やること Go モジュールとして使っている場合は 0.0.0-20260622164202-8158452b3730 以降へ更新し、Pocket ID サーバーは修正を含むリリースへ更新してください。
GHSA-q4xm-p75h-h9p3・CVE-2026-62662読むやること Go モジュールとして使っている場合は 0.0.0-20260630083100-c5184be310b1 以降へ更新してください。LXD サーバーは修正を含むリリースへ更新し、それまでは信頼できない出所のイメージを取り込まないでください。
GHSA-vghh-5rfx-xhq8・CVE-2026-48749・GHSA-jpf8-86f3-wp38・CVE-2026-48752・GHSA-9j25-mm2h-2f76・CVE-2026-48750読むやること Go モジュールとして使っている場合は 0.0.0-20260630083100-c5184be310b1 以降へ更新してください。LXD サーバーは修正を含むリリースへ更新し、それまでは API にアクセスできるクライアント証明書・ユーザーを信頼できる相手に絞ってください。
GHSA-fmc8-p6q7-75cc・CVE-2026-48755読むやること Go モジュールとして使っている場合は 0.0.0-20260630083100-c5184be310b1 以降へ更新してください。LXD サーバーは修正を含むリリースへ更新し、それまでは信頼できない URL からイメージを取り込まないでください。
GHSA-pjff-c2wc-f6jm・CVE-2026-48769読むやること Go モジュールとして使っている場合は 0.0.0-20260630083100-c5184be310b1 以降へ更新してください。プロジェクト制限で複数の利用者を分けている LXD サーバーは、修正を含むリリースへ優先して更新してください。
GHSA-47w9-6r3f-938g・CVE-2026-48751・GHSA-qx75-2p3r-pwm5・CVE-2026-55622・GHSA-7mr3-28h5-m5vx・CVE-2026-55621読むやること v1.25.20 以降から executor、warmer、docker-credential-acr-env を再ビルドしてください（このリポジトリはバイナリやイメージを配布していません）。Go モジュールとして使っている場合も v1.25.20 以降に更新してください。すぐ更新できない場合は、ビルド環境から Azure の認証情報やフェデレーショントークン、MSI_ENDPOINT と MSI_SECRET を外し、ビルド Pod から 169.254.169.254 への通信を遮断してください。組み込みの ACR 認証を使っていなければ AZURE_ENVIRONMENT=none を設定する方法もあります。信頼できない Dockerfile を Azure の ID がある環境でビルドしていた場合は、その間に発行されたトークンが漏れたものとして、Entra ID のサインインログと Azure のアクティビティログを確認し、その ID が読めたシークレットをローテーションしてください。
GHSA-5q7h-w9jf-cx97・CVE-2026-105769読むやること github.com/canonical/lxd を修正コミット（0.0.0-20260626085133-7cb96ac80a6d）以降を含む版に更新してください。すぐ更新できない場合は、信頼できないゲストが同居するプロジェクトで security.devlxd.management.volumes を有効にしないでください。
GHSA-hhf9-qw4v-72xp・CVE-2026-12411読むやること imgproxy を 4.0.17 以降に更新してください。外部から受け取った画像を処理している環境は優先して対応してください。
GHSA-hff9-5pqw-6w9f・GHSA-494m-4556-wf5p・GHSA-mmq5-xm89-9pfg読むやること 1.19.6 または 1.20.3 以降へ更新します。すぐ更新できない場合は、名前空間の利用者から challenges.acme.cert-manager.io の作成権限を外してください。
GHSA-8rvj-mm4h-c258・CVE-2026-62290読むやること v4 は 4.16.0、v5 は 5.4.0 へ更新します。
GHSA-375p-5qhx-8wq4・CVE-2026-118650読むやること v4 系は v4.16.1、v5 系は v5.4.1 へ更新します。すぐ更新できない場合は、該当する Proxy ルートに届く前に WebSocket の upgrade リクエストを拒否するか、上流側の各リソースで独立して認可をかけてください。上流が 101 以外を返すだけでは防げません。
GHSA-cxf3-9h37-7rr8読むやること v4 系は v4.16.1、v5 系は v5.4.1 へ更新します。更新後は BodyDump の取り込み上限（既定 5 MiB）と Decompress の展開後上限（既定 100 MiB）が効きます。すぐ更新できない場合は、公開ルートで gzip リクエストの展開を止めるなどの対応をしてください。
GHSA-f48p-c9v4-h7xv・GHSA-h7wr-284f-5qvc・GHSA-9969-6676-49h5読む登録後に確認メールが届きます。メール内のリンクを押すと配信が始まります。配信はいつでも各メールの末尾から停止できます。無料です。