# Envoy v1.39.2

> Networking & Messaging · 2026-10-01

TLSのリモートから悪用可能なサービス拒否を修正する、セキュリティとパッケージングに関わるリリースです。`Debian bullseye (11)` のパッケージを廃止し、ビルド用イメージを更新していますが、ランタイム設定の変更はありません。

## 要対応
- **[security · medium]** TLS証明書解析時の過剰なメモリ割り当てを修正
  - `CVE-2026-35189` に対応し、証明書の `nameRelativeToCRLIssuer` CRL Distribution Points を解析する際の過剰なメモリ割り当てを `BoringSSL` で修正しました。TLSハンドシェイク中にリモートからサービス拒否を引き起こされる可能性がありました。

## 影響確認
- **[breaking]** `Debian bullseye (11)` パッケージを削除
  - `Debian bullseye (11)` のパッケージを利用している場合が対象です。
  - `Debian bullseye (11)` はサポート終了となり、主要なDebianミラーからリポジトリを取得できなくなったため、対応するパッケージを削除しました。

## その他の記録された変更
- 1 (value_changed 1)

[分析の詳細](https://ratatosk.io/ja/releases/envoy/v1.39.2)

[元のリリースノート](https://github.com/envoyproxy/envoy/releases/tag/v1.39.2)