# KServe v0.21.0

> AI & ML · 2026-09-25

LLM 推論サービスを中心とした機能拡張に加え、運用面の改善と依存関係の更新を含むリリースです。既存環境では、互換性に影響し得る移行と依存関係の変更を確認してからアップグレードする必要があります。

## 要対応
- **[security · high]** `black` を 26.3.1 に更新
  - `black` が 26.3.1 に更新され、`CVE-2026-32274` に対応しました。
- **[security · high]** `go-jose/go-jose/v4` を v4.1.4 に更新
  - `go-jose/go-jose/v4` が v4.1.4 に更新され、`GHSA-78h2-9frx-2jm8` に対応しました。
- **[security · high]** `Pillow` の下限を 12.2.0 以上に変更
  - `Pillow` のバージョン下限が 12.2.0 以上に引き上げられ、`CVE-2026-40192` と `GHSA-whj4-6x5x-4v2j` に対応しました。
- **[security · high]** `Pillow` の下限を 12.3.0 以上に変更
  - `Pillow` のバージョン下限が 12.3.0 以上に引き上げられ、`CVE-2026-54058` に対応しました。
- **[security · high]** `cryptography` の下限を 50.0.0 以上に変更
  - `cryptography` のバージョン下限が 50.0.0 以上に引き上げられ、`CVE-2026-69247` に対応しました。
- **[security · high]** `pyasn1` を 0.6.4 に更新
  - `pyasn1` が 0.6.4 に更新され、`CVE-2026-59885` に対応しました。
- **[security · high]** `urllib3` を 2.6.3 以上に固定
  - `urllib3` のバージョン下限が 2.6.3 以上に固定され、`CVE-2026-21441` に対応しました。

## 影響確認
- **[security · critical]** `bgtest` の `golang.org/x/crypto` を v0.52.0 に更新
  - `bgtest` を使用している場合に適用されます。
  - `bgtest` の `golang.org/x/crypto` が v0.52.0 に更新され、`CVE-2026-46595` に対応しました。
- **[security · high]** `alibiexplainer` の `Pillow` を 12.3.0 に更新
  - `alibiexplainer` を使用している場合に適用されます。
  - `alibiexplainer` の `Pillow` が 12.3.0 に更新され、`CVE-2026-59200` に対応しました。
- **[security · high]** `qpext` の `opentelemetry-go` を v1.43.0 に更新
  - `qpext` を使用している場合に適用されます。
  - `qpext` の `opentelemetry-go` が v1.43.0 に更新され、`CVE-2026-39883` に対応しました。
- **[security · high]** `python/kserve` の `setuptools` を 78.1.1 に更新
  - `python/kserve` を使用している場合に適用されます。
  - `python/kserve` の `setuptools` が 78.1.1 に更新され、`CVE-2025-47273` に対応しました。
- **[security]** `python/storage` の `aiohttp` を 3.13.3 に更新
  - `python/storage` を使用している場合に適用されます。
  - `python/storage` の `aiohttp` が 3.13.3 に更新され、zip bomb DoS に対応しました。
- **[breaking]** `disagg-sidecar` の旧フラグ廃止
  - 適用対象はリリースノートに明記されていません。
  - `disagg-sidecar` で新しい `new TLS flag` を使うため、`old flag` が廃止されました。
- **[breaking]** `llmisvc` の非推奨プラグインを削除
  - 適用対象はリリースノートに明記されていません。
  - `llmisvc` から非推奨プラグインが削除されました。
- **[breaking]** `llmisvc` のフラグ名を変更
  - 適用対象はリリースノートに明記されていません。
  - `llmisvc` のフラグ名が変更されました。

## その他の記録された変更
- 89 (defect_corrected 36, added 21, value_changed 19, constraint_changed 10, removed 1, renamed 1, default_changed 1)

[分析の詳細](https://ratatosk.io/ja/releases/kserve/v0.21.0)

[元のリリースノート](https://github.com/kserve/kserve/releases/tag/v0.21.0)