リリース

要対応 (8)

• securitymediumgolang.org/x/imageの更新

  golang.org/x/imageがv0.39.0へ更新され、GO-2026-4962に対応しました。

• securitydurabletask-goとpgxの更新

  durabletask-goがv0.12.1へ更新され、pgxも更新されました。

• breakingWorkflowsRemoteActivityReminderのデフォルト有効化

  WorkflowsRemoteActivityReminderがデフォルトで有効になり、アプリ間のワークフローアクティビティ結果がSchedulerのリマインダー経由で配信されます。

• breakingコンポーネント群のホットリロード

  HotReloadがデフォルトで有効になり、Components、Subscriptions、MCPServers、Configurations、HTTPEndpoints、Resiliencies、WorkflowAccessPoliciesがデフォルトでホットリロードされます。

• breakingサイドカーのプローブ既定値の変更

  サイドカーのlivenessは、kubeletが再起動するまでの時間が約230秒となるよう緩和され、readinessはより短い時間で反応する設定になりました。

• breakingHotReloadのデフォルト有効化

  HotReloadがv1.18でデフォルト有効になりました。

• breakinglivenessとreadinessのプローブ既定値更新

  livenessの既定値が緩和され、readinessの既定値が厳格になりました。

• breakingサイドカープローブ既定値の変更

  サイドカーのプローブ既定値が変更されました。livenessはkubelet再起動まで約230秒となるよう緩和され、readinessはcontrol-planeで約3秒、daprdで約5秒となるよう短縮されました。

要対応 (2)

• securityGoツールチェーンとcontainerdの更新

  Goツールチェーンを1.25.11に、containerdを1.7.32にアップグレードしました。

• securitymemStressとchaos-daemonイメージの更新

  memStressヘルパーを最新のGoツールチェーンで再ビルドし、chaos-daemonイメージをヘッドレスJREに切り替えました。使用したGoツールチェーンのバージョンはv0.3.1です。

要対応 (1)

• securitymediumGo 1.26.4への更新による標準ライブラリの脆弱性修正

  OPAのビルドにGo 1.26.4を使用し、HTTP handlerとcrypto builtinsが利用する標準ライブラリの脆弱性GO-2026-5037およびGO-2026-5039を修正しました。

要対応 (1)

• securitygolang.org/x/net を v0.55.0 に更新

  依存モジュール golang.org/x/net を v0.55.0 に更新しました。変更には [security] の印が付いています。

影響確認 (3)

• securityステータスページの保存型XSS脆弱性を修正

  Alertmanager または Store Gateway を実行している場合に該当します。

• securityネイティブヒストグラムのprotobufサイズ制限

  ネイティブヒストグラムを利用している場合に該当します。

• breakinggzip展開後の出力サイズ制限

  OTLPの取り込み経路を利用している場合に該当します。

要対応 (2)

• securityGoツールチェーンの1.26.4への更新

  ツールチェーンのGoを1.26.4へ更新し、Go標準ライブラリの脆弱性に対処しました。

• securitygrpc-health-probeのv0.4.52への更新

  grpc-health-probeをv0.4.52へ更新し、Go 1.26.4で再ビルドしました。リリース済みイメージに、修正済みのGo標準ライブラリの脆弱性を含む状態が残らなくなります。

要対応 (1)

• securityhighEnvoyのメモリ枯渇を引き起こすサービス拒否の修正

  CVE-2026-47774を修正しました。認証されていないリモート攻撃者が、細工したHTTP/2リクエストでEnvoyプロセスのメモリを過剰消費させ、サービス拒否を引き起こせる問題です。Cookieヘッダーのバイト数がリクエストヘッダーサイズの検証に完全には含まれず、HPACKヘッダーブロックの制限もデコード後のヘッダー全体のサイズを制限していませんでした。

要対応 (1)

• securityhighEnvoyのメモリ枯渇によるサービス拒否脆弱性の修正

  CVE-2026-47774では、認証なしのリモート攻撃者が細工したHTTP/2リクエストを送信すると、Envoyプロセスのメモリを枯渇させてサービス拒否を引き起こせる問題がありました。リクエストヘッダーサイズの検証でCookieヘッダーのバイト数が完全には計上されず、HPACKヘッダーブロックの制限もデコード後のヘッダー全体のサイズを制限していませんでした。

要対応 (1)

