# Falco 0.45.0

> Security · 2026-09-21

ルール評価のセマンティクスが変わり、互換性に影響するリリースです。リロードやチャート機能の追加、運用上の修正、依存関係の更新、セキュリティ修正が含まれます。

## 要対応
- **[security]** pidfileのシンボリックリンク追跡防止
  - 適用対象はリリースノートに明記されていません。
  - 攻撃者が書き込み可能なディレクトリにpidfileのパスを置いた場合に、シンボリックリンクを利用したTOCTOUを防ぐため、pidfileを`O_NOFOLLOW`付きで開くようになりました。
- **[security]** カーネルモジュール読み込み時の`modprobe`絶対パス使用
  - カーネルモジュールの読み込みにフォールバックする際、`PATH`検索ではなく`modprobe`の絶対パスを使うようになりました。信頼できない検索パスによる問題（CWE-426）に対応しています。
- **[breaking]** ルール条件の評価対象とUTF-8処理の変更
  - 適用対象はリリースノートに明記されていません。
  - ルール条件を生のフィールドバイト列で評価するようになり、無効なUTF-8や表示できないUTF-8シーケンスも文字列演算子でマッチできるようになりました。単一バイトには新しい`\xHH`エスケープを使えます。`regex`はサニタイズ済みの入力を処理し、出力時に表示できない文字をエスケープし、無効なUTF-8シーケンスを置換します。`FALCO_ENGINE_VERSION`は`0.62.0`から`0.63.0`に更新されました。非`regex`演算子で置換文字にマッチしていたルールは見直しが必要です。

## 事前準備
- **[deprecated]** `container_engines`設定のスキーマ定義削除
  - 設定JSONスキーマから`container_engines`の残存定義が削除されました。このキーを設定している構成では、起動時にスキーマ検証の警告が記録されます。

## その他の記録された変更
- 20 (defect_corrected 13, value_changed 4, added 2, constraint_changed 1)

[分析の詳細](https://ratatosk.io/ja/releases/falco/0.45.0)

[元のリリースノート](https://github.com/falcosecurity/falco/releases/tag/0.45.0)