CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
v1.18.0は、認証設定とデータベース構成に関わるセキュリティ修正を含むリリースです。利用環境によっては、設定値の見直しやメンテナンス時間を伴う移行計画が必要です。
影響確認 (3)
securitymediumMySQLスキーママイグレーション008の追加
MySQL backendを使用している場合に適用されます。
security事前共有鍵認証の定時間比較
事前共有鍵認証を使用している場合に適用されます。
securityOIDC設定でのissuerとaudienceの必須化
authn.がoidcに設定されている場合に適用されます。
オペレーター向けの設定と動作が変わり、デフォルト値の変更や古いリソースの削除が含まれます。セキュリティアドバイザリの記載はなく、golang. の依存関係更新にもセキュリティ上の理由は示されていません。
影響確認 (2)
breaking古い MDS and RGW pdbs の削除
MDS and RGW pdbs を設定している場合に適用されます。
breakingcsi-addons のデフォルト無効化
csi-addons を有効にしている場合に適用されます。
新機能と保守性の改善を含むリリースで、設定や公開APIの変更、正確性・性能・信頼性に関わる修正が行われています。設定名やAPIの変更、新しく生成されるアプリケーションへの影響を確認してからアップグレードしてください。依存関係にはセキュリティ対応の更新も含まれますが、アドバイザリ識別子や個別の脆弱性は示されていません。
要対応 (2)
securityinfinispan の更新
既知の脆弱性への対応として、infinispan が ^0. から ^0. に更新されました。
breakingjson-schema ランタイム依存関係の削除
未使用の json-schema ランタイム依存関係が削除されました。
影響確認 (7)
breakingcatalog. の削除
catalog. を設定している場合に該当します。
breakingComboboxProps の型変更
ComboboxProps を利用している場合に該当します。
breaking/kubernetes のデフォルトページ削除
/kubernetes を利用している場合に該当します。
事前準備 (9)
deprecatedプレーン配列 options の入力状態プロパティ非推奨化
プレーン配列の options を利用している場合に該当します。
deprecated従来トークンの非推奨化削除時期は未定
適用対象はリリースノートに明記されていません。
deprecatedrunCliModule の非推奨化
runCliModule を利用している場合に該当します。
依存ライブラリの更新を含むリリースです。github. の利用環境では、更新後のバージョンと CVE-2026-35469 への対応内容が関係します。
要対応 (1)
securityhighgithub. の v0.5.1 への更新
PR #17962 で github. を v0. から v0. に更新し、CVE-2026-35469（GHSA-pc3f-x583-g7j2）に対応しました。
保守に重点を置いたリリースで、正確性に関する修正、依存関係の更新、オペレーターのトラブルシューティング機能の改善が含まれています。名前空間バイパスの問題に対するセキュリティ修正もあります。アップグレードは概ね容易ですが、削除された古いHelm設定を使用している構成は確認が必要です。
影響確認 (3)
securityipBlock ルールの名前空間バイパス修正
ipBlock を設定している場合に該当します。
breakingloadBalancer. オプションの削除
loadBalancer. を設定している場合に該当します。
breakingL2 Podアナウンスのインターフェース設定変更
l2podAnnouncements. を設定し、L2 Podアナウンスを有効にしている場合に該当します。
Linuxのセキュリティ上の不具合を修正したリリースです。該当する環境ではアップグレードが必要です。
要対応 (1)
securitycriticalLinuxのセキュリティ修正
Linuxのセキュリティ上の不具合を修正しました。対象は CVE-2026-46243、CVE-2026-46244、CVE-2026-46275、CVE-2026-46315、CVE-2026-46316、CVE-2026-46321、CVE-2026-46322、CVE-2026-46323です。
ExternalWorkloads のエンドポイント動作の制限、今後の負荷分散機能に向けたアノテーション対応、ポリシーやプロファイルの修正、依存関係の更新、新しい負荷偏り付け機能を含みます。edge-26.6.3 が優先されるため、このリリースは推奨されていません。
影響確認 (1)
breakingExternalWorkloads のエンドポイントを同じ namespace 内に限定
ExternalWorkloads を使用している場合に適用されます。
正確性に関する修正、セキュリティに関係する依存関係の更新、リゾルバーの互換性に関する制約変更が含まれます。メトリクスの挙動変更や複数の依存関係更新も行われています。
要対応 (1)
securitycriticalgoogle.を1.79.3へ更新
google.を1.77.0から1.79.3に更新しました。:pathヘッダーの先頭スラッシュ欠落によるgRPC-Goの認可バイパスに関するCVE-2026-33186に対応しています。
影響確認 (1)
breakingTekton Resolversの解決対象を制限
Resolver APIを使用している場合に適用されます。
v1.6.3では、Tekton Resolvers の解決対象に関する制約が変更されています。google. に関する依存関係の修正も含まれるため、リゾルバーや gRPC を利用する環境に関係します。
要対応 (1)
securitycriticalgoogle. のCVE修正
google. の更新で CVE-2026-33186 を修正しました。
影響確認 (1)
breakingTekton Resolvers の解決対象を限定
ResolutionRequest オブジェクトで Tekton Resolvers を使用している場合に適用されます。
カレンダーに基づくバージョニングを採用し、コンポーネントや依存関係の更新、新しい機能の追加とデフォルト設定の変更、デプロイや設定に関する不具合修正を含むリリースです。dashboardには破壊的な変更があり、セキュリティ面の強化も含まれますが、具体的な脆弱性やアドバイザリは示されていません。
