リリース
CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
セキュリティ関連の更新が含まれ、そのうち一つは依存関係の更新です。互換性、検証、ポリシー、サンドボックス、オーバーレイ、マウント、ツールチェーンにも変更があります。
要対応 (2)
securityhighCVE-2026-46680 に関するセキュリティ更新
CVE-2026-46680 に関するセキュリティ更新です。
securityhigh
go-jose/go-joseを v4.1.4 に更新go-jose/go-joseを v4.1.4 に更新し、GHSA-78h2-9frx-2jm8 を修正しています。
セキュリティ対応と既定のソケットポリシー変更が含まれます。変更内容は seccomp に関するものです。
要対応 (1)
securityhighCVE-2026-46680 の修正
CVE-2026-46680 に対応しました。関連するアドバイザリは GHSA-fqw6-gf59-qr4w です。
影響確認 (1)
breaking
seccompのデフォルトソケットポリシー変更seccompを使用している場合に適用されます。
containerd v1. には、CVE-2026-46680 として開示されたセキュリティ修正が含まれます。セキュリティ advisory の対象を確認している利用者に関係するリリースです。
要対応 (1)
securityhighCVE-2026-46680 に関するセキュリティ修正
CVE-2026-46680 が開示され、関連する advisory として GHSA-fqw6-gf59-qr4w が示されています。
ランタイム、スナップショッター、ストレージ、サーバーの不具合修正に加え、seccompの強化とCVE対応が含まれます。user namespaceでのoverlayfsのrebase機能を無効化し、Runcのtask fieldsを非推奨としています。APIとGoツールチェーンも更新されています。
要対応 (1)
securityhighCVE-2026-46680への対応
CVE-2026-46680に関する修正が含まれます。
影響確認 (1)
breaking
overlayfsのuser namespaceにおけるrebase機能を無効化overlayfsを使用し、user namespaceで実行している場合に該当します。
事前準備 (1)
deprecated
Runc optionsのtask fieldsを非推奨化Runc optionsでtask fieldsを設定している場合に該当します。
Emissary v4.1.0は、Envoyの依存関係を更新し、空の差分を含むスナップショットで古いキャッシュが残る問題を修正したリリースです。Istio mTLS証明書のローテーションに関係する環境では、影響を確認する対象となります。
原文 ↗
互換性に影響する廃止や既定値、制約の変更が含まれています。運用者向けの新しい機能と性能改善に加え、依存関係の既知の脆弱性に対応する更新もあります。
要対応 (2)
securityModule Federation パッケージの v2.3.3 更新
既知の脆弱性に対応するため、Module Federation パッケージが v2.3.3 に更新されました。
breaking
@remixicon/reactの依存バージョン制限ライセンス変更により、
@remixicon/reactの依存バージョンは 4.9.0 未満に制限されました。
影響確認 (9)
security
CIMDとDCRの既定ワイルドカード変更CIMDまたはDCRを設定している場合に適用されます。breaking
NavItemBlueprintの削除NavItemBlueprintを使用している場合に適用されます。breaking
renderInTestAppの描画内容の変更renderInTestAppを使用している場合に適用されます。- リリースページにあと 6 件
事前準備 (4)
deprecated
PolicyQueryUser.の非推奨化identity PolicyQueryUser.を使用している場合に適用されます。identity deprecated
EXPERIMENTAL_formDecoratorsの非推奨エイリアス化EXPERIMENTAL_formDecoratorsを設定している場合に適用されます。deprecated
catalog.の非推奨化stitchingStrategy. mode: 'immediate' catalog.を設定している場合に適用されます。stitchingStrategy. mode - リリースページにあと 1 件
Exporterの処理状況を確認するメトリクスと設定検証APIが追加され、ランタイムおよび設定に関する不具合が修正されています。明示的に設定したPrometheusテレメトリの既定動作とsnappyリクエストのサイズ制限の適用方法が変わり、2つの検証APIは非推奨になっています。
影響確認 (2)
breakingsnappyリクエストへの
max_request_body_size適用タイミングの変更max_request_body_sizeを設定している場合に適用されます。breaking明示的なPrometheusテレメトリ設定の既定値修正
テレメトリのメトリクス設定を構成している場合に適用されます。
事前準備 (1)
deprecated設定検証APIの非推奨化
xconfmap.またはValidator confmap.を使用している場合に適用されます。Validate
公開された複数の CVE を含むセキュリティ修正に加え、依存関係の更新、機能改善、バグ修正が含まれています。セキュリティ修正と、operator の更新時にオブジェクトの削除が必要になる問題の修正が、更新に関係する主な内容です。
要対応 (6)
securityhighHTTP/2 CONTINUATION フレーム大量送信によるサービス拒否の修正
CVE-2026-33871 に関する、HTTP/2 CONTINUATION フレームの大量送信によるサービス拒否の問題を修正しました。
