リリース

要対応 (1)

• securitySSD CLIのシークレットマスク偽装防止

  serverで、SSD CLIのシークレットマスク偽装を防ぐ修正が入りました。

要対応 (1)

• securitySSD CLIのシークレットマスク偽装防止

  サーバー側で、SSD CLIのシークレットマスクを偽装できる問題を修正しました。

要対応 (2)

• securityhigh/ui の brace-expansion を更新

  CVE-2026-69152 対応のため、/ui の brace-expansion を 2.1.4 および 1.1.18 に更新しました。

• securitymediumDOMPurify を 3.4.7 に更新

  CVE-2026-49978 対応のため、DOMPurify を 3.4.7 に更新しました。

要対応 (3)

• security依存関係の脆弱性修正

  dependencies の脆弱性修正をまとめて適用しました（Batch 1および2、#2895）。

• breakingRegoV1への移行に伴う互換シムの削除

  RegoV1でのRego評価に切り替え、v0互換シムを削除しました。

• breakingループバック限定への制約変更

  アクセス範囲をループバック限定にしました（#2639）。

要対応 (1)

• breakingimplements と maps の既定有効化

  implements と maps がデフォルトで有効になる設定に変わりました。

要対応 (3)

• securityhighgithub.com/go-git/go-git/v5 の更新

  github.com/go-git/go-git/v5をv5.19.1からv5.19.2へ更新しました。GHSA-hc8v-wwc9-vgxmに関する更新です。

• securitymediumgo.opentelemetry.io/otel の更新

  go.opentelemetry.io/otelをv1.43.0からv1.44.0へ更新しました。GO-2026-5158およびCVE-2026-41178に関連する、baggage headerの長さが制限されない問題への対応です。

• securitygithub.com/klauspost/compress の更新

  github.com/klauspost/compressをv1.18.6からv1.18.7へ更新しました。GO-2026-5841およびGHSA-259r-337f-4rfwに関連する、s2の範囲外読み取りへの対応です。

影響確認 (3)

• breakingrefspecsによる強制更新と削除の制限

  refspecsを設定している場合に適用されます。

• breakingGCS静的認証のサービスアカウントキー限定

  GCSの静的認証を設定している場合に適用されます。

• breakingallow-webhooksのネットワークポリシー対象の限定

  allow-webhooksを設定している場合に適用されます。

要対応 (1)

• securityビルドに使う Go のバージョン更新

  ランタイム、ビルドツール、コンテナイメージで使う Go のバージョンが 1.26.4 から 1.26.5 に更新されました。

要対応 (2)

• securitymediumstarlette の更新

  starlette を >=1.0.1 に更新し、CVE-2026-48710 に対応しました。

• breaking標準の既定値をベースラインに統一

  標準の既定値を、llm-dの最適化済みベースラインに合わせました。

影響確認 (12)

• securityhighpathmatcher におけるURI照合による認可回避の修正

  pathmatcher を使用している場合に適用されます。

• securityhighDCRのプロトコルマッパー型置換によるポリシー回避の修正

  DCRを使用している場合に適用されます。

• securityhighSAMLブローカーのリンク限定ログイン回避の修正

  SAMLブローカーを使用している場合に適用されます。

• リリースページにあと 9 件

影響確認 (1)

• breakingpkg/xconfmap の Validator と Validate の削除

  pkg/xconfmap の Validator または Validate シンボルを使用している場合に適用されます。

要対応 (3)

• securitymediumredoc/dompurify を v3.4.0 に更新

  /ui の redoc/dompurify を v3.4.0 に更新し、CVE-2026-41240 の修正に対応しました。

• securityformidable を v2.1.3 に更新

  依存関係の formidable を v2.1.3 に更新しました。

• breakingアプリ上部バーの auto-sync トグルを削除

  アプリ上部バーから auto-sync トグルを削除しました。

要対応 (1)

• securityhighCVE-2026-15809 の修正

  CVE-2026-15809 を修正しました。CVE-2022-4318 の修正を回避し、HOME 環境変数に含まれる改行文字を使って /etc/passwd に内容を注入できる問題に対応しています。

要対応 (1)

• securityhighGoツールチェーンの更新

  Goのツールチェーンを1.26.5へ更新し、組み込みのgrpc-health-probeをv0.4.53へ更新してGo 1.26.5で再ビルドしました。リリースイメージに含まれるGo標準ライブラリの脆弱性（CVE-2026-39822を含む）に対応しています。

要対応 (1)

• securityhighform-data の CVE-2026-12143 対応

  /ui の form-data を 4.0.6 に更新し、CVE-2026-12143 に対応しました。

要対応 (2)

• securityalpine のベースイメージを alpine:3.24.1 に更新

  ベースイメージ alpine が alpine:3.23.4 から alpine:3.24.1 に更新され、セキュリティ上の懸念に対応しました。

• securityalpine のベースイメージを alpine:3.23.4 に更新

  ベースイメージ alpine が alpine:3.23.3 から alpine:3.23.4 に更新され、セキュリティ上の懸念に対応しました。

要対応 (1)

• breakingControllerPriorityQueue のベータ昇格とデフォルト有効化

  ControllerPriorityQueue がベータ版に昇格し、デフォルトで有効になりました。

要対応 (1)

• securitymediumgithub.com/vektra/mockery の更新

  セキュリティ上の懸念（GO-2025-3900）への対応として、github.com/vektra/mockery が v3.5.5 に更新されました。

要対応 (3)

• securityhighoras.land/oras-go/v2 の更新

  oras.land/oras-go/v2 が 2.6.1 から 2.6.2 に更新され、GHSA-fxhp-mv3v-67qp に対応しました。

• breakingHTTPサーバーの ReadHeaderTimeout 設定

  すべてのHTTPサーバーで ReadHeaderTimeout が 32s に設定されました。

• breaking同名の部分集合ルールと -object ルールの拒否

  部分集合ルールと -object ルールが同じ名前を共有する場合、ast で拒否されるようになりました。

要対応 (2)

• securitycriticalgrpcのセキュリティ更新

  grpcを1.79.3へ更新し、CVE-2026-33186に対処しました。

• securityhighgithub.com/moby/spdystreamのセキュリティ更新

  github.com/moby/spdystreamをv0.5.0からv0.5.1へ更新し、CVE-2026-35469（GHSA-pc3f-x583-g7j2）に対処しました。

影響確認 (4)

• security空白だけの権限によるサーバークラッシュの修正

  JWT 検証を利用している場合に適用されます。

• securityTLS verify_and_map の認証回避の修正

  TLS verify_and_map を設定している場合に適用されます。

• securityMQTT クライアントの購読権限回避の修正

  MQTT を利用している場合に適用されます。

• リリースページにあと 1 件

要対応 (1)

• breakingディスク同時実行用セマフォを4096スロットに変更

  ディスク同時実行用セマフォのスロット数を、従来のCPUスケール方式から4096に増やしました。

要対応 (2)

• securityhighgolang.org/x/text の v0.39.0 への更新

  golang.org/x/text を v0.38.0 から v0.39.0 へ更新し、CVE-2026-56852 に対応しました。

• securityhighgoogle.golang.org/grpc の v1.82.1 への更新

  google.golang.org/grpc を v1.81.1 から v1.82.1 へ更新し、GHSA-hrxh-6v49-42gf に対応しました。

要対応 (1)

• securitygolang.org/x/cryptoの更新

  golang.org/x/cryptoをv0.49.0からv0.53.0へ更新しました。v0.52.0で公開された上流のSSHセキュリティ修正が取り込まれています。