CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
依存関係の更新とサンプルマニフェストの変更を含むリリースです。Kubernetes 1.31から1.33でテストされており、運用者向けに単独の変更を伴わない見出しもあります。
要対応 (2)
securitycriticalgoogle.をv1.に更新
google.をv1.に更新します。この更新はCVE-2026-33186に対処していますが、Contourは影響を受けません。
securityEnvoyをv1.に更新
Envoyをv1.に更新し、セキュリティ上の脆弱性に対処するとともに安定性を改善します。
影響確認 (1)
breakingサンプルマニフェストのhostPort: 8002を削除
hostPort: 8002をサンプルマニフェストで設定している場合に適用されます。
依存関係の更新と、example manifestsの設定変更を含むリリースです。Kubernetes 1.30から1.32までの範囲でテストされています。
要対応 (2)
securitycriticalgoogle.のv1.への更新
google.をv1.へ更新します。この更新にはCVE-2026-33186への対応が含まれますが、Contourは影響を受けません。
securityEnvoyのv1.への更新
Envoyをv1.へ更新します。
影響確認 (1)
breakingexample manifestsからのEnvoyメトリクス設定削除
example manifestsでhostPort: 8002を使用している場合に適用されます。
運用に関係する不具合修正に加え、新しい設定項目や診断機能、依存関係とイメージの更新が含まれます。セキュリティに関わる修正が2件あり、該当する環境ではアップグレードが必要です。非推奨化や削除の告知はありません。
影響確認 (2)
securityenvoy 管理ソケットのアクセス範囲を修正
envoy を実行している場合に適用されます。
securitylocal backends に対する ingress policies の適用を修正
ingress policies と local backends を使用している場合に適用されます。
v2.0.0では、CRDの配置先が/crdsに変わりました。依存関係のロックファイルも更新され、RUSTSEC-2026-0007への対応が含まれています。
要対応 (2)
securitymediumRUSTSEC-2026-0007に対応するロックファイル更新
依存関係のロックファイルを更新し、RUSTSEC-2026-0007に対応しました。
breakingCRDの配置先を/crdsへ変更
CRDの配置先をtemplates/crdsから/crdsへ移しました。
認可回避の修正と、脆弱性に対応した依存関係およびツールチェーンの更新を含むリリースです。正確性に関する修正も含まれますが、オペレーターの設定変更や非推奨化の告知はありません。
要対応 (4)
securitycriticalgoogle. を 1.79.3 に更新
google. を 1.79.3 に更新し、CVE-2026-33186 に対応しました。
securityhigh複数 API の認可回避を修正
etcd server の複数の API で発生していた認可回避を修正しました。CVE-2026-33413 および GHSA-q8m4-xhhv-38mg に対応しています。
securityhighgo. を v1.40.0 に更新
go. を v1.40.0 に更新しました。GO-2026-4394 に対応しています。
securityhighgolang. を v0.51.0 に更新
golang. を v0.51.0 に更新し、GO-2026-4559 に対応しました。
影響確認 (1)
securitylowネストしたトランザクションの RBAC 認可チェックを修正
ネストした etcd トランザクションと RBAC を使用している場合に該当します。
通常の不具合修正に加え、公開済みのセキュリティ修正とセキュリティ対応の依存関係更新が含まれます。対応はアップグレードで行え、運用者による再設定は明示的に必要とされていません。
要対応 (3)
securitycriticalgoogle. を 1. に更新
CVE-2026-33186 に対応するため、google. を 1. に更新しました。
securityhighgo. を v1. に更新
GO-2026-4394 に対応するため、go. を v1. に更新しました。
securityhighgolang. を v0. に更新
GO-2026-4559 に対応するため、golang. を v0. に更新しました。
影響確認 (2)
securityhigh未認証エンドポイントの認証チェックを強化
未認証エンドポイントを使用している場合に適用されます。
securitylowネストしたトランザクション操作の認証チェックを強化
