# Buildpacks v0.40.10

> CI/CD & App Delivery · 2026-10-21

セキュリティ修正に限ったメンテナンスリリースです。ツールチェーンと依存関係を更新し、再ビルドしたbuilderではライフサイクルが`0.21.25`になります。既存のbuilderは再ビルドするまで影響を受けず、既存のAPIと意図した動作も変わりません。

## 要対応
- **[security · critical]** 間接依存の`golang.org/x/net`を`v0.60.0`へ更新
  - 間接依存の`golang.org/x/net`を`v0.56.0`から`v0.60.0`へ更新しました。HTTP/2のメモリ枯渇、形式不正なフレーミングヘッダー、フロー制御の二重返金、HPACKエンコーダーの競合に関する`CVE-2026-78659`、`CVE-2026-78660`、`CVE-2026-78663`、`CVE-2026-78669`、`CVE-2026-97032`に対応しています。
- **[security · high]** `golang.org/x/crypto`を`v0.57.0`へ更新
  - `golang.org/x/crypto`を`v0.54.0`から`v0.57.0`へ更新しました。デッドロックした`ssh`チャネルによるDoSに関する`CVE-2026-78662`と`CVE-2026-56855`に対応しています。
- **[security · high]** `github.com/moby/go-archive`を`v0.3.3`へ更新
  - `github.com/moby/go-archive`を`v0.2.0`から`v0.3.3`へ更新しました。細工したtarが展開先ディレクトリの外へ書き込める問題に関する`GHSA-hfg8-hc9c-6c3h`と`CVE-2026-17106`に対応しています。
- **[security · medium]** `github.com/moby/sys/user`を`v0.4.1`へ更新
  - `github.com/moby/sys/user`を`v0.4.0`から`v0.4.1`へ更新しました。ユーザー・グループファイルの無制限な解析によるDoSに関する`GHSA-mjcv-p78q-w5fw`と`CVE-2026-61801`に対応しています。
- **[security]** `Go`を`1.26.10`へ更新
  - `CVE-2026-111943`への対応として、`Go`を`1.26.10`へ更新しました。

## その他の記録された変更
- 3 (value_changed 3)

[分析の詳細](https://ratatosk.io/ja/releases/buildpacks/v0.40.10)

[元のリリースノート](https://github.com/buildpacks/pack/releases/tag/v0.40.10)