CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
v3.21.3では、govulncheck で報告された CVE に対応するため、containerd v1 への依存が削除されています。containerd v1 を利用する構成に関係する変更です。
要対応 (1)
securitycontainerd v1 依存の削除
govulncheck で報告された CVE を解消するため、containerd v1 への依存を削除しました。対象の識別子は 037733e7d51b08e30a0233bd546c345ab3ea3bba です。
複数の運用者向け機能が追加され、動作や対応入力も変更されています。既存の運用機能は非推奨化されておらず、セキュリティ関連では依存関係の移行も行われています。
要対応 (2)
securityDocker依存関係のMoby移行
github. の依存関係を github. 相当へ移行し、CVEを解消しました。
breakingヘルスチェックのRPCメトリクス出力停止
Agentのヘルスチェックで行うループバック呼び出しは、RPC メトリクスを出力しなくなり、メトリクスのノイズが減りました。
影響確認 (1)
breakingdelegated APIのJWT-SVID提供対象変更
管理用エントリまたは下流エントリに対して delegated API を使用している場合に適用されます。
Linuxの脆弱性修正を中心としたセキュリティ更新です。対象環境ではアップグレードが必要で、Linuxとca-certificatesの依存関係も更新されています。
要対応 (1)
securitycriticalLinuxの脆弱性修正
Linuxで CVE-2026-46242 をはじめ、列挙された複数の脆弱性が修正されています。
CVEアドバイザリに基づくLinuxのセキュリティ修正を含むリリースです。Linuxとca-certificatesの更新も含まれているため、これらのシステムコンポーネントを利用する環境に関係します。
要対応 (1)
securitycriticalLinuxのCVEアドバイザリ対応
Linuxについて、CVE-2026-46242 など、列挙されたCVEアドバイザリへの対応が含まれています。
UIで使用する sanitize-html の更新を含むリリースです。CVE-2026-53606 の修正が反映されています。
要対応 (1)
securitymediumsanitize-html の更新
UIで使用する sanitize-html を v2.17.5 に更新し、CVE-2026-53606 を修正しました。
Operatorを中心に、API、機能フラグ、管理機能、デプロイ方法が拡張されました。一方で、既存のオプションや実装の非推奨化と削除が進み、アカウント乗っ取り、ログや監査記録の偽造、認証検証の回避、DoSなどに関するセキュリティ問題と複数の不具合も修正されています。
要対応 (1)
securityアカウント乗っ取り前の攻撃につながる問題を修正
アカウント乗っ取り前の攻撃につながる余地が残る問題を修正しました。
影響確認 (19)
securitymediumCVE-2026-9796の権限確認回避を修正
manage-clientsを使用している場合に該当します。
securitymediumCVE-2026-9689のレスポンスパラメータ重複を修正
OIDCを使用している場合に該当します。
securitymediumCVE-2026-9798のアカウントロック回避を修正
CIBA認証フローを実行している場合に該当します。
事前準備 (4)
deprecatedV1の非推奨化
V1を使用している場合に該当します。
deprecatedRequire Discoverable Credentialの非推奨化
Require Discoverable Credentialオプションを設定している場合に該当します。
deprecatedTwitter IDP実装の非推奨化
Twitter IDP実装を使用している場合に該当します。
設定項目やリソース管理機能の追加に加え、max_ts の無効な更新に対する既定の扱いが変わり、依存関係も更新されています。正確性、メモリ使用量、安定性に関する修正も含まれています。
要対応 (1)
securityサードパーティ依存関係の更新
TiKV 8.5向けに、脆弱性のあるサードパーティ依存関係を更新しました。上流に合わせて互換性に必要な修正も取り込んでいます。
影響確認 (1)
breaking無効な max_ts 更新を既定で拒否
storage. を設定していない場合に適用されます。
運用者が確認すべきRBAC、Helm値、API、フィーチャーゲートの変更を含むリリースです。新しい機能の追加と不具合修正も行われているため、関連する設定や権限を利用している環境では影響確認が必要です。
影響確認 (5)
securitycert-manager-editのACMEリソース権限を削除
cert-manager-edit集約ClusterRoleを利用している場合に該当します。
breakingAPIからObjectReferenceを削除
APIでObjectReferenceを利用している場合に該当します。
breakingPrometheus関連のHelm値を削除
prometheus.、prometheus.、prometheus.のいずれかを設定している場合に該当します。
事前準備 (2)
deprecatedGateway API設定フィールドをgatewayAPIへ移行
enableGatewayAPI、enableGatewayAPIListenerSet、gatewayAPI.、gatewayAPI.のいずれかを設定している場合に該当します。
deprecatedcainjectorのSSA利用とServerSideApplyの非推奨化
セキュリティ関連の修正に加え、認証処理と依存関係、ビルドツールチェーンの更新を含みます。依存関係の更新には x/crypto の更新も含まれます。
要対応 (1)
securityhighgolang. の v0. への更新
golang. を v0. に更新し、CVE-2026-46598、CVE-2026-39835、CVE-2026-39828、CVE-2026-46597 に対応しました。
影響確認 (1)
securitygRPC リスナーにおける CRL 適用回避の修正
--listen-client-http-urls を設定している場合に適用されます。