securityhighChunked Extension 解析を悪用した HTTP リクエストスマグリングの修正
CVE-2026-33870 に関する、Chunked Extension の Quoted-String 解析を悪用した HTTP リクエストスマグリングの問題を修正しました。
securityhigh
bouncycastleに関する複数の問題の修正CVE-2026-0636、CVE-2026-3505、CVE-2026-5598 に関する
bouncycastleの問題を修正しました。securityhighリダイレクト URI 検証回避の修正
CVE-2026-7504 に関する、Keycloak のリダイレクト URI 検証を回避できる問題を修正しました。
securitymedium
bcpkixモジュールの暗号アルゴリズム問題の修正CVE-2026-5588 に関する、Bouncy Castle Crypto Package For Java の
bcpkixモジュールで、危険または破損した暗号アルゴリズムが使用される問題を修正しました。security権限およびポリシー呼び出し順序による client ID 露出の修正
権限とポリシーの呼び出し順序によって client ID が露出する問題を修正しました。
影響確認 (12)
securityhigh
/samlエンドポイントへの細工したリクエストによるサービス拒否の修正/samlを使用している場合に適用されます。securityhighimplicit flow の回避とアクセストークン開示の修正
implicit flowを使用している場合に適用されます。securityhighOIDC ログインフローのセッション固定の修正
OIDC login flowを使用している場合に適用されます。- リリースページにあと 9 件
HAMi-core、Ascend/vNPU仮想化、DRA、CDI、監視、メトリクス、デプロイ、デバッグに関する機能が加わっています。スケジューリングや割り当て、デバイス、チャート、互換性の不具合修正に加え、非推奨設定の削除、セキュリティ修正、依存関係の更新も含まれます。
要対応 (3)
security
tensorflow/tensorflowのセキュリティ更新tensorflow/tensorflowを2.から20. 0rc0-gpu 2.へ更新します。21. 0rc0-gpu security
tensorflow/tensorflowのセキュリティ更新tensorflow/tensorflowを2.から21. 0rc0-gpu 2.へ更新します。21. 0rc1-gpu security
golangのセキュリティ更新セキュリティ上の問題に対応するため、
golangをアップグレードします。
影響確認 (3)
breaking非推奨の
scheduler policy configmapを削除scheduler policy configmapを設定している場合に適用されます。breaking
nvidia.の既定値をoverwriteEnv falseに変更Helmを使用している場合に適用されます。
breaking
device pluginのホストネットワークを無効化device pluginが実行される場合に適用されます。
依存関係の更新に加え、運用時に関わる設定や挙動の変更、新しい連携や機能、正確性に関する修正が含まれます。セキュリティ関連の依存関係更新も行われています。
要対応 (1)
securityhighGo依存関係の脆弱性対応
脆弱性のあるGo依存関係を更新し、GHSA-xmrv-pmrh-hhx2およびCVE-2026-34986に対応しました。
影響確認 (2)
breaking
provider configの設定読み取り先変更provider configを設定している場合に適用されます。breakingMCPサーバーの既定動作をオプトインに変更
MCPサーバーを使用する場合に適用されます。
Gateway API、ambientモード、テレメトリ、Helm、運用機能に関する新しい機能が追加されています。XDSデバッグエンドポイントの認証要件と、Istioイメージのデフォルトレジストリ変更は、利用環境の設定確認が必要な変更です。アドバイザリ識別子や、明示的に開示された脆弱性はありません。
要対応 (1)
breakingIstioイメージのデフォルトレジストリ変更
Istioイメージのデフォルトレジストリが
registry.になりました。istio. io
影響確認 (1)
breakingXDSデバッグエンドポイントの認証必須化
ENABLE_DEBUG_ENDPOINT_AUTHが設定されている場合に適用されます。
Gateway API への対応、analyzer と HBONE の調整機能が追加され、証明書、コントローラー、プローブ、出力、認可に関する問題が修正されています。認可に関するセキュリティ修正を含むため、該当する環境ではアップグレードが必要です。
要対応 (1)
security名前空間をまたぐプロキシ列挙と設定ダンプ取得の認可修正
認証済みのワークロードが、別の名前空間にあるワークロードのプロキシを列挙し、設定ダンプを取得できていた問題を修正しました。対象には
istio.とio/debug/syncz istio.が含まれます。io/debug/config_dump
影響確認 (2)
security
AuthorizationPolicyの正規表現メタ文字処理の修正適用対象はリリースノートに明記されていません。
breakingAWS EKS の ambient mesh Pod における kubelet ヘルスプローブの修正
ambient mesh の Pod を AWS EKS 上で動かし、Security Groups for Pods（branch ENI）を使用する場合に適用されます。
Gateway APIのバージョン対応に加え、診断および設定の制御機能が追加され、正確性に関する問題も修正されています。セキュリティ修正も2件含まれており、該当する環境ではアップグレードが必要です。
要対応 (1)
