# Envoy v1.36.12

> Networking & Messaging · 2026-10-06

セキュリティ保守リリースで、Envoyフィルターのクラッシュにつながる問題を修正しています。形式が不正なリクエストの一部はHTTP 400で拒否されます。

## 影響確認
- **[security]** `oauth2`で`:path`ヘッダーのないリクエストをHTTP 400で拒否
  - `oauth2`拡張機能を使用している場合に適用されます。
  - `GHSA-8vc2-jrm4-835w`に対応し、`:path`ヘッダーのないリクエスト（`CONNECT`）を`oauth2`フィルターが`400`で拒否するようになりました。
- **[security]** `api_key_auth`の特定条件下でのクラッシュ修正
  - `api_key_auth`拡張機能を使用し、`hide_credentials`と`query`を設定している場合に適用されます。
  - `GHSA-47vj-9r25-wv5j`に対応しました。`hide_credentials`を有効にし、キーの取得元に`query`を設定している場合、`:path`ヘッダーのないリクエスト（`CONNECT`）が別のキー取得元で認証されるとクラッシュする問題を修正しています。

[分析の詳細](https://ratatosk.io/ja/releases/envoy/v1.36.12)

[元のリリースノート](https://github.com/envoyproxy/envoy/releases/tag/v1.36.12)