要対応 (2)
breakingmodel-registryとUIのデフォルト有効化
model-registryとUIがデフォルトで有効になります。
breakingdexの2レプリカ構成への変更
dexがsticky serviceなしで2レプリカ構成で動作するようになります。
影響確認 (1)
breaking破壊的な dashboard 変更に伴うアップグレード手順
dashboardを利用している場合に適用されます。
オペレーター向けの修正と追加が含まれ、LLMInferenceService の機能、ステータスの可観測性、依存関係やイメージが更新されています。セキュリティに関係する依存関係とアプリケーションの修正も含まれます。
要対応 (1)
securityhighazure-core>=1. を固定
azure-core>=1. を固定し、CVE-2026-21226 に対応しました。
影響確認 (3)
securityvllm のセットアップと pillow の CVE 対応を修正
vllm または pillow に依存している場合に適用されます。
breakingllmisvc-crd の誤った CRD を削除
llmisvc-crd を使用している場合に適用されます。
breakingHelm の imagePullPolicy デフォルト値を調整
Helm を使用している場合に適用されます。
Go 1.によるビルド更新と、正確性および性能に関する修正が含まれます。セキュリティアドバイザリは公開されていません。
Goツールチェーンの依存関係が更新され、複数の正確性および性能に関する修正が含まれています。セキュリティアドバイザリや、セキュリティに特化した不具合の開示はありません。
原文 ↗運用担当者向けの変更項目はありません。リリース内容に関する個別の案内もありません。
原文 ↗RTDSのランタイムガードの上書き処理が修正され、HTTP/2にはオプトインで利用できるCookieおよびヘッダー関連の機能が追加されています。既存のHTTP/2ヒストグラム機能とランタイムガードは、将来のEnvoyリリースで削除される予定です。
事前準備 (1)
deprecatedHTTP/2ヒストグラム機能の将来削除予定削除時期は未定
envoy. を使用している場合に該当します。
ワークフローとMCPの機能拡張を中心に、コントロールプレーン、API、コンポーネント、ライフサイクルに関わる変更が含まれています。バグ修正、依存関係や既定値の更新、互換性に関わる制約に加え、セキュリティ修正も含まれるため、アップグレード前に前提条件と設定への影響を確認する必要があります。
要対応 (8)
securitymediumgolang.の更新
golang.がv0.39.0へ更新され、GO-2026-4962に対応しました。
securitydurabletask-goとpgxの更新
durabletask-goがv0.12.1へ更新され、pgxも更新されました。
breakingWorkflowsRemoteActivityReminderのデフォルト有効化
WorkflowsRemoteActivityReminderがデフォルトで有効になり、アプリ間のワークフローアクティビティ結果がSchedulerのリマインダー経由で配信されます。
breakingコンポーネント群のホットリロード
HotReloadがデフォルトで有効になり、Components、Subscriptions、MCPServers、Configurations、HTTPEndpoints、Resiliencies、WorkflowAccessPoliciesがデフォルトでホットリロードされます。
breakingサイドカーのプローブ既定値の変更
サイドカーのlivenessは、kubeletが再起動するまでの時間が約230秒となるよう緩和され、readinessはより短い時間で反応する設定になりました。
breakingHotReloadのデフォルト有効化
HotReloadがv1.18でデフォルト有効になりました。
breakinglivenessとreadinessのプローブ既定値更新
livenessの既定値が緩和され、readinessの既定値が厳格になりました。
breakingサイドカープローブ既定値の変更
サイドカーのプローブ既定値が変更されました。livenessはkubelet再起動まで約230秒となるよう緩和され、readinessはcontrol-planeで約3秒、daprdで約5秒となるよう短縮されました。
影響確認 (6)
securityサービス呼び出しのパストラバーサル修正
サービス呼び出しを利用している場合に適用されます。
breakingフィーチャーゲートの削除
MCPServerResourceまたはWorkflowAccessPolicyのフィーチャーゲートを設定している場合に適用されます。
breaking旧バージョンへの直接ロールバック制約
適用対象はリリースノートに明記されていません。
事前準備 (1)
deprecatedアルファ版スケジュールRPCの非推奨化
ScheduleJobAlpha1を利用している場合に適用されます。
コンテナイメージに関する非公開のCVE修正と、NetworkChaosの復旧不具合修正を含みます。その他の見出しでは、運用者向けの変更はありません。
要対応 (2)
securityGoツールチェーンとcontainerdの更新
Goツールチェーンを1.に、containerdを1.にアップグレードしました。
securitymemStressとchaos-daemonイメージの更新
memStressヘルパーを最新のGoツールチェーンで再ビルドし、chaos-daemonイメージをヘッドレスJREに切り替えました。使用したGoツールチェーンのバージョンはv0.です。
XRのレンダリングと要件処理が変更され、リソース参照の安定ソートが修正されています。crossplane-runtimeの依存関係も更新されています。
JetStream、運用、ロギング、subject transformに関する機能が追加され、いくつかの既定値とサポートされる動作も変わっています。JetStreamのstrict modeの扱いとダウングレード互換性を確認する必要があり、JetStreamの回帰も修正されています。追加機能の多くは、採用する場合に対応が必要です。
影響確認 (3)
breaking暗号スイートの既定動作変更
allow_insecure_cipher_suites を有効にする場合に適用されます。
breakingJetStream strict modeの既定有効化
JetStreamを使用する場合に適用されます。
breakingv2.12機能使用時のダウングレード制約
新しいv2.12機能を使用する場合に適用されます。
