認証に関わるセキュリティ修正が含まれます。HTTP/2の上限設定やOAuth2フィルターなど、該当する機能を使う構成に関係します。

要対応 (1)

  • securityhighnghttp2へのCVE-2026-27135パッチ適用

    nghttp2にCVE-2026-27135のパッチを適用しました。

影響確認 (2)

  • securityhighHTTP/2のヘッダー上限処理の変更

    HTTP/2でヘッダーリストまたはリクエストヘッダーの上限を設定している場合に適用されます。

  • securityoauth2のHMAC検証におけるタイミングサイドチャネル修正

    OAuth2フィルターを使用している場合に適用されます。

原文 ↗
Envoyv1.35.11Networking & Messaging2026年6月3日
ACTION 1CHECK 2OTHER 4分析を詳しく見る

v1.35.11は、HTTP/2やOAuth2に関するセキュリティ修正と依存関係の更新を含むリリースです。該当機能を利用している場合は更新が必要で、その他の変更はこのリリースを採用する以外の運用作業を求めません。

要対応 (1)

  • securityhighnghttp2のCVE-2026-27135パッチ適用

    http2でnghttp2のCVE-2026-27135パッチを適用しました。

影響確認 (2)

  • securityhighHTTP/2ヘッダー上限違反時のストリームリセット

    HTTP/2のリクエストヘッダー上限を使用している場合に適用されます。

  • securityOAuth2 HMAC検証のタイミングサイドチャネル修正

    OAuth2のHMAC検証を使用している場合に適用されます。

原文 ↗
KubeVirtv1.8.3Orchestration & Management2026年6月3日
ACTION 2PLAN 1OTHER 13分析を詳しく見る

セキュリティ対応、記録ルールの移行、正確性に関する修正を含むリリースです。通常の修正ではオペレーターの対応は必要ありませんが、セキュリティ修正はアップグレードで適用し、非推奨の記録ルールは移行計画を立てる必要があります。

要対応 (2)

  • securitycriticalgoogle.golang.org/grpc のセキュリティ更新

    google.golang.org/grpc を 1.79.3 に更新し、GHSA-p77j-4mvh-x3m3 に対応しました。

  • securityVMExport ディレクトリハンドラーのシンボリックリンク走査修正

    VMExport のディレクトリハンドラーで、シンボリックリンクをたどる問題を修正しました。

事前準備 (1)

  • deprecated記録ルールの非推奨化

    kubevirt_vm_created_total または kubevirt_vm_created_by_pod_total を使用している場合に適用されます。

原文 ↗
KubeVirtv1.7.4Orchestration & Management2026年6月3日
ACTION 1OTHER 5分析を詳しく見る

v1.7.4では、動作の正確性に関わる修正と、PCIトポロジーやIPv6環境での挙動変更が行われています。セキュリティ対応として、google.golang.org/grpc の依存バージョンも更新されています。

要対応 (1)

  • securitycriticalgRPC依存関係の更新

    google.golang.org/grpc を 1.79.3 に更新し、CVE-2026-33186 に対応しました。

原文 ↗
KubeVirtv1.6.6Orchestration & Management2026年6月3日
ACTION 1OTHER 8分析を詳しく見る

v1.6.6 では、依存ライブラリの更新によって CVE-2026-33186 に対処しています。google.golang.org/grpc を利用する環境に関係する変更です。

要対応 (1)

  • securitycriticalgoogle.golang.org/grpc の更新と CVE-2026-33186 対応

    google.golang.org/grpc を更新し、CVE-2026-33186 に対処しました。

原文 ↗
wasmCloudv2.3.0Orchestration & Management2026年6月3日
ACTION 2OTHER 12分析を詳しく見る

v2.3.0には、依存関係に関するセキュリティ対応が含まれます。個別の脆弱性の内容は示されていないため、依存関係を管理する環境では確認対象となります。

要対応 (2)

  • securitywasmtime 44.0.2のセキュリティパッチ適用

    wasmtimeを44.0.2へ更新し、セキュリティパッチを適用しました。

  • security報告済みセキュリティアドバイザリへの対応

    報告されたセキュリティアドバイザリに対応する依存関係のパッチを適用しました。対象となる脆弱性の内容は示されていません。

原文 ↗
OpenFGAv1.17.0Security2026年6月2日
ACTION 1OTHER 1分析を詳しく見る

OpenFGA v1.17.0では、キャッシュキーの生成方式が変更されています。文字列連結による衝突リスクと、ハッシュフラッディング攻撃への対策に関係する更新です。