• securityhighEnvoy のメモリ枯渇によるサービス拒否を修正

  CVE-2026-47774 に対応しました。認証不要のリモート攻撃者が、細工した HTTP/2 リクエストで Envoy プロセスのメモリを枯渇させ、サービス拒否を引き起こせる問題です。リクエストヘッダーサイズの検証で Cookie ヘッダーのバイト数が完全に考慮されていなかったほか、HPACK のヘッダーブロック制限がエンコード後のサイズだけに適用され、デコード後の合計サイズに上限がありませんでした。

要対応 (1)

• securityhighnghttp2へのCVE-2026-27135パッチ適用

  HTTP/2で使用する nghttp2 に CVE-2026-27135 のパッチを適用しました。

要対応 (2)

• securityhighlodash のコードインジェクション脆弱性を修正

  CVE-2026-4800 に関連する、lodash のコードインジェクション脆弱性を修正しました。

• securitymediumNetty の HTTP/1.0 リクエストスマグリング対策の修正

  CVE-2026-42581 に関連する、Netty の HTTP/1.0 における TE と CL の併用がリクエストスマグリング対策を回避する問題を修正しました。

要対応 (1)

• securityhighnghttp2のCVE-2026-27135パッチ適用

  nghttp2 の CVE-2026-27135 パッチが適用されました。

要対応 (1)

• securityhighnghttp2へのCVE-2026-27135パッチ適用

  nghttp2にCVE-2026-27135のパッチを適用しました。

要対応 (1)

• securityhighnghttp2のCVE-2026-27135パッチ適用

  http2でnghttp2のCVE-2026-27135パッチを適用しました。

要対応 (2)

• securitycriticalgoogle.golang.org/grpc のセキュリティ更新

  google.golang.org/grpc を 1.79.3 に更新し、GHSA-p77j-4mvh-x3m3 に対応しました。

• securityVMExport ディレクトリハンドラーのシンボリックリンク走査修正

  VMExport のディレクトリハンドラーで、シンボリックリンクをたどる問題を修正しました。

要対応 (1)

• securitycriticalgRPC依存関係の更新

  google.golang.org/grpc を 1.79.3 に更新し、CVE-2026-33186 に対応しました。

要対応 (1)

• securitycriticalgoogle.golang.org/grpc の更新と CVE-2026-33186 対応

  google.golang.org/grpc を更新し、CVE-2026-33186 に対処しました。

要対応 (2)

• securitywasmtime 44.0.2のセキュリティパッチ適用

  wasmtimeを44.0.2へ更新し、セキュリティパッチを適用しました。

• security報告済みセキュリティアドバイザリへの対応

  報告されたセキュリティアドバイザリに対応する依存関係のパッチを適用しました。対象となる脆弱性の内容は示されていません。

要対応 (1)

• securityhighCVE-2026-46680の修正

  CVE-2026-46680に関する修正です。

要対応 (1)

• securityキャッシュキー生成の再設計

  キャッシュキーの生成方式を、TLV（type-length-value）バイナリエンコーディングに変更しました。文字列連結による衝突リスクをなくし、プロセスごとのハッシュシードを追加してハッシュフラッディング攻撃を防ぎます。関連する変更は #3148 です。

要対応 (1)

• securitycriticalgolang.org/x/crypto を v0.52.0 に更新

  GO-2026-5026 への対応として、golang.org/x/crypto を v0.52.0 に更新しました。

影響確認 (7)

• securityリダイレクト時の認証ヘッダー破棄

  適用対象はリリースノートに明記されていません。

• breaking63文字を超える ScaledObject 名の拒否

  ScaledObject の名前が63文字を超える場合に該当します。

• breaking0以下の unprocessedEventThreshold の拒否

  0以下の unprocessedEventThreshold を設定している場合に該当します。

• リリースページにあと 4 件

要対応 (4)

• securitymediumgithub.com/prometheus/prometheusの更新

  github.com/prometheus/prometheusを更新し、格納型XSSのアドバイザリGHSA-vffh-x6r8-xx99に対応しました。

• securitymediumadmission webhookのリクエスト本文制限

  admission webhookへのリクエスト本文のサイズを制限し、サイズの大きい本文によってwebhookサーバーがメモリ不足になるサービス拒否のリスクを修正しました。関連する識別子はCVE-2026-44247とGHSA-8wxp-xxp2-rcgxです。

• breakingDRAスケジューリング統合の既定有効化

  DRAスケジューリング統合が既定で有効になりました。対象となる設定項目はpredicate.DynamicResourceAllocationEnableです。

• breakingKubernetes 1.34以降に合わせたDRA既定値の変更

  Kubernetes 1.34以降の挙動に合わせ、DRAスケジューリング統合が既定で有効になりました。無効にする場合はpredicate.DynamicResourceAllocationEnable: falseを設定します。

