# cert-manager v1.21.3

> Security · 2026-10-23

侵害された認証局への信頼を取り除き、脆弱性のある依存関係を更新したセキュリティ保守リリースです。ACMEの証明書発行処理、Secretの扱い、Helmによるマニフェスト生成の不具合も修正されています。

## 要対応
- **[security]** 侵害された中間証明書を経由する証明書チェーンの拒否
  - `Go` 1.26.10に更新し、侵害された中間証明書を経由する証明書チェーンを`crypto/x509`が拒否するようになりました。対象は`CVE-2026-111943`（`GO-2026-6809`）です。
- **[security]** `Go` 1.26.9への更新
  - `Go`を1.26.9に更新し、`crypto/tls`、`net/http`、`net/textproto`、`html/template`パッケージのCVEを修正しました。
- **[security]** `Go` 1.26.10への更新
  - `Go`を1.26.10に更新し、`crypto/x509`パッケージのCVEを修正しました。
- **[security]** `golang.org/x/net` v0.60.0への更新
  - `golang.org/x/net`をv0.60.0に更新し、報告されていたセキュリティ脆弱性を修正しました。
- **[security]** OpenTelemetry OTLPトレース関連パッケージの更新
  - `go.opentelemetry.io/otel/exporters/otlp/otlptrace`と`otlptracegrpc`をv1.45.0に更新し、報告されていたセキュリティ脆弱性を修正しました。
- **[security]** 侵害されたルート証明書の削除
  - distrolessのベースイメージを更新し、侵害された「emSign ECC Root CA - G3」ルート証明書を削除しました。

## 影響確認
- **[security]** 次の秘密鍵Secretの使用条件を厳格化
  - `status.nextPrivateKeySecretName`を使用し、`cert-manager.io/next-private-key`ラベルが設定されている場合に適用されます。
  - `requestmanager`コントローラーと`issuing`コントローラーは、`status.nextPrivateKeySecretName`で指定されたSecretについて、`cert-manager.io/next-private-key`ラベルが付き、Certificateが所有している場合だけ使用するようになりました。

## その他の記録された変更
- 2 (defect_corrected 2)

[分析の詳細](https://ratatosk.io/ja/releases/cert-manager/v1.21.3)

[元のリリースノート](https://github.com/cert-manager/cert-manager/releases/tag/v1.21.3)