# Envoy v1.40.0

> Networking & Messaging · 2026-10-13

ビルドシステムと複数のデフォルトが変わる、互換性に影響するリリースです。プロトコル、拡張性、認証、可観測性の機能が大きく拡張され、セキュリティ修正も含まれます。

## 要対応
- **[security]** 1.39.xのセキュリティ修正を継承
  - 1.39.xのセキュリティ修正が引き継がれました。パスパラメーターのURL正規化（`CVE-2026-73511`、`CVE-2026-73551`）、HTTP/2のEND_STREAMなしトレーラーと削除された`Host`の集計（`CVE-2026-73513`、`CVE-2026-73550`）、HTTP/3のUAF（`CVE-2026-73512`）、パスなしリクエストにおける`ext_authz`のクラッシュとUAF（`CVE-2026-73547`、`CVE-2026-50572`）、generic-upgradeのボディパイプライン処理（`CVE-2026-73548`）、`safe_regex`のLatin1モード（`CVE-2026-73552`）、RBACの`ignore_path_parameters`（`CVE-2026-73553`）、管理画面の統計名サニタイズ（`CVE-2026-73546`）、`oauth2`と`api_key_auth`のCONNECTクラッシュ（`GHSA-8vc2-jrm4-835w`、`GHSA-47vj-9r25-wv5j`）が対象です。
- **[breaking]** `Clang/libc++` をデフォルト化
  - `Clang/libc++` がデフォルトになり、フラグの指定は不要になりました。
- **[breaking]** コンテナ対応CPU検出のデフォルト有効化
  - コンテナを考慮したCPU検出が、実際にデフォルトで有効になりました。
- **[breaking]** `Content-Type` のない `QUERY` を拒否
  - すべてのプロトコルで、`Content-Type` のない `QUERY` が拒否されるようになりました。

## 影響確認
- **[security]** `JSON/REST bridge` のパストラバーサル防止
  - `JSON/REST bridge` を実行している場合に適用されます。
  - `JSON/REST bridge` で、テンプレート変数を介したパストラバーサルを防止するようになりました。
- **[breaking]** Clang設定の削除
  - `--config=clang` または `clang-local` を使用している場合に適用されます。
  - `--config=clang` と `clang-local` が削除されました。
- **[breaking]** C++標準ライブラリ指定の削除
  - `--@envoy//bazel:libc++`、`libstdc++`、または `force_libcpp` を使用している場合に適用されます。
  - `--@envoy//bazel:libc++`、`libstdc++`、`force_libcpp` の指定が削除されました。
- **[breaking]** Wasmランタイム指定の変更
  - `--define wasm=` または `--define engine=` を使用している場合に適用されます。
  - Wasmランタイムは `--@proxy-wasm-cpp-host//bazel:engine=<engine>` で選択する方式になりました。従来の `--define wasm=` と `--define engine=` を使うとビルドに失敗します。
- **[breaking]** `AWS-LC`の選択肢を削除
  - 適用対象はリリースノートに明記されていません。
  - 選択可能なSSLライブラリから `AWS-LC` が削除され、`--config=aws-lc-fips` も使用できなくなりました。ppc64leのビルドでは `--config=openssl` を使用します。
- **[breaking]** `mcp_router` のヘッダー転送デフォルト変更
  - `mcp_router` を実行している場合に適用されます。
  - `mcp_router` では、下流リクエストのヘッダーがデフォルトでバックエンドへ転送されなくなりました。
- **[breaking]** `X25519MLKEM768` をデフォルトECDH曲線に追加
  - `envoy.reloadable_features.pqc_default_ecdh_curves` を設定していない場合に適用されます。
  - デフォルトのECDH曲線に、`X25519MLKEM768` のハイブリッド鍵交換が追加されました。
- **[breaking]** `WORKSPACE` からBazelモジュールへ移行
  - `WORKSPACE` を設定している場合に適用されます。
  - `WORKSPACE` ファイルが削除され、Envoy、API、ドキュメントはBazelモジュールとして公開されるようになりました。

## その他の記録された変更
- 29 (added 16, defect_corrected 8, value_changed 2, constraint_changed 2, default_changed 1)

[分析の詳細](https://ratatosk.io/ja/releases/envoy/v1.40.0)

[元のリリースノート](https://github.com/envoyproxy/envoy/releases/tag/v1.40.0)