ネストしたトランザクション操作を使用している場合に適用されます。
認証チェックの適用により、APIとネストしたトランザクション操作に関わる認可バイパスが修正されています。依存関係も更新されているため、セキュリティ対応を確認している運用環境に関係するリリースです。
要対応 (4)
securitycriticalgoogle.を1.へ更新
google.を1.へ更新し、CVE-2026-33186の問題に対応しました。
securityhigh未認証エンドポイントの認証チェック
認証されていないエンドポイントに認証チェックを適用し、複数のAPIで発生していた認可バイパスを修正しました。対象はCVE-2026-33413およびGHSA-q8m4-xhhv-38mgです。
securityhighgolang.をv0.へ更新
golang.をv0.へ更新し、GO-2026-4559の問題に対応しました。
securitylowネストしたトランザクション操作のRBAC認可チェック
ネストしたetcdトランザクション操作でも認証チェックを強制し、RBACの認可チェックを回避できる問題を修正しました。対象はCVE-2026-33343およびGHSA-rfx7-8w68-q57qです。
レジストリ、キャッシュ、署名、プロファイリング、設定、互換性に関する機能が追加され、依存関係や基盤コンポーネントの更新、各種不具合の修正も含まれています。GCRレプリケーションの削除とプロキシキャッシュの動作変更があるため、これらを利用している環境では影響を確認してください。アドバイザリ識別子は提供されていません。
要対応 (2)
securityプロジェクト作成前に発行された bearer tokens の拒否
プロジェクト作成前に発行された bearer tokens は拒否されるようになりました。
breakingwebhook event check 用 harbor IP のポート 9443 削除
webhook event check 用の harbor IP からポート 9443 が削除されました。
影響確認 (2)
breakingpull-through cache から proxy cache への変更
Harborで pull-through cache を使用している場合に適用されます。
breakingGCR replication の削除
Harborで GCR replication を使用している場合に適用されます。
Go 標準ライブラリのセキュリティ修正、Go ツールチェーンの更新、Configuration CRD の変更、新しい RavenDB ステートストア登録を含むリリースです。pub/sub、スケジューラー、サービス呼び出し、ワークフロー、アクター、会話コンポーネント、ステートストア、Sentry にも正確性と性能に関する修正があります。
要対応 (3)
securityhighGo 1. へのツールチェーン更新
リポジトリ内のすべてのモジュールと Docker イメージで、Go ツールチェーンを 1.24.13 から Go 1. に更新しました。
securitymediumGO-2026-4603 に対応した html/template の URL エスケープ修正
html/template の meta content 属性で URL のアクションがエスケープされず、細工した URL によってクロスサイトスクリプティングが発生する可能性を修正しました。
securitylowGO-2026-4602 に対応した os. の境界逸脱修正
os の FileInfo が Root の外へ抜け、想定したディレクトリ境界の外にあるファイルへアクセスできる可能性を修正しました。
影響確認 (2)
securityhighGO-2026-4601 に対応した IPv6 ホストリテラル解析の修正
net/url を使用している場合に適用されます。
breakingstateRetentionPolicy の Configuration CRD スキーマ修正
stateRetentionPolicy を設定している場合に適用されます。
セキュリティ上の問題を修正しているため、利用環境ではアップグレードが必要です。その他の不具合修正については、アップグレード以外の運用者対応は必要ありません。
影響確認 (8)
securitymediumOIDC Dynamic Client Registration の SSRF 修正
OIDC Dynamic Client Registration を利用している場合に適用されます。
securitymediumrealm のクライアント操作における IDOR の修正
適用対象はリリースノートに明記されていません。
securitymediummanage-clients permission による権限昇格の修正
manage-clients permission を設定している場合に適用されます。
エージェントバージョンの報告、TLSポリシーの挙動、性能、複数の不具合が更新され、セキュリティ修正も含まれます。セキュリティに関する変更はアップグレードが必要で、その他の修正は該当するデプロイメントを利用している場合を除き情報提供です。