securityXDSデバッグエンドポイントの名前空間認可を修正
StatusGenが提供するistio.とio/debug/syncz istio.に、非システム呼び出し元への同一名前空間認可が適用されるようになりました。別の名前空間のワークロードについて、プロキシの列挙や設定ダンプの取得ができないように修正されています。io/debug/config_dump
影響確認 (1)
security
AuthorizationPolicyの正規表現エスケープを修正source.またはprincipals source.を設定している場合に適用されます。namespaces
セキュリティ上の問題への修正と、APIの引数指定に関する変更を含みます。既存モジュールの削除に向けた準備も進められています。
要対応 (1)
securitymediumGHSA-qp9x-wp8f-qgjj の修正
GHSA-qp9x-wp8f-qgjj を修正しました。
影響確認 (1)
breaking
Updater()のbootstrap引数を必須化Updater()を使用している場合に適用されます。
事前準備 (1)
deprecated
securesystemslib.の削除準備hash securesystemslib.を使用している場合に適用されます。hash
このリリースは、ビルダーのライフサイクルと信頼済みビルダーの扱いを更新する内容です。新しい信頼済みHerokuビルダーの追加も含まれています。
原文 ↗
サイドカーの既定モードを変更し、native sidecars をGAに昇格しました。正確性に関する修正、タイムスタンプ処理の設定対応、11件のCVE修正、依存関係の更新を含みます。
要対応 (2)
securityhigh11件のCVEを修正
次のCVEを修正しました。CVE-2026-42501、CVE-2026-42499、CVE-2026-39836、CVE-2026-39826、CVE-2026-39825、CVE-2026-39823、CVE-2026-39820、CVE-2026-39819、CVE-2026-39817、CVE-2026-33814、CVE-2026-33811。
breaking
config.の既定動作を変更linkerd. io/proxy-enable-native-sidecar サイドカーの既定モードを変更し、
config.で指定されるモードがデフォルトになります。linkerd. io/proxy-enable-native-sidecar
テンプレートとCLIの機能追加、依存関係の更新、フラグの非推奨化、正確性に関する修正を含みます。プラグインのパストラバーサルと GO-2026-4394 に対応するセキュリティ修正も含まれます。
要対応 (1)
securityhigh
go.のopentelemetry. io/otel/sdk v1.への更新40. 0 GO-2026-4394への対応として、go.をopentelemetry. io/otel/sdk v1.に更新しました。40. 0
影響確認 (1)
security
Plugin拡張機能のバージョンパストラバーサル修正Plugin拡張機能を使用している場合に該当します。
事前準備 (1)
deprecated
--hide-notesと--render-subchart-notesの非推奨化--hide-notesまたは--render-subchart-notesを使用している場合に該当します。
運用時に影響する不具合修正に加え、監視対象の絞り込み条件の変更、Helm設定の拡張、依存関係とイメージの更新が含まれます。セキュリティ関連の依存モジュール更新もありますが、CVEやアドバイザリ識別子は明示されていません。
要対応 (2)
security
github.をv0.5.1へ更新com/moby/spdystream セキュリティ関連の更新として、依存モジュール
github.をv0.5.1へ更新しました。com/moby/spdystream breaking
EndpointSlice監視のサービスラベル絞り込みloadbalancer/reflectorsで、EndpointSliceの監視対象をサービスラベルで絞り込むようにしました。
影響確認 (1)
breaking
EndpointSlicesの監視時ラベル絞り込み--k8s-service-proxy-nameを設定している場合に適用されます。
既存の挙動を制限する変更に加え、バグ修正、新しいメトリクス、Helmでのイメージ上書き、依存関係とイメージ、コンテナイメージマニフェストの更新を含みます。アドバイザリ識別子は示されていません。
要対応 (1)
security
github.の更新com/moby/spdystream 依存モジュール
github.をcom/moby/spdystream v0.に更新しました。5. 1
影響確認 (1)
breaking
CiliumLocalRedirectPolicyのaddressMatcher上書き制限CiliumLocalRedirectPolicyでaddressMatcherを使用し、--enable-lrp-address-matcher-override=trueを有効にしていない場合に適用されます。
破壊的な削除に加え、メトリクスとAPIの変更、複数の不具合修正、実験的な機能が含まれています。セキュリティアドバイザリやセキュリティ固有の修正は記載されていません。
要対応 (2)
breakingmetricstoreの
min step apiを削除metricstoreから
min step apiを削除しました。breakingjaegermcpの
non-standard health mcp toolを削除jaegermcpから
non-standard health mcp toolを削除しました。
コンポーネントの不具合やリグレッションが修正されています。セキュリティアドバイザリはなく、アップグレード以外にオペレーターが行う対応もありません。
原文 ↗運用時に関わる不具合修正が含まれます。セキュリティアドバイザリやセキュリティ固有の修正は公開されていません。
原文 ↗