リリース

影響確認 (4)

• breakingBootstrap サービスの削除

  設定で Bootstrap サービスを利用している場合に該当します。

• breakingdynamicZones の削除

  設定で dynamicZones を利用している場合に該当します。

• breakingdoFinalize の既定値変更

  ZoneDelegation の finalization で doFinalize を使用している場合に該当します。

• リリースページにあと 1 件

影響確認 (1)

• breakinggRPC Python release 1.82.0 のPyPIからの削除

  gRPC Python release 1.82.0 を利用している場合に該当します。

要対応 (1)

• securityblob-mountとトークンの検証を強化

  blob-mountのソースプロジェクトを検証し、iatがないトークンを拒否するようになりました。

要対応 (2)

• securityhighOpenTelemetry依存関係の更新

  go.opentelemetry.io/otel と go.opentelemetry.io/otel/sdk を v1.40.0 から v1.43.0 に更新し、CVE-2026-29181 と CVE-2026-39883 に対応しました。

• securityhighgolang.org/x/crypto の更新

  golang.org/x/crypto を v0.52.0 に更新しました。

要対応 (1)

• securityhighOpenTelemetry依存関係を更新

  go.opentelemetry.io/otel と go.opentelemetry.io/otel/sdk を v1.40.0 から v1.43.0 に更新し、CVE-2026-29181 と CVE-2026-39883 に対応しました。

要対応 (2)

• securitycriticalsanitize-htmlの更新

  UIで使用するsanitize-htmlを更新し、クロスサイトスクリプティングの脆弱性CVE-2026-44990を修正しました。

• breakingサードパーティライセンスの提供方法を変更

  サードパーティ製npm依存関係のライセンスをPrometheusバイナリに埋め込み、/assets/third-party-licenses.txtで提供する形に変更しました。リリースのtarballとコンテナイメージに収録していたnpm_licenses.tar.bz2は置き換えられています。

要対応 (1)

• securityhighquinn-proto の RUSTSEC-2026-0185 修正

  quinn-proto の RUSTSEC-2026-0185 を修正しました。

要対応 (1)

• securityGoの1.26.4への更新

  Goを1.26.4へ更新し、CVE対応を行いました。

影響確認 (1)

• breaking終了したFlux APIのCRDからの削除

  CRDがimage.toolkit.fluxcd.io/v1beta2またはnotification.toolkit.fluxcd.io/v1beta2のAPIを使用している場合に該当します。

影響確認 (1)

• breakingSecurityException CRDの削除

  SecurityException CRDを使用している場合に適用されます。

要対応 (1)

• securityalpine ベースイメージの更新

  ベースイメージ alpine が alpine:3.23.4 から alpine:3.24.1 に更新され、セキュリティ上の懸念に対応しています。

要対応 (1)

• securityalpine ベースイメージの更新

  ベースイメージ alpine が alpine:3.23.4 から alpine:3.24.1 に更新されました。セキュリティ上の懸念に対応するための変更です。

要対応 (1)

• securityベースイメージ alpine の更新

  セキュリティ上の懸念への対応として、ベースイメージ alpine が alpine:3.23.4 から alpine:3.24.1 に更新されました。

影響確認 (1)

• securityTerraform remote configuration loaderの無制限読み取りを防止

  Terraform remote configuration loaderを使用している場合に適用されます。

影響確認 (1)

• securityTerraformリモート設定ローダーの無制限読み取り対策

  Terraformのリモート設定ローダーを利用している場合に適用されます。

影響確認 (3)

• securityLeaf接続でのNats-Trace-Dest権限チェック回避を修正

  Leaf接続を利用している場合に該当します。

• security保持メッセージとQoS再送時のサブスクライブ拒否ルールを適用

  MQTTを利用している場合に該当します。

• breaking監視エンドポイントのJSONPコールバック対応を削除

  JSONPコールバック対応を利用している場合に該当します。

影響確認 (1)

• breaking監視エンドポイントの JSONP コールバック対応を削除

  JSONP コールバック対応を利用している場合に該当します。

影響確認 (3)

• breakingKafka 4.1.xのサポート終了

  Kafka 4.1.xを使用している場合に該当します。

• breakingTLS認証とトラストストアのPEMファイル対応

  KafkaBridgeまたはKafkaMirrorMaker2でTLS認証もしくはTLSトラストストアを使用している場合に該当します。

• breakingentity-operatorのhealthcheckポート名変更

  entity-operatorのhealthcheckポートを使用している場合に該当します。

要対応 (8)

• securityhighgroup-adminからrealm-adminへの権限昇格

  CVE-2026-9099により、group-adminからrealm-adminへ権限を昇格できる問題が修正されました。

• securityhighURI検証の回避によるクロスサイトスクリプティング

  CVE-2026-9086に該当する、URI検証の大文字小文字を区別しない判定を回避したクロスサイトスクリプティング（XSS）の問題が修正されました。

• securityhigh不適切なスコープマッピング適用による権限昇格

  CVE-2026-9795に該当する、不適切なスコープマッピングの適用による権限昇格の問題が修正されました。

• securityhighURI比較の誤りによる認可回避

  CVE-2026-9800に該当する、URI比較の誤りによるKeycloak policy enforcerの認可回避の問題が修正されました。

• securityhighJWTアルゴリズムの混同による認証回避

  CVE-2026-11800に該当する、JWTアルゴリズムの混同を利用した認証回避の問題が修正されました。

• securitymedium任意のファイルシステムパス探索による情報漏えい

  CVE-2026-9083に該当する、任意のファイルシステムパスの探索による情報漏えいの問題が修正されました。

• securitymedium無効化されたクライアントの再有効化と乗っ取り

  CVE-2026-9705に該当する、registration access tokenを使って無効化されたクライアントを再有効化し、乗っ取れる問題が修正されました。

• securitymediumUMA permission ticket回避によるリソースへの不正アクセス

  CVE-2026-9799に該当する、UMA permission ticketの回避によるリソースへの不正アクセスの問題が修正されました。

影響確認 (1)

• breakingUser-Agent ヘッダーの形式変更

  サーバー側のログフィルターまたは WAF ルールで旧文字列との完全一致を設定している場合に適用されます。

要対応 (2)

• securityhighGoのv1.25.11への更新

  Goがv1.25.11へ更新され、CVE-2026-27145、CVE-2026-42504、CVE-2026-42507への対応が行われました。

• securityGoの1.25.10へのアップグレード

  報告された脆弱性への対応として、Goが1.25.10へアップグレードされ、依存関係も更新されました。

要対応 (1)

• securityhighGo を v1.26.4 に更新

  Go を v1.26.4 に更新し、CVE-2026-27145、CVE-2026-42504、CVE-2026-42507 への修正を取り込みました。