要対応 (1)
securityエージェントレベルでのセレクター記録停止
機密情報が漏えいする可能性を避けるため、エージェントレベルでセレクターをログに記録しなくなりました（#6732）。
影響確認 (1)
securityサーバーTCPエンドポイントのTLSセッションチケット無効化
サーバーのTCPエンドポイントを使用している場合に適用されます。
公開されたセキュリティ修正と indication 名の変更に加え、正確性、動作、可観測性に関する更新が含まれます。大半の変更では、アップグレード以外に運用者の対応は必要ありません。
要対応 (1)
securityhighCVE-2025-47913 への対処
golang/x/crypto を openshift/golang-crypto の修正版モジュールに向ける replace directive が追加され、CVE-2025-47913 に対処しました。
影響確認 (2)
breakingQuiesceTimeout indication への名称変更
Windows VSSを利用している場合に適用されます。
breakingDefaultVirtWebhookClient{QPS,Burst} の既定値調整
適用対象はリリースノートに明記されていません。
設定項目とLLMInferenceServiceの機能が広がり、チャートや依存関係の更新も含まれます。動作の変更や削除、複数の不具合修正も行われています。運用者が確認して適用するセキュリティ修正も含まれます。
要対応 (13)
securitycriticalh11の不正なボディ処理を修正
不正なボディを受け入れるh11の問題として、CVE-2025-43859に対処しました。
securityhighstarletteを0.に固定
starletteをバージョン0.に固定し、CVE-2025-62727に対処しました。
securityhighlightgbmを4.に更新
lightgbmをバージョン4.に更新し、CVE-2024-43598に対処しました。
securityhighCVE-2025-66418への対処
解凍チェーン内のリンク数が無制限になる問題として、CVE-2025-66418に対処しました。
securityhighexpr-lang/exprをv1.に更新
expr-lang/exprをv1.に更新し、CVE-2025-68156に対処しました。
securityhighcryptographyのCVE-2026-26007対策
cryptographyのsubgroup attackに関するCVE-2026-26007に対処しました。
securityhighpython-multipartのCVE-2026-24486対策
python-multipartで任意のファイルを書き込める問題として、CVE-2026-24486に対処しました。
securitymedium複数のCVEへの対処
securityhttps.のパストラバーサル対策
https.でパストラバーサルが発生しないよう修正しました。
security複数のCVEへの対処
複数のCVEsに対処しました。
securityAIOHTTPの自動解凍処理を修正
AIOHTTPのHTTP Parserにあるauto_decompress機能のzip bomb脆弱性を修正しました。
securityextractTarFilesのパストラバーサル対策
extractTarFilesのパストラバーサル脆弱性を修正しました。
breakingminioからseaweedfsへの置き換え
minioをseaweedfsに置き換えました。
影響確認 (6)
breakinginferenceservice CRDのcert-managerアノテーション削除
inferenceservice CRDを使用している場合に適用されます。
breakingPython 3.9のサポート終了
Python 3.9を実行している場合に適用されます。
breaking--disable-log-requestsフラグの削除
--disable-log-requestsを設定している場合に適用されます。
通信設定から実行時処理まで複数の動作が更新され、入力検証も厳格になっています。TLS証明書のローテーション処理と実験的な既定値が見直され、Goツールチェーンは開示されたアドバイザリに対応する更新を受けています。
要対応 (2)
securityhighgo ツールチェーンの更新
go ツールチェーンを 1.25.8 に更新し、標準ライブラリの脆弱性 GO-2026-4603 と GO-2026-4601 に対応しました。
breakingタプル文字列の検証条件変更
タプル文字列に unicode control characters または null bytes が含まれている場合、タプル検証が失敗するようになりました。
影響確認 (1)
breakingpipeline_list_objects の実験的な既定値変更
