# Crossplane v2.4.0

> Orchestration & Management · 2026-08-20

CLI の公開方法、実行時の挙動、リソース削除の条件に運用上の変更があります。正確性の修正に加え、Go と依存関係のセキュリティ更新も含まれています。

## 要対応
- **[security]** `Go` と `Go` 依存関係のセキュリティ更新
  - Crossplane のビルドと実行に使う `Go` のバージョンが引き上げられ、標準ライブラリの CVE 修正が取り込まれました。リリースサイクル全体で、Crossplane の `Go` 依存関係にもセキュリティ更新が適用されています。
- **[security]** `Go` を 1.25.10 に更新
  - 標準ライブラリの CVE を修正するため、`Go` が 1.25.10 に更新されました。
- **[security]** `golang.org/x/crypto` を v0.52.0 に更新
  - セキュリティ対応として、`golang.org/x/crypto` が v0.52.0 に更新されました。
- **[security]** `golang.org/x/sys` を v0.44.0 に更新
  - セキュリティ対応として、`golang.org/x/sys` が v0.44.0 に更新されました。
- **[security]** `golang.org/x/net` を v0.55.0 に更新
  - セキュリティ対応として、`golang.org/x/net` が v0.55.0 に更新されました。
- **[security]** `github.com/sigstore/cosign/v3` を v3.0.6 に更新
  - セキュリティ対応として、`github.com/sigstore/cosign/v3` が v3.0.6 に更新されました。
- **[security]** `github.com/sigstore/rekor` を v1.5.2 に更新
  - セキュリティ対応として、`github.com/sigstore/rekor` が v1.5.2 に更新されました。
- **[security]** `github.com/sigstore/timestamp-authority/v2` を v2.1.0 に更新
  - セキュリティ対応として、`github.com/sigstore/timestamp-authority/v2` が v2.1.0 に更新されました。
- **[security]** `github.com/sigstore/sigstore-go` を v1.2.0 に更新
  - セキュリティ対応として、`github.com/sigstore/sigstore-go` が v1.2.0 に更新されました。
- **[security]** `grpc`、`x/net`、`x/text` のセキュリティ更新
  - セキュリティ対応として、`grpc`、`x/net`、`x/text` の依存関係がまとめて更新されました。
- **[security]** `golang.org/x/net` を v0.56.0 に更新
  - セキュリティ対応として、`golang.org/x/net` が v0.56.0 に更新されました。
- **[security]** `golang.org/x/text` を v0.39.0 に更新
  - セキュリティ対応として、`golang.org/x/text` が v0.39.0 に更新されました。
- **[security]** 脆弱な依存関係の更新
  - 脆弱性のある依存関係が更新されました。
- **[security]** `github.com/sigstore/sigstore-go` を v1.2.1 に更新
  - セキュリティ対応として、`github.com/sigstore/sigstore-go` が v1.2.1 に更新されました。
- **[security]** `golang.org/x/mod` を v0.40.0 に更新
  - セキュリティ対応として、`golang.org/x/mod` が v0.40.0 に更新されました。

## 影響確認
- **[breaking]** `Crossplane CLI` の公開先とバイナリ名の変更
  - `Crossplane CLI` を使用している場合に該当します。
  - `Crossplane CLI` は `releases.crossplane.io` で公開されなくなりました。新しい CLI リリースは `cli.crossplane.io` だけで公開され、バイナリ名も `crank` から `crossplane` に変わります。
- **[breaking]** `DeploymentRuntimeConfig` の `spec.replicas` の扱い変更
  - `DeploymentRuntimeConfig` で `spec.replicas` を設定している場合に該当します。
  - `DeploymentRuntimeConfig` の `spec.replicas` は、常時稼働させる指定ではなく、稼働中に実行するレプリカ数として扱われます。ゼロへのスケールは、明示した `spec.replicas` より優先されます。
- **[breaking]** composed resource の削除対象の限定
  - 適用対象はリリースノートに明記されていません。
  - composed resource のガベージコレクターは、コントローラー参照が XR を指し返しているリソースだけを削除するようになりました。
- **[breaking]** claim から XR への同期時に管理用フィールドを除外
  - claim から XR への同期処理を実行している場合に該当します。
  - claim から XR へ同期する同期処理は、`resourceRefs` や `crossplane` スタンザなど、XR の管理用フィールドを取り除くようになりました。

## 事前準備
- **[deprecated]** `Crossplane v1.20` のサポート終了予定
  - `Crossplane v1.20` を実行しており、v2.5 が 2026年11月にリリースされた場合に該当します。
  - v2.5 (Nov 2026)で削除予定
  - 2026年11月に v2.5 がリリースされると、`Crossplane v1.20` は EOL となり、Crossplane プロジェクトからサポートとメンテナンスを受けられなくなります。

## その他の記録された変更
- 33 (value_changed 19, defect_corrected 6, added 5, renamed 2, default_changed 1)

[分析の詳細](https://ratatosk.io/ja/releases/crossplane/v2.4.0)

[元のリリースノート](https://github.com/crossplane/crossplane/releases/tag/v2.4.0)