リリース

要対応 (3)

• securitymediumスコープ付きIPv6アドレスでの getAddressWithPort() のクラッシュ修正

  スコープ付きIPv6アドレスを指定して getAddressWithPort() を呼び出した際にクラッシュする問題を修正しました。CVE-2026-26310（GHSA-3cw6-2j68-868p）に対応します。

• securitymedium文字列終端を破壊するオフバイワン書き込みの修正

  文字列の終端を破壊する可能性があったオフバイワン書き込みを修正しました。CVE-2026-26309（GHSA-56cj-wgg3-x943）に対応します。

• securitymedium下流側リセット後の decode* メソッド実行制御

  下流側のリセット後に decode* メソッドが実行されないよう修正しました。CVE-2026-26311（GHSA-84xm-r438-86px）に対応します。

要対応 (4)

• securityhighRBACの複数値ヘッダーバイパス修正

  CVE-2026-26308（GHSA-ghc4-35x6-crw5）に対応し、RBACで複数値ヘッダーを使ったバイパスを修正しました。

• securitymediumスコープ付きIPv6アドレス処理のクラッシュ修正

  CVE-2026-26310（GHSA-3cw6-2j68-868p）に対応し、スコープ付きIPv6アドレスでgetAddressWithPort()を呼び出した際にクラッシュする問題を修正しました。

• securitymediumJSON処理のオフバイワン書き込み修正

  CVE-2026-26309（GHSA-56cj-wgg3-x943）に対応し、JSON処理で文字列のnull終端子を破損させる可能性があったオフバイワン書き込みを修正しました。

• securitymedium下流リセット後のdecode*メソッド実行制御

  CVE-2026-26311（GHSA-84xm-r438-86px）に対応し、下流接続のリセット後にdecode*メソッドが実行されないよう修正しました。

要対応 (1)

• securitypod eventsでの認証情報漏えい防止

  pod eventsで認証情報が漏えいする問題を防ぎます。

要対応 (4)

• securityhighrbac の複数値ヘッダーバイパスを修正

  rbac における複数値ヘッダーのバイパスを修正しました。対象は CVE-2026-26308（GHSA-ghc4-35x6-crw5）です。

• securitymediumスコープ付きIPv6アドレス処理のクラッシュを修正

  スコープ付きIPv6アドレスで呼び出した際に発生する getAddressWithPort() のクラッシュを network で修正しました。対象は CVE-2026-26310（GHSA-3cw6-2j68-868p）です。

• securitymediumjson のオフバイワン書き込みを修正

  json で、文字列のnull終端子を破壊する可能性があるオフバイワン書き込みを修正しました。対象は CVE-2026-26309（GHSA-56cj-wgg3-x943）です。

• securitymedium下流側リセット後の decode* メソッドをブロック

  下流側のリセット後に decode* メソッドが実行されないよう、http の処理を修正しました。対象は CVE-2026-26311（GHSA-84xm-r438-86px）です。

要対応 (1)

• securitymediumCVE-2026-26309のJSONオフバイワン書き込み修正

  JSON処理で発生するオフバイワン書き込みを修正しました。

要対応 (7)

• securityhighRBACの複数値ヘッダーバイパス修正

  CVE-2026-26308 に対応し、RBAC における複数値ヘッダーのバイパスを修正しました。

• securityhighJWKSリゾルバー障害による認証バイパス修正

  CVE-2026-31837 および GHSA-v75c-crr9-733c に対応し、既知のデフォルトキーを使った認証バイパスにつながる JWKS リゾルバーの障害を修正しました。

• securitymedium下流リセット後のHTTPデコードメソッド処理修正

  CVE-2026-26311 に対応し、下流側のリセット後にHTTPデコードメソッドがブロックされる問題を修正しました。

• securitymediumスコープ付きIPv6アドレス処理のクラッシュ修正

  CVE-2026-26310 に対応し、スコープ付きIPv6アドレスを指定した getAddressWithPort() でクラッシュする問題を修正しました。

• securitymediumJSON処理のオフバイワン書き込み修正

  CVE-2026-26309 に対応し、JSON処理で発生するオフバイワン書き込みを修正しました。

• securitymediumレート制限レスポンスフェーズのクラッシュ修正

  CVE-2026-26330 に対応し、レート制限レスポンスフェーズでクラッシュする問題を修正しました。

• securitymediumデバッグエンドポイントの名前空間越しプロキシデータアクセス修正

  CVE-2026-31838 および GHSA-974c-2wxh-g4ww に対応し、デバッグエンドポイントから別の名前空間にあるプロキシデータへアクセスできる問題を修正しました。

要対応 (3)