pipeline_list_objects を設定している場合、listObjects-pipeline-enabled を設定している場合、またはカスタムの featureflag クライアントを使用している場合に適用されます。
Kubernetesの対応範囲を絞り、今後削除される機能を告知したリリースです。Kafka 3.をサポートし、依存関係のセキュリティ修正も含みます。リリース概要や成果物一覧には、個別の運用者向け変更に当たらない記載もあります。
要対応 (8)
securityhighGRPC Netty ShadedのCVE-2025-55163対応
GRPC Netty Shaded を更新し、CVE-2025-55163 に対応しました。
securitymediumZookeeperのCVE-2024-47554対応
Zookeeper を更新し、CVE-2024-47554 に対応しました。
securitymediumNimbus Jose JWT 10.0.2への更新
Nimbus Jose JWT を 10. に更新し、CVE-2025-53864 に対応しました。
securitymediumNetty 4.1.130.Finalへの更新
Netty を 4. に更新し、CVE-2025-67735 に対応しました。
securitymediumApache Log4J 2.25.3への更新
Apache Log4J を 2. に更新し、CVE-2025-68161 に対応しました。
securitymediumVertx 4.5.24への更新
Vertx を 4. に更新し、CVE-2026-1002 に対応しました。
securitymediumJacksonのGHSA-72hv-8253-57qq対応
Jackson を更新し、GHSA-72hv-8253-57qq に対応しました。
securityVert.とNettyのCVE対応
0.45.xブランチで、Vert. と Netty が更新され、CVEへの対応が行われました。
影響確認 (1)
breakingKubernetesの対応範囲を1.25以降に変更
Kubernetes 1. または Kubernetes 1. を使用している場合に該当します。
事前準備 (3)
breakingStrimzi MirrorMaker 2 Extensionsの削除予定0.28.0から · 0.46で削除予定
Strimzi MirrorMaker 2 Extensions を使用している場合に該当します。
breakingStrimzi EnvVar Configuration Providerの削除予定0.38.0から · 0.46で削除予定
Strimzi EnvVar Configuration Provider を使用している場合に該当します。
deprecatedZooKeeperベースのKafkaクラスタとMirrorMaker 1のサポート終了予定0.46で削除予定
ZooKeeper-based Apache Kafka clusters または MirrorMaker 1 deployments を使用している場合に該当します。
アップグレードを要するセキュリティ修正が含まれています。通常の不具合修正に加え、公開アーティファクトと動的モジュールの互換性に関する変更もあります。
要対応 (3)
securitymediumスコープ付き IPv6 アドレスのクラッシュ修正
スコープ付き IPv6 アドレスで getAddressWithPort() が呼び出された際のクラッシュを修正しました。対象の識別子は CVE-2026-26310 と GHSA-3cw6-2j68-868p です。
securitymediumJSON の文字列終端処理の修正
境界を 1 つ超えて書き込む処理を修正し、文字列の null 終端文字が破損する問題に対応しました。対象の識別子は CVE-2026-26309 と GHSA-56cj-wgg3-x943 です。
securitymedium下流側リセット後の decode* メソッド実行制御
下流側でリセットされた後に decode* メソッドが実行されないよう修正しました。対象の識別子は CVE-2026-26311 と GHSA-84xm-r438-86px です。
影響確認 (2)
securityhighrbac の複数値ヘッダーによるバイパス修正
rbac サブシステムを使用している場合に適用されます。
securitymediumレスポンスフェーズの制限処理におけるクラッシュ修正
ratelimit サブシステムを使用している場合に適用されます。
アップグレード対応が必要なセキュリティ修正に加え、通常のバグ修正と依存関係およびイメージの更新を含みます。残りの項目は見出しのみで、運用者向けの変更内容は記載されていません。
要対応 (3)
securitymediumスコープ付きIPv6アドレス処理のクラッシュ修正