セキュリティ修正に加え、既存の設定や JSON 出力に影響する変更、複数の不具合修正が含まれています。設定項目の追加など、新しい構成にも対応しています。
要対応 (1)
securitycriticalCVE-2026-33186 に対応する gRPC 実装を更新
thanos-community/grpc-go のフォークを更新し、形式不正な :path ヘッダーを利用した認可バイパスを修正しました。対象は CVE-2026-33186 です。
影響確認 (4)
securityReceive のテナント ID 検証を修正
Receive を実行している場合に適用されます。
breakingQuery-Frontend の処理時間フィールドを変更
Query-Frontend を実行している場合に適用されます。
breakingReceive の不均一ブロックサイズ無視オプションを削除
--shipper. を設定している場合に適用されます。
このリリースでは、CVE 対応としてビルドに関わる依存関係のバージョンが更新されています。依存関係のバージョンを確認している環境に関係する変更です。
要対応 (3)
securityGo 1.25.10 への更新
Go を 1. に更新し、CVE 対応を行いました。
securitygolang. v0.52.0 への更新
golang. を v0. に更新し、CVE 対応を行いました。
securitygolang. v0.55.0 への更新
golang. を v0. に更新し、CVE 対応を行いました。
指定された変更項目はありません。リリースノート末尾の参考情報には、mdatagen、メモリ制限処理、設定生成、実行時動作に関する更新が記載されています。
このリリースは、特定の GKE/EKS Kubernetes サーバーバージョン文字列の解析時に発生するコントローラーのパニックを修正します。該当する環境でリソースのリサイズ判定を行う場合に関係します。
原文 ↗v0.20.0 は、ZoneDelegation を軸にした DNS 管理の拡張と、TLSRoute、アノテーション対応を含むリリースです。既存設定に関わる項目の削除、既定値や命名の変更、不具合修正、依存関係の更新も含まれます。
影響確認 (4)
breakingBootstrap サービスの削除
設定で Bootstrap サービスを利用している場合に該当します。
breakingdynamicZones の削除
設定で dynamicZones を利用している場合に該当します。
breakingdoFinalize の既定値変更
ZoneDelegation の finalization で doFinalize を使用している場合に該当します。
オペレーター向けの不具合修正を含むリリースです。opa fmtで既に整形済みのポリシーに不要な変更が加わる問題が修正されています。
内部データベースのメジャーバージョン更新、キャッシュバックエンドの置き換え、依存関係とコンポーネントの更新、不具合修正を含むリリースです。セキュリティ関連では、トークンとblob-mountの検証が強化されています。
要対応 (1)
securityblob-mountとトークンの検証を強化
blob-mountのソースプロジェクトを検証し、iatがないトークンを拒否するようになりました。
影響確認 (2)
breaking内部データベースをPostgreSQL 18へ自動更新
PostgreSQLを利用している場合に適用されます。
breakingキャッシュバックエンドをvalkeyへ変更
redisを利用している場合に適用されます。
v2非推奨設定の追加やWebSocket認証の修正に加え、CRL適用回避の修正、Goツールチェーンと依存関係の更新が含まれます。--listen-client-http-urls を設定している環境や更新対象の依存関係を利用している環境では、アップグレードが必要です。
要対応 (2)
securityhighOpenTelemetry依存関係の更新
go. と go. を v1. から v1. に更新し、CVE-2026-29181 と CVE-2026-39883 に対応しました。
securityhighgolang. の更新
golang. を v0. に更新しました。
影響確認 (1)
securitygRPCリスナーにおけるCRL適用回避の修正
--listen-client-http-urls を設定している場合に適用されます。
gRPCリスナーにおけるCRL適用と、OpenTelemetry依存関係に関するセキュリティ修正を含むリリースです。--listen-client-http-urls の利用状況やOpenTelemetryの依存関係を確認している環境に関係します。
要対応 (1)
securityhighOpenTelemetry依存関係を更新
go. と go. を v1. から v1. に更新し、CVE-2026-29181 と CVE-2026-39883 に対応しました。
影響確認 (1)
securitygRPCリスナーのCRL適用回避を修正
--listen-client-http-urls が設定されている場合に適用されます。
セキュリティ関連の依存関係更新と挙動変更を含み、PromQL、配布アーティファクト、APIや設定の扱いが変わります。性能改善と不具合修正も含まれるため、これらの機能や運用箇所を利用している環境に関係するリリースです。
要対応 (2)
securitycriticalsanitize-htmlの更新
UIで使用するsanitize-htmlを更新し、クロスサイトスクリプティングの脆弱性CVE-2026-44990を修正しました。
breakingサードパーティライセンスの提供方法を変更
サードパーティ製npm依存関係のライセンスをPrometheusバイナリに埋め込み、/assets/third-party-licenses.で提供する形に変更しました。リリースのtarballとコンテナイメージに収録していたnpm_licenses.は置き換えられています。
影響確認 (2)
securitymedium別ホストへのリダイレクト時に認証情報を転送しない挙動
スクレイピング、リモート読み取りまたは書き込み、アラート、サービスディスカバリのいずれかを利用している場合に適用されます。
breakingPromQL期間式関数の改名
experimental-duration-exprを有効にしてmin()またはmax()を使用している場合に適用されます。