要対応 (1)

• securityalpine ベースイメージを alpine:3.23.4 に更新

  ベースイメージ alpine が alpine:3.23.3 から alpine:3.23.4 に更新されました。

要対応 (1)

• securityhighGo依存関係の更新

  脆弱性のあるGo依存関係が更新され、GHSA-xmrv-pmrh-hhx2 と CVE-2026-34986 に対応しました。

要対応 (1)

• securityGHSA-84rc-2q4r-45pc の修正

  GHSA-84rc-2q4r-45pc のセキュリティアドバイザリに対応しました。

要対応 (3)

• security依存関係の更新

  依存関係を更新し、セキュリティアドバイザリに対応しました。

• securityEnvFromのクリアによるシークレット名漏えい対策

  removeContainersDataでEnvFromをクリアし、シークレット名が漏えいしないようにしました。

• securityEnv[].ValueFromのクリア

  removeContainersDataとremoveEphemeralContainersDataでEnv[].ValueFromをクリアするようにしました。

影響確認 (1)

• securitySentry OIDCディスカバリーでのX-Forwarded-Host利用条件の変更

  Sentry OIDCを利用している場合に適用されます。

影響確認 (1)

• securityazure_imdsのノードアテーション文書検証を修正

  azure_imdsサーバーノードアテスタープラグインを使用している場合に適用されます。

影響確認 (1)

• securityazure_imds のノード証明書検証の修正

  サーバーのノードアテスター・プラグイン azure_imds を使用している場合に適用されます。

要対応 (1)

• securitycriticalgolang.org/x/net を v0.55.0 に更新

  golang.org/x/net を v0.55.0 に更新しました。対象の脆弱性識別子は CVE-2026-39821 です。

要対応 (1)

• breakingfgprofプロファイルの同時実行を拒否

  APIでfgprofプロファイルを同時に実行した場合、その実行を拒否するようになりました。

要対応 (1)

• securitygrpc-health-probe の v0.4.50 への更新

  grpc-health-probe を v0.4.50 に更新し、Go標準ライブラリにある複数のCVEに対応します。

要対応 (1)

• securitymediumUIの redoc/dompurify 更新

  UIで使用する redoc/dompurify を v3.4.0 に更新し、CVE-2026-41240 の修正を取り込みました。

影響確認 (1)

• securitymediumredoc/dompurify の更新による CVE-2026-41240 対応

  redoc/dompurify を /ui で使用している場合に適用されます。

要対応 (1)

• securitycriticalgolang.org/x/net の v0.55.0 への更新

  CIで利用する golang.org/x/net を v0.55.0 に更新し、GO-2026-5026 に対応しています。

要対応 (1)

• securitycriticalLinuxの脆弱性修正

  Linuxの更新で、CVE-2024-36476、CVE-2024-39282、CVE-2024-53681、CVE-2024-54031、CVE-2024-57795、CVE-2024-57801、CVE-2024-57802、CVE-2024-57841、CVE-2024-57844、CVE-2024-57857、CVE-2024-57882、CVE-2024-57883、CVE-2024-57884、CVE-2024-57885、CVE-2024-57886、CVE-2024-57887、CVE-2024-57888、CVE-2024-57889、CVE-2024-57890、CVE-2024-57891、CVE-2024-57892、CVE-2024-57893、CVE-2024-57894、CVE-2024-57895、CVE-2024-57896、CVE-2024-57897、CVE-2024-57898、CVE-2024-57899、CVE-2024-57900、CVE-2024-57901、CVE-2024-57902、CVE-2024-57903、CVE-2024-57930、CVE-2024-57931、CVE-2024-57932、CVE-2024-57933、CVE-2024-57934、CVE-2024-57935、CVE-2024-57936、CVE-2024-57937、CVE-2024-57938、CVE-2024-58237、CVE-2025-21629、CVE-2025-21630、CVE-2026-43490、CVE-2026-43492、CVE-2026-43495、CVE-2026-43496、CVE-2026-43497、CVE-2026-43502、CVE-2026-43503、CVE-2026-46300、CVE-2026-46333に関する脆弱性が修正されました。

要対応 (1)

• securitycriticalLinuxのセキュリティ修正

  Linuxの更新には、CVE-2026-43316を含むCVEに関するセキュリティ修正が含まれています。

要対応 (1)

• breakinggRPC server supportの削除

  gRPC server supportを削除しました。

要対応 (1)

• securitygolang.org/x/crypto を v0.52.0 に更新

  依存モジュール golang.org/x/crypto を v0.52.0 に更新しました。