# cert-manager v1.20.5

> Security · 2026-10-28

侵害された認証局への信頼を取り除き、依存関係の脆弱性を修正するセキュリティメンテナンスリリースです。ソースからビルドする場合に必要な Go のバージョンは 1.26 になりました。

## 要対応
- **[security · critical]** HTTP/2 の脆弱性修正に伴う `golang.org/x/net` 更新
  - `golang.org/x/net` を `v0.60.0` に更新し、HTTP/2 の `CVE-2026-78669`、`CVE-2026-78659`、`CVE-2026-78660`、`CVE-2026-78663`、`CVE-2026-97032` を修正しました。
- **[security · high]** `go-jose` の JWK 解析脆弱性を修正
  - `github.com/go-jose/go-jose/v4` を `v4.1.6` に更新しました。RSA 鍵を含む JWK の解析でサービス拒否が発生する脆弱性 `CVE-2026-116587`（`GHSA-mgcc-cww5-fp2q`）を修正します。
- **[security · high]** `golang.org/x/crypto` の脆弱性修正
  - `golang.org/x/crypto` を `v0.57.0` に更新し、`CVE-2026-56855` と `CVE-2026-78662` を修正しました。
- **[security]** 侵害された中間証明書を経由する証明書チェーンの拒否
  - `Go 1.26.10` により、侵害された中間証明書を経由する証明書チェーンを `crypto/x509` が拒否するようになりました。対象の脆弱性は `CVE-2026-111943`（`GO-2026-6809`）です。
- **[security]** Debian 13 ベースイメージへの更新
  - ベースイメージを Debian 13 に更新しました。eMudhra の中間認証局侵害を受け、`emSign ECC Root CA - G3` と `AAA Certificate Services` のルートを信頼しない構成です。
- **[security]** `Go` を `1.26.10` に更新
  - `Go` を `1.26.10` に更新し、`crypto/tls`、`crypto/x509`、`net/http`、`net/textproto`、`mime/multipart`、`html/template` パッケージの CVE を修正しました。
- **[security]** OpenTelemetry OTLP トレース依存関係の更新
  - `go.opentelemetry.io/otel/exporters/otlp/otlptrace` と `otlptracegrpc` を `v1.45.0` に更新し、報告されたセキュリティ脆弱性を修正しました。
- **[security]** `html` パッケージの脆弱性修正に伴う `golang.org/x/net` 更新
  - `golang.org/x/net` を `v0.62.0` に更新し、`html` パッケージの `CVE-2026-78661` と `CVE-2026-97045` を修正しました。
- **[breaking]** `go` ディレクティブを `1.26` に更新
  - cert-manager の `go.mod` ファイルにある `go` ディレクティブが `1.26` になりました。

[分析の詳細](https://ratatosk.io/ja/releases/cert-manager/v1.20.5)

[元のリリースノート](https://github.com/cert-manager/cert-manager/releases/tag/v1.20.5)