CVE-2026-26310（GHSA-3cw6-2j68-868p）に対応し、スコープ付きIPv6アドレスを渡して getAddressWithPort() を呼び出した際のクラッシュを修正しました。
securitymediumjson のオフバイワン書き込み修正
CVE-2026-26309（GHSA-56cj-wgg3-x943）に対応し、文字列のnull終端を破損させる可能性があったオフバイワン書き込みを json で修正しました。
securitymedium下流リセット後の decode* メソッド実行防止
CVE-2026-26311（GHSA-84xm-r438-86px）に対応し、下流リセット後に decode* メソッドが実行されないよう修正しました。
影響確認 (2)
securityhighrbac の複数値ヘッダーバイパス修正
rbac を使用している場合に適用されます。
securitymediumratelimit のレスポンスフェーズにおけるクラッシュ修正
ratelimit を使用している場合に適用されます。
Envoy v1.35.9は、複数の処理経路に関わるセキュリティ修正を含むリリースです。RBAC、アドレス処理、JSON処理、HTTP処理を利用している環境に関係します。
要対応 (4)
securityhighRBACの複数値ヘッダーバイパス修正
CVE-2026-26308（GHSA-ghc4-35x6-crw5）に対応し、RBACで複数値ヘッダーを使ったバイパスを修正しました。
securitymediumスコープ付きIPv6アドレス処理のクラッシュ修正
CVE-2026-26310（GHSA-3cw6-2j68-868p）に対応し、スコープ付きIPv6アドレスでgetAddressWithPort()を呼び出した際にクラッシュする問題を修正しました。
securitymediumJSON処理のオフバイワン書き込み修正
CVE-2026-26309（GHSA-56cj-wgg3-x943）に対応し、JSON処理で文字列のnull終端子を破損させる可能性があったオフバイワン書き込みを修正しました。
securitymedium下流リセット後のdecode*メソッド実行制御
CVE-2026-26311（GHSA-84xm-r438-86px）に対応し、下流接続のリセット後にdecode*メソッドが実行されないよう修正しました。
不具合修正と挙動変更を中心に、Podイベントへ認証情報が漏えいする問題への修正が含まれます。Goツールチェーンの更新と、コンテナを同時に作成した際の警告追加も行われています。
要対応 (1)
securitypod eventsでの認証情報漏えい防止
pod eventsで認証情報が漏えいする問題を防ぎます。
公表済みのセキュリティ修正に加え、OAuth2の正確性修正とDocker base imagesの更新を含みます。非セキュリティ修正ではオペレーターの作業は不要ですが、セキュリティ脆弱性にはアップグレードで対応します。
要対応 (4)
securityhighrbac の複数値ヘッダーバイパスを修正
rbac における複数値ヘッダーのバイパスを修正しました。対象は CVE-2026-26308（GHSA-ghc4-35x6-crw5）です。
securitymediumスコープ付きIPv6アドレス処理のクラッシュを修正
スコープ付きIPv6アドレスで呼び出した際に発生する getAddressWithPort() のクラッシュを network で修正しました。対象は CVE-2026-26310（GHSA-3cw6-2j68-868p）です。
securitymediumjson のオフバイワン書き込みを修正
json で、文字列のnull終端子を破壊する可能性があるオフバイワン書き込みを修正しました。対象は CVE-2026-26309（GHSA-56cj-wgg3-x943）です。
securitymedium下流側リセット後の decode* メソッドをブロック
下流側のリセット後に decode* メソッドが実行されないよう、http の処理を修正しました。対象は CVE-2026-26311（GHSA-84xm-r438-86px）です。
EnvoyとIstioのCVEを含む複数のセキュリティ修正に加え、通常の正確性修正とデバッグエンドポイントの認可設定機能が追加されています。デバッグエンドポイントや認証関連機能を利用する環境では、該当する修正内容の確認が必要です。
要対応 (1)
securitymediumCVE-2026-26309のJSONオフバイワン書き込み修正
JSON処理で発生するオフバイワン書き込みを修正しました。
影響確認 (10)
securityhighCVE-2026-26308のマルチバリューヘッダーバイパス修正
RBACを使用している場合に適用されます。
securityhighCVE-2026-31837とGHSA-v75c-crr9-733cのJWKS Resolver修正
JWKS Resolverを使用している場合に適用されます。
securitymediumCVE-2026-26311のHTTPデコード処理修正
