リリース

要対応 (1)

• securityGoバージョンの更新

  Goのバージョンが1.25.8から1.25.9に更新されました。

要対応 (2)

• security同じ種類のプローブ間での古い設定漏えいを防止

  同じ種類の複数のプローブを実行した際、古い設定が漏えいしないよう修正しました。

• securityベースイメージを ubi9 に更新

  フロントエンドのベースイメージを ubi9 に更新し、Pythonの脆弱性を解消しました。

要対応 (4)

• securityhighglobとrollupの脆弱性に対応

  globをv13へ、rollupをv4.59以降へ更新しました。旧バージョンのglobの脆弱性と、GHSA-mw96-cpmx-2vgcに該当するrollupのパストラバーサル脆弱性に対応しています。

• securityglobをv13へ更新

  globの依存バージョンをv7/v8/v11からv13へ更新し、旧バージョンのセキュリティ脆弱性に対応しました。

• securityrollupをv4.59以降へ更新

  rollupをv4.27からv4.59以降へ更新し、パストラバーサル脆弱性（GHSA-mw96-cpmx-2vgc）を修正しました。

• securityOAuth保護リソースURLを修正

  .well-known/oauth-protected-resourceのリソースURLをRFC 9728 Section 7.3に準拠する形へ修正し、動的なリソースパスに対応しました。

要対応 (1)

• securityhighspdystream の更新

  依存関係の変更対象として spdystream が記録され、CVE-2026-35469 に関する更新が含まれています。

要対応 (1)

• securityhighspdystreamのセキュリティ更新

  CVE-2026-35469に関するspdystreamのセキュリティ更新です。

要対応 (2)

• securityhighspdystreamのセキュリティアドバイザリ追加

  CVE-2026-35469およびGHSA-pc3f-x583-g7j2に関するセキュリティアドバイザリが追加されています。

• securityhighgithub.com/moby/spdystreamの更新

  github.com/moby/spdystreamをv0.5.1に更新しています。

要対応 (1)

• securityhighspdystreamのCVE-2026-35469対応

  spdystreamに関するCVE-2026-35469のセキュリティ修正です。

影響確認 (3)

• securityキューサブスクリプションによる ACL deny 回避を修正

  キューサブスクリプションを使用し、非キュー ACL の deny パターンを設定している場合に適用されます。

• breakingno_auth_user の適用範囲をクライアント接続に限定

  no_auth_user を設定している場合に適用されます。

• breakingsolicited leaf 接続以外での重複した INFO 権限更新を制限

  solicited leaf 接続を使用している場合に適用されます。

影響確認 (1)

• securitymediumWeb UIの保存型XSS修正

  PrometheusのWeb UIを使用している場合に該当します。

影響確認 (1)

• securitymediumPrometheus web UI の Stored XSS 修正

  細工されたメトリクス名やラベル値が Prometheus web UI に届く場合に適用されます。

要対応 (1)

• security報告された脆弱性を含むgo依存関係の更新

  報告された脆弱性に対応するため、go依存関係が更新されました。変更は#8704に関連します。

影響確認 (2)

• securityAuthZEN ディスカバリーのエンドポイント URL を設定値から生成

  authzen.baseURL を設定している場合に適用されます。

• securityテスト用 Docker パッケージを Moby に置換

  テストを実行する場合に適用されます。

要対応 (1)

• securityGo toolchainの更新

  リポジトリ内の全モジュールとDockerイメージで、Go toolchainを1.25.8から1.25.9へ更新しました。

影響確認 (1)

• securitymediumChart.yaml のドット区切り名による抽出先ディレクトリの崩れ

  Helm Chart の抽出を利用している場合に適用されます。

要対応 (1)

• securityvulnerability-updates の更新

  セキュリティ関連の変更として、vulnerability-updates が更新されました。

要対応 (2)

• securityvulnerability-updatesの更新

  vulnerability-updatesを更新しました。関連するIssueは#1933、コミットは04338dcです。

• securityvulnerability-updatesの更新

  vulnerability-updatesを更新しました。関連するIssueは#1934、コミットは40d444aです。

要対応 (2)

• securityvulnerability-updates の更新

  vulnerability-updates を更新しました。関連する追跡項目は #1933 で、コミットは 04338dc です。

• securityvulnerability-updates の更新

  vulnerability-updates を更新しました。関連する追跡項目は #1934 で、コミットは 40d444a です。

要対応 (1)

• securitymediumGHSA-hr2v-4r36-88hr の修正

  GHSA-hr2v-4r36-88hr に関するセキュリティ修正です。

要対応 (1)

• securitycriticalGo 1.26.2への更新

  Goを1.26.2へ更新し、CVE-2026-32282、CVE-2026-32289、CVE-2026-33810、CVE-2026-27144、CVE-2026-27143、CVE-2026-32288、CVE-2026-32283、CVE-2026-27140、CVE-2026-32281に対応しました。

要対応 (1)

• securitycriticalGo 1.25.9への更新

  Goを1.25.9へ更新し、CVE-2026-32282、CVE-2026-32289、CVE-2026-27144、CVE-2026-27143、CVE-2026-32288、CVE-2026-32283、CVE-2026-27140、CVE-2026-32281に対応しています。