• securitymedium下流リセット後のHTTPデコードメソッド処理修正

  CVE-2026-26311 に対応し、下流からのリセット後にHTTPデコードメソッドがブロックされるよう修正しました。

• securitymediumスコープ付きIPv6アドレス使用時のクラッシュ修正

  CVE-2026-26310 に対応し、スコープ付きIPv6アドレスを指定したgetAddressWithPort()のクラッシュを修正しました。

• securitymediumJSONのオフバイワン書き込み修正

  CVE-2026-26309 に対応し、JSONのオフバイワン書き込みを修正しました。

要対応 (2)

• securityhighGo を v1.25.5 に更新

  Go を v1.25.5 に更新し、CVE-2025-61727 と CVE-2025-61729 に対応しました。

• breakingIssuer 参照の kind と group の既定値を変更

  Issuer の参照に使う kind と group の既定値が、v0.19.0 で導入された値から以前の設定に戻りました。

要対応 (1)

• securityプロジェクト作成前に発行されたベアラートークンの拒否

  プロジェクト作成前に発行されたベアラートークンを拒否するよう、セキュリティ関連の検証を変更しました。

要対応 (1)

• securityプロジェクト作成前に発行された bearer token の拒否

  プロジェクト作成前に発行された bearer token を拒否するセキュリティ修正です。

要対応 (1)

• securitygoと依存関係のCVE対応

  goおよび依存関係が更新され、CVEへの対応が行われました。

影響確認 (1)

• breakingクラスタバージョンラベルの形式変更

  argocd.argoproj.io/auto-label-cluster-info と argocd.argoproj.io/kubernetes-version を設定している場合に適用されます。

影響確認 (3)

• securityCVE-2026-29785の修正

  leafnode compressionを有効にしている場合に適用されます。

• securityCVE-2026-27889の修正

  WebSocketsを有効にしている場合に適用されます。

• breakingmax_connsの0設定

  サーバー設定でmax_connsを指定している場合に適用されます。

影響確認 (2)

• securityhighCVE-2026-29785 の修正

  CVE-2026-29785 が存在し、leafnode compression が有効な場合に適用されます。

• securityhighCVE-2026-27889 の修正

  CVE-2026-27889 が存在し、WebSockets が有効な場合に適用されます。

要対応 (1)

• securityGolang標準ライブラリと共通パッケージの依存関係更新

  Golang標準ライブラリと共通パッケージの脆弱性に関する依存関係更新が含まれています。

要対応 (1)

• breakingpriorities の型を int32 に変更

  priorities の型が文字列から int32 に変更されました。

要対応 (1)

• breakingGo 1.25.7の必須化

  コードベース全体でGoのバージョンを統一し、Go 1.25.7を必須とします。

要対応 (1)

• securityGo 1.25.7の更新

  Go 1.25.7では、go コマンドと crypto/tls パッケージのセキュリティ修正に加え、コンパイラーと crypto/x509 パッケージの不具合修正が行われています。

要対応 (1)

• securityhighGo 1.26.1へのビルド更新

  ビルドに使用するGoをGo 1.26.1へ更新し、CVE-2026-27137、CVE-2026-27138、CVE-2026-27139、CVE-2026-25679、CVE-2026-27142に対応するセキュリティ修正を含めています。

要対応 (2)

• securityhigh公表済み脆弱性への対応

  公表済みの脆弱性2件に対応しました。対象は CVE-2026-27133、CVE-2026-27134、GHSA-2qwx-rq6j-8r6j、GHSA-6x85-j2f7-4xc5 です。

• breakingServerSideApplyPhase1を既定で有効化

  ServerSideApplyPhase1 feature gateがベータに移行し、既定で有効になりました。

影響確認 (4)

• securityhighCVE-2026-3047 の SAML broker 認証バイパスを修正

  SAML brokerを使用し、disabled SAML clientを設定している場合に該当します。

• securityhighCVE-2026-3009 の無効なIdentity Providerの扱いを修正

  Disabled Identity Providerを設定している場合に該当します。

• securityhighCVE-2026-2603 の無効なSAML IdPによるログインを修正

  Disabled SAML IdPを設定している場合に該当します。

• リリースページにあと 1 件

影響確認 (1)

• securityBackstageパッケージのセキュリティ修正

  @backstage/plugin-techdocs-node、@backstage/integration、または@backstage/plugin-scaffolder-backendを利用している場合に該当します。

影響確認 (2)

• securityhttp_challengeのSSRF脆弱性を修正

  http_challengeを利用している場合に適用されます。

• securityx509popのCPU時間過剰消費問題を修正

  x509popを利用している場合に適用されます。

影響確認 (2)

• securityhttp_challenge のSSRF攻撃問題を修正

  http_challenge サーバーノードアテスタープラグインを使用している場合に該当します。

• securityx509pop のCPU過剰消費問題を修正

  x509pop サーバーノードアテスタープラグインを使用している場合に該当します。