要対応 (1)

  • securityキャッシュキー生成の再設計

    キャッシュキーの生成方式を、TLV（type-length-value）バイナリエンコーディングに変更しました。文字列連結による衝突リスクをなくし、プロセスごとのハッシュシードを追加してハッシュフラッディング攻撃を防ぎます。関連する変更は #3148 です。

原文 ↗
etcdv3.5.31Kubernetes Core2026年6月1日
ACTION 1OTHER 3分析を詳しく見る

依存関係の更新と正確性に関する修正を含むリリースです。GO-2026-5026 への対応として golang.org/x/crypto のアップグレードが必要です。

要対応 (1)

  • securitycriticalgolang.org/x/crypto を v0.52.0 に更新

    GO-2026-5026 への対応として、golang.org/x/crypto を v0.52.0 に更新しました。

原文 ↗
KEDAv2.20.0Orchestration & Management2026年6月1日
CHECK 7PLAN 1OTHER 70分析を詳しく見る

スケーラー、設定項目、メトリクス、認証方式の追加と互換性改善を含むリリースです。カスタムRBACを使う運用ではKubernetes events APIの移行準備が必要で、削除されたスケーラー設定を使っている場合は構成の更新が必要です。

影響確認 (7)

  • securityリダイレクト時の認証ヘッダー破棄

    適用対象はリリースノートに明記されていません。

  • breaking63文字を超える ScaledObject 名の拒否

    ScaledObject の名前が63文字を超える場合に該当します。

  • breaking0以下の unprocessedEventThreshold の拒否

    0以下の unprocessedEventThreshold を設定している場合に該当します。

  • リリースページにあと 4 件

事前準備 (1)

  • deprecatedbuildId、selectAllActive、selectUnversioned の非推奨化

    buildId、selectAllActive、selectUnversioned のいずれかを設定している場合に該当します。

原文 ↗
Volcanov1.15.0Orchestration & Management2026年6月1日
ACTION 4CHECK 2OTHER 83分析を詳しく見る

アルファ段階のスケジューリング機能、新しいフラグやHelm設定が加わり、スケジューラと統合部分の安定性、メトリクスやログの挙動も変わります。アップグレード時にはKubernetesとDRAの互換性要件、DRAスケジューリング統合の既定値、サービス拒否およびPrometheusに関するセキュリティ修正を確認する必要があります。

要対応 (4)

  • securitymediumgithub.com/prometheus/prometheusの更新

    github.com/prometheus/prometheusを更新し、格納型XSSのアドバイザリGHSA-vffh-x6r8-xx99に対応しました。

  • securitymediumadmission webhookのリクエスト本文制限

    admission webhookへのリクエスト本文のサイズを制限し、サイズの大きい本文によってwebhookサーバーがメモリ不足になるサービス拒否のリスクを修正しました。関連する識別子はCVE-2026-44247とGHSA-8wxp-xxp2-rcgxです。

  • breakingDRAスケジューリング統合の既定有効化

    DRAスケジューリング統合が既定で有効になりました。対象となる設定項目はpredicate.DynamicResourceAllocationEnableです。

  • breakingKubernetes 1.34以降に合わせたDRA既定値の変更

    Kubernetes 1.34以降の挙動に合わせ、DRAスケジューリング統合が既定で有効になりました。無効にする場合はpredicate.DynamicResourceAllocationEnable: falseを設定します。

影響確認 (2)

  • breakingSchedulingGatesQueueAdmissionの有効化条件

    SchedulingGatesQueueAdmissionを有効にする場合に適用されます。

  • breakinggang-awareプリエンプションとリクレームの設定条件

    gangPreemptとgangReclaimを設定し、preemptまたはreclaimを設定していない場合に適用されます。

原文 ↗
← 新しい
月別に見る
2026年8月2026年7月2026年6月2026年5月2026年4月2026年3月2026年2月2026年1月2025年12月2025年11月2025年10月2025年9月2025年8月2025年7月2025年6月2025年5月2025年4月2025年3月2025年2月2025年1月2024年12月2024年11月2024年10月2024年9月2024年8月2024年7月2024年6月2024年5月2024年4月2024年3月2024年2月2024年1月2023年12月2023年11月2023年10月2023年9月