要対応 (1)

• securityビルド用Goの1.26.2への更新

  OPAのバイナリとイメージのビルドに使うGoのバージョンが1.26.2へ更新されました。このGoバージョンには複数のセキュリティ修正が含まれています。

要対応 (6)

• securityパスワードとOTPのブルートフォース保護の分離

  パスワードと OTP のブルートフォース保護が分離され、OTP バイパス攻撃を防ぐ設定がデフォルトになりました。

• securityResourceAdminManagerのURL構築検証の修正

  ResourceAdminManager で、Matrix Parameter InjectionによるURLが検証されないまま構築される問題が修正されました。

• securityクライアント取得時のフィッシング対策チェックの修正

  クライアント取得時にanti-ID phishingチェックが欠落していた問題が修正されました。

• breakingゼロダウンタイムパッチリリースの既定有効化

  zero-downtime patch releases がサポート対象となり、デフォルトで有効になります。

• breakingKubernetes向けトラストストア設定の既定有効化

  --truststore-kubernetes-enabled の動作がデフォルトで有効になりました。

• breakingnot-before検証の既定値変更

  not-before検証のデフォルト値が0秒から10秒に変更されました。

要対応 (1)

• securitygithub.com/go-jose/go-jose/v4のv4.1.4への更新

  github.com/go-jose/go-jose/v4をv4.1.4へ更新しました。セキュリティ対応に伴う変更です。

要対応 (1)

• securitygithub.com/go-jose/go-jose/v4をv4.1.4へ更新

  github.com/go-jose/go-jose/v4をv4.1.4へ更新しました。

要対応 (1)

• securitygithub.com/go-jose/go-jose/v4 の更新

  セキュリティ対応として、github.com/go-jose/go-jose/v4 を v4.1.4 に更新しました。

要対応 (1)

• securitymediumBatchCheckのポリシー適用不備を修正

  同じタプルに対する複数のチェックを含むBatchCheck呼び出しで、ポリシーが正しく適用されない問題を修正しました。CVE-2026-34972およびGHSA-jwvj-g8pc-cx45に関係する修正です。

影響確認 (1)

• securityBuildKit と CNI plugins のセキュリティ更新

  BuildKit または CNI plugins を使用している場合に適用されます。

要対応 (1)

• securitymediumCVE-2026-1002の静的ファイルアクセス拒否を修正

  静的ファイルへのアクセスを拒否できる、io.vertx/vertx-coreの静的ハンドラーコンポーネントキャッシュの操作を修正しました。

要対応 (1)

• securitycriticalgRPC依存関係の更新

  google.golang.org/grpcの依存関係を、CVE-2026-33186を解消するバージョンに更新しました。

要対応 (1)

• securitygoogle.golang.org/grpc の更新

  スキャナーが報告した脆弱性への対応として、google.golang.org/grpc を更新しました。この脆弱性は cert-manager には影響しないものの、スキャナーの報告を受けて更新されています。

要対応 (1)

• security依存関係とPythonインタープリターを更新

  CVEを解消するため、多数の依存関係とPythonインタープリターが更新されました。

要対応 (2)

• securitycriticalgoogle.golang.org/grpc の更新

  google.golang.org/grpc の依存関係が、CVE-2026-33186 を解消するバージョンへ更新されました。

• securitymediumgolang.org/x/image の更新

  golang.org/x/image が v0.25.0 から v0.38.0 に更新され、CVE-2026-33809 が解消されました。

要対応 (1)

• securityGo 1.25.8への更新

  Goのバージョンが1.25.7から1.25.8に更新されました。

要対応 (1)

• securitycriticalgrpc-goのCVE-2026-33186緩和対応

  release-3.2向けに、grpc-goのCVE-2026-33186を緩和する対応が入りました。

要対応 (1)

• securitycriticalgrpc-goのCVE-2026-33186緩和策

  release-3.1向けに、grpc-goのCVE-2026-33186への緩和策が適用されました。

要対応 (2)

• securitygoパッケージの更新

  脆弱性を修正するため、goパッケージを更新しました。

• securityuiパッケージの更新

  脆弱性を修正するため、uiパッケージを更新しました。

要対応 (1)

• breakingJWTのサイズ上限を1MBに変更

  JWTのサイズ上限を1MBに設定しました。#7960に対応しています。

要対応 (1)

• breakingJWTのサイズ上限を1MBに変更

  JWTのサイズ上限を1MBに設定しました。

影響確認 (1)

• securitymedium条件付き Check リクエストのキャッシュ結果に関する脆弱性を修正

  条件付きの Check リクエストでキャッシュを有効にしている場合に適用されます。

要対応 (2)

• securitycriticalgoogle.golang.org/grpcをv1.79.3へ更新

  google.golang.org/grpcをv1.79.3へ更新しました。この更新はCVE-2026-33186（GHSA-p77j-4mvh-x3m3）に対応しますが、Contourは影響を受けません。

• securityEnvoyをv1.35.9へ更新

  セキュリティ脆弱性への対応として、Envoyをv1.35.9へ更新しました。