# Dapr v1.18.9

> Orchestration & Management · 2026-10-21

オペレーターによるアプリ間のリソースおよびシークレットの漏えいを修正し、手動実行する `daprd` に必要な Pod 識別要件を厳格化するセキュリティリリースです。リソースのアクセス範囲と、Kubernetes 上での `daprd` の実行条件が見直されています。

## 影響確認
- **[security]** リソースのスコープ外アクセスに対するシークレット解決の抑止
  - リソースの `scopes` に呼び出し元アプリ ID が含まれていない場合に適用されます。
  - オペレーターは、呼び出し元アプリ ID が `scopes` に含まれないリソースを、シークレットを解決する前に処理対象から外します。`GetResiliency` では、そのようなリソースを見つからないものとして返します。
- **[security]** 手動実行する `daprd` の Pod 識別要件の厳格化
  - インジェクターを使わずに Kubernetes モードで `daprd` を実行し、`--config` を渡す場合に適用されます。
  - インジェクターを使わずに Kubernetes モードで `daprd` を実行し、`--config` を渡す場合は、Pod に `dapr.io/enabled: "true"`、`dapr.io/app-id`、`dapr.io/config` の各アノテーションと、`dapr.io/app-id` ラベルが必要です。コンテナ名も `daprd` でなければなりません。条件を満たさない場合、オペレーターは設定を拒否し、`daprd` は起動に失敗します。

[分析の詳細](https://ratatosk.io/ja/releases/dapr/v1.18.9)

[元のリリースノート](https://github.com/dapr/dapr/releases/tag/v1.18.9)