# Prometheus v3.13.5

> Observability · 2026-10-21

侵害されたルート証明書を信頼しないようにし、脆弱性を修正するための依存関係更新を含むセキュリティ重視のメンテナンスリリースです。ビルドには`Go` 1.26以降が必要になりました。

## 要対応
- **[security · critical]** `golang.org/x/net` v0.60.0への更新
  - `golang.org/x/net` を v0.60.0 に更新し、HTTP/2の脆弱性を修正しました。対象の識別子は `GO-2026-6603`、`GO-2026-6610`、`GO-2026-6611`、`GO-2026-6612`、`GO-2026-6617` です。
- **[security · low]** `OpenTelemetry` v1.45.0への更新
  - `OpenTelemetry` を v1.45.0 に更新し、エクスポーターのエンドポイントURLが情報ログに漏れる問題を修正しました。対象の識別子は `GO-2026-6505` です。
- **[security]** `Go` 1.26.10への更新
  - `Go` 1.26.10でビルドするようにし、`net/http`、`net/textproto`、`crypto/tls`、`html/template` の脆弱性を修正しました。

## 影響確認
- **[security]** 侵害されたルート証明書の信頼を解除
  - コンテナイメージを使用している場合に適用されます。
  - コンテナイメージのCA証明書を更新し、eMudhraの中間CA秘密鍵が侵害されたことを受けて、`emSign ECC Root CA - G3` と `Comodo AAA Services root` を信頼しないようにしました。
- **[breaking]** ビルドに必要な`Go`バージョンの引き上げ
  - Prometheusのビルドで `Go` 1.26以降に依存していない場合に適用されます。
  - Prometheusのビルドには `Go` 1.26以降が必要になりました。

[分析の詳細](https://ratatosk.io/ja/releases/prometheus/v3.13.5)

[元のリリースノート](https://github.com/prometheus/prometheus/releases/tag/v3.13.5)