HTTPを使用している場合に適用されます。
複数の公開済みセキュリティ修正を含み、Envoy と Istio の CVE に対応しています。デバッグエンドポイントの名前空間認可設定が追加され、InferencePool 構成を失う不具合も修正されています。
要対応 (7)
securityhighRBACの複数値ヘッダーバイパス修正
CVE-2026-26308 に対応し、RBAC における複数値ヘッダーのバイパスを修正しました。
securityhighJWKSリゾルバー障害による認証バイパス修正
CVE-2026-31837 および GHSA-v75c-crr9-733c に対応し、既知のデフォルトキーを使った認証バイパスにつながる JWKS リゾルバーの障害を修正しました。
securitymedium下流リセット後のHTTPデコードメソッド処理修正
CVE-2026-26311 に対応し、下流側のリセット後にHTTPデコードメソッドがブロックされる問題を修正しました。
securitymediumスコープ付きIPv6アドレス処理のクラッシュ修正
CVE-2026-26310 に対応し、スコープ付きIPv6アドレスを指定した getAddressWithPort() でクラッシュする問題を修正しました。
securitymediumJSON処理のオフバイワン書き込み修正
CVE-2026-26309 に対応し、JSON処理で発生するオフバイワン書き込みを修正しました。
securitymediumレート制限レスポンスフェーズのクラッシュ修正
CVE-2026-26330 に対応し、レート制限レスポンスフェーズでクラッシュする問題を修正しました。
securitymediumデバッグエンドポイントの名前空間越しプロキシデータアクセス修正
CVE-2026-31838 および GHSA-974c-2wxh-g4ww に対応し、デバッグエンドポイントから別の名前空間にあるプロキシデータへアクセスできる問題を修正しました。
影響確認 (3)
security平文ポートのXDSデバッグエンドポイント認証
XDS デバッグエンドポイントを公開している場合に適用されます。
securityWasmPluginイメージ取得時のSSRF対策
WasmPlugin のイメージ取得を使用している場合に適用されます。
securityHTTPデバッグエンドポイントの名前空間認可
HTTPデバッグエンドポイントを公開している場合に適用されます。
セキュリティ修正と、デバッグエンドポイントで認可する名前空間を指定できる新しい設定機能を含みます。セキュリティ修正の適用にはアップグレードが必要で、新しい認可設定は任意です。
要対応 (3)
securitymedium下流リセット後のHTTPデコードメソッド処理修正
CVE-2026-26311 に対応し、下流からのリセット後にHTTPデコードメソッドがブロックされるよう修正しました。
securitymediumスコープ付きIPv6アドレス使用時のクラッシュ修正
CVE-2026-26310 に対応し、スコープ付きIPv6アドレスを指定したgetAddressWithPort()のクラッシュを修正しました。
securitymediumJSONのオフバイワン書き込み修正
CVE-2026-26309 に対応し、JSONのオフバイワン書き込みを修正しました。
影響確認 (6)
securityhighRBACのマルチバリューヘッダーバイパス修正
RBAC を使用している場合に適用されます。
securityhighJWKS Resolverの認証バイパスにつながる障害修正
JWKS Resolver を使用している場合に適用されます。
securitymediumデバッグエンドポイントの名前空間をまたぐプロキシデータアクセス修正
Debug Endpoints を使用している場合に適用されます。
Helm、API、solver、feature gate に関する機能が追加され、既定値や受け付ける動作も変更されています。複数の不具合が修正され、cert-manager と Go に関するセキュリティ修正も含まれています。
要対応 (2)
securityhighGo を v1. に更新
Go を v1. に更新し、CVE-2025-61727 と CVE-2025-61729 に対応しました。
breakingIssuer 参照の kind と group の既定値を変更
Issuer の参照に使う kind と group の既定値が、v0.19.0 で導入された値から以前の設定に戻りました。
影響確認 (4)
securityDNS キャッシュ処理による cert-manager controller のパニックを修正
適用対象はリリースノートに明記されていません。
breakingOtherNames を Beta に昇格し既定で有効化
OtherNames 機能を使用している場合に適用されます。
breakingコンテナの既定 UID と GID を変更
既定のコンテナユーザー（UID）または既定のコンテナグループ（GID）を設定していない場合に適用されます。
