MinIOは2月にサポート終了となりました。2026Docker Extended Lifecycle Support (ELS) は、サポートが終了したソフトウェアを最長 5 年間、パッチ適用、コンプライアンス準拠、監査対応可能な状態に保ち、アップストリームでサポートされなくなったバージョンからプロジェクト全体までをカバーします。
13年2026月、MinIOオープンソースプロジェクトはアップストリームにアーカイブされました。10億回以上のDockerプルが行われたプロジェクトが、一夜にしてリリース、バグ修正、セキュリティパッチの配信を停止した。その日から、MinIOを実行しているすべての環境が公開されることになった。MinIOとそのGo依存関係ツリーにおける新たなCVEが、アップストリームのパッチなしで発見されており、監査の結果、本番環境ではサポート対象外のソフトウェアが使用されていると判断された。
そしてMinIOは、より広範な問題の最新の事例に過ぎない。Black Duckの2026オープンソースセキュリティおよびリスク分析レポートによると、商用コードベースの93 %には、少なくとも2年間開発活動が行われていないコンポーネントが含まれていることがわかりました。スタック全体に同じパターンが見られる。Node 18、Python 3.8、および古いAirflowリリースは、アップストリームのサポートが終了した後も長期間本番環境で稼働しており、FedRAMP、DORA、サイバーレジリエンス法などのフレームワークでは、パッチが適用されていないサポート終了ソフトウェアは監査上の問題として扱われます。移行期限は、ロードマップではなく監査カレンダーによって設定されることになる。
Docker Hardened Images Extended Lifecycle Supportは、そのスケジュール管理をお客様にお返しするために存在します。このモデルは単純だ。ELSイメージをリクエストすると、Dockerはアップストリームのサポート終了後最大5年間、そのイメージを構築および維持します。維持されているMinIOイメージは、そのモデルの最新の証拠である。
MinIOは最新のELSアップデートとして存続する
アーカイブはストレージ層に配置され、そこでのデータ移行はペタバイト単位で計測される。本番環境のオブジェクトストレージを別のシステムに移行するのは、時間とコストのかかる作業であり、その作業が行われている間もCVE（共通脆弱性識別子）のリスクは増大し続けます。
MinIOを運用するチームには3つの選択肢があります
- 商用製品に切り替えて、新たなライセンス契約とベンダーロックインの問題に直面することになる。
- パッチを自社で提供するということは、修正プログラムを提供しなくなったプロジェクトのために、継続的なGoセキュリティエンジニアリングの担当者を配置することを意味します。
- 自社で運用しているシステムを維持し、その責任をベンダーに負わせる。
何もしないというのは、第四の選択肢ではない。
Dockerは、このアーカイブが顧客のソフトウェアサプライチェーン全体にわたる潜在的な脆弱性であることを認識し、その解決策をカタログに組み込みました。これにより、MinIOは保守され、セキュリティが強化されたイメージとして存続しています。Dockerは、MinIOとその完全なGo依存関係グラフ全体にわたる新しいCVEを追跡し、推移的依存関係も追加コストなしで含め、修正をバックポートし、再ビルドして出荷します。オブジェクトストアは引き続きサポートされ、監査もクリーンな状態に保たれます。
お客様の全車両を対象とした延長ライフサイクルサポート
ELSはMinIOに対して行うのと同様に、保管しておく必要のあるあらゆるサポート終了部品に対しても機能します。EOL（販売終了）の発見により、二つの不良プロジェクトのどちらかを選ばざるを得なくなる。移行を急いで本番環境を壊すリスクを冒すか、例外申請をして四半期ごとにリストが膨れ上がるのを待つか。ELSは、その期限を撤廃します。移行作業がロードマップのスケジュール通りに進められる一方で、既に運用中のイメージに対しては、パッチ適用や監査証拠の提出が継続的に行われます。
この権利は、実際に耐用年数が到来する方法、つまり艦隊全体で耐用年数がずれて到来することを想定して設計されています。リポジトリに適用すると、そのリポジトリで利用可能なすべてのELSバージョンが対象となります。1つの移行が完了したら、次のリポジトリに再度接続することで、リスクに応じてカバレッジが移行します。
対象範囲は固定リストに限定されません。Dockerはサポート終了カレンダーを監視し、それよりも前にビルドを作成します。カタログに掲載されていないものはリクエストできます。対象となる範囲は、サポート終了バージョンのソフトウェアから、アーカイブされたプロジェクト全体まで多岐にわたる。Nginx、Node、PythonのELSイメージは既に用意されています。
ELSはDocker Hardened Imagesサブスクリプションの有料アドオンであり、DHIの他の部分と同じ基盤上で動作します。
- 名付ければ、何でも手に入る。本番環境で使用しているサポート終了製品ラインをDockerに伝えてください。Dockerは、セキュリティを強化したビルドを行い、最新のパッチバージョンで維持管理しています。
- 移行作業なしで導入する。ELSタグ付き画像は、LTSタグ付き画像と並んで、標準のDHIカタログに掲載されます。同じレジストリ、同じワークフロー、FROM行の変更のみ。
- 何年もパッチを適用したままにしておいてください。重大度が高いCVEおよび深刻なCVEは、サポート終了後最大5年間、14日SLAでパッチが適用されます。
- 証拠が含まれています。ELSの画像はすべて、カタログに掲載されている他の画像と同じ基準を満たしています。ソースコードからビルドされ、署名されており、SBOM、VEXステートメント、およびSLSAビルドレベル3の来歴がイメージのライフサイクル全体にわたって維持されます。
これらの証明書類こそが、延長された支援と延長された責任との違いを生むのです。巨大なSBOM（部品表）を持ちながら、悪用可能性に関するデータがない旧式のアプリは、スキャナーを点灯させるだけです。ELSは証拠をイメージと一緒に送付するため、監査担当者はパッチが適用された箇所と悪用できない箇所を示す署名入りの証拠を確認できます。
お使いのシステム群の中に、移行できず、パッチを適用せずに放置することもできないバージョンがある場合は、ELS（エンタープライズライフサイクル管理）に関する議論が必要になります。DHIのカタログをご覧になり、既にカバーされている内容をご確認ください。また、維持管理が必要なバージョンについては、お気軽にご相談ください。