v1.42.1では、goと依存関係の更新によるCVE対応が行われています。依存関係の更新内容を確認する必要があるリリースです。
要対応 (1)
securitygoと依存関係のCVE対応
goおよび依存関係が更新され、CVEへの対応が行われました。
セキュリティ修正、正確性の修正、JetStream設定機能の拡張、依存関係の更新を含みます。クラスタ構成ではストリーム更新に関する回帰が報告されており、max_connsの挙動も変わっています。
影響確認 (3)
securityCVE-2026-29785の修正
leafnode compressionを有効にしている場合に適用されます。
securityCVE-2026-27889の修正
WebSocketsを有効にしている場合に適用されます。
breakingmax_connsの0設定
サーバー設定でmax_connsを指定している場合に適用されます。
セキュリティ修正、Goツールチェーンのバージョン変更、WebSocketsの動作修正を含みます。該当する機能を利用する環境では、更新が必要です。
影響確認 (2)
securityhighCVE-2026-29785 の修正
CVE-2026-29785 が存在し、leafnode compression が有効な場合に適用されます。
securityhighCVE-2026-27889 の修正
CVE-2026-27889 が存在し、WebSockets が有効な場合に適用されます。
v1.14.1は、バグ修正と依存関係更新をまとめたパッチリリースです。Golang標準ライブラリや共通パッケージを利用する環境に関係します。
要対応 (1)
securityGolang標準ライブラリと共通パッケージの依存関係更新
Golang標準ライブラリと共通パッケージの脆弱性に関する依存関係更新が含まれています。
セキュリティ修正を含むビルド依存関係の更新に加え、プロキシプロトコル対応や正確性、運用時の挙動に関する変更を含みます。既存環境ではセキュリティ修正とACLバイパス防止への対応が必要になることがあり、それ以外は新しい機能や値を選ぶ場合を除き情報提供です。
要対応 (1)
securityhighGo 1.へのビルド更新
ビルドに使用するGoをGo 1.へ更新し、CVE-2026-27137、CVE-2026-27138、CVE-2026-27139、CVE-2026-25679、CVE-2026-27142に対応するセキュリティ修正を含めています。
影響確認 (2)
securityhighrewriteとaclの処理順序を変更
rewriteとaclの両方を使用している場合に適用されます。
securityhighplugin/loopのクエリ名生成にcrypto/randを使用
plugin/loopが実行される場合に適用されます。
公表済みの脆弱性への対応に加え、KubernetesとKafkaのサポート対象が見直され、機能ゲートの既定値やリスナー単位のKafkaオプション設定が変更されました。ingressリスナータイプも非推奨になっており、アップグレードにはCRDの更新とKafkaUserフィールドの移行が必要です。
要対応 (2)
securityhigh公表済み脆弱性への対応
公表済みの脆弱性2件に対応しました。対象は CVE-2026-27133、CVE-2026-27134、GHSA-2qwx-rq6j-8r6j、GHSA-6x85-j2f7-4xc5 です。
breakingServerSideApplyPhase1を既定で有効化
ServerSideApplyPhase1 feature gateがベータに移行し、既定で有効になりました。
影響確認 (2)
breakingKubernetesのサポート対象を1.30以降に変更
Kubernetes 1.27、1.28、または1.29を使用している場合に該当します。
breakingKafka 4.0.0および4.0.1のサポートを削除
Kafka 4.0.0または4.0.1を使用している場合に該当します。
事前準備 (1)
deprecatedingressリスナータイプを非推奨化
ingressリスナータイプを設定している場合に該当します。
SAMLとアイデンティティブローカーに関する公開済みのセキュリティ脆弱性4件を修正しています。運用環境ではアップグレードが必要です。
影響確認 (4)
securityhighCVE-2026-3047 の SAML broker 認証バイパスを修正
SAML brokerを使用し、disabled SAML clientを設定している場合に該当します。
securityhighCVE-2026-3009 の無効なIdentity Providerの扱いを修正
Disabled Identity Providerを設定している場合に該当します。
securityhighCVE-2026-2603 の無効なSAML IdPによるログインを修正
Disabled SAML IdPを設定している場合に該当します。
