Traefik Labsは、Traefik Hubをプロキシモードで提供する形で、堅牢化されベンダーサポート付きの安全なランタイム「Distro Zero」イメージを発表しました。これにより、プラットフォームチームやセキュリティチームは、実行可能コンテンツ全体がメモリセーフな単一バイナリで構成されたコンテナを利用できるようになります。このバイナリには検証済みの暗号処理が組み込まれており、APIゲートウェイからAI・MCPゲートウェイ、フルAPI管理に至るまで、あらゆる高度な機能が同一バイナリ上でライセンスにより解放されます。ニーズの拡大に伴うバイナリの入れ替えや移行、再検証は一切不要です。
今回の発表は、脆弱性件数の急増を背景としています。2026年上半期だけで35,364件のCVEが公開されており、これは2024年以前のどの1年間の件数をも上回る数字で、前年同期比で49.5パーセントの増加となっています。現在、新たなCVEはおよそ7.4分に1件のペースで登録されており、年間では66,000件近くに達する見込みです。
同時に、大西洋の両岸で規制の期限が迫っています。CISAとFBIは、重要インフラを支えるソフトウェアにおいて、メモリセーフでない言語の使用を「製品セキュリティ上の悪しき慣行」と位置づけ、ネットワークに接するコードや暗号処理を扱うコードを優先対象としています。また、FIPS 140-2証明書は2026年9月21日にNISTのCMVPヒストリカルリストへ移行します。
欧州では、サイバーレジリエンス法の報告義務が2026年9月11日に開始され、2027年12月11日には完全な準拠が義務化されます。違反した場合、最大1,500万ユーロ、または全世界の年間売上高の2.5パーセントのいずれか高い方の罰金が科されます。こうした規制のすべてにおいて、ゲートウェイが中心的な役割を担っています。この急増ペースにパッチ適用だけで対応するのはもはや不可能であり、恒久的な解決策は「そもそもパッチを当てる対象を減らすこと」にあります。
Distro Zeroイメージは、この恒久的な解決策として、3つの柱を軸に構築されています。
「ディストロレス」ではなく「ディストロゼロ」
市場全体がより小さなイメージへと収斂しつつあり、それ自体は正しい方向性です。しかし、コンテナをそぎ落とすことで変わるのはコードを取り巻く環境だけであり、コードそのものの構成要素は変わりません。主要な「distroless」イメージであっても、実際には縮小版のディストリビューションを内包しています。完全なCライブラリ、動的リンカ、システム暗号ライブラリ、そして十数個の付随する共有コンポーネントです。これらはいずれもゲートウェイベンダーが書いたものではなく、それぞれ独自の開発元、リリース周期、CVE情報を持っています。
こうしたイメージを汎用的に堅牢化して再構築しても、同じ限界を引き継ぐことになります。再構築によって基盤部分を素早く縮小・パッチ適用することはできても、アプリケーションの実行に必要な要素そのものをなくすことはできません。2025年1月以降、システムOpenSSLだけでも認証前スタックオーバーフローという重大な脆弱性を含め、40件を超えるCVEが修正されており、glibcでも十数件が修正されています。しかし、これらはDistro Zeroイメージには一切当てはまりません。なぜなら、そこにはOpenSSLもglibcも、パッチを当てるべき基盤自体が存在しないからです。
Distro Zeroイメージは、通常のディストリビューションが提供するものを一切保持していません。含まれるのは、1つの静的Goバイナリと、コードではなくデータである標準の信頼バンドルのみです。イメージをエクスポートして実行ファイルの数を数えれば、1個しかないことがわかります。信頼バンドルからタイムゾーンデータベースに至るまで、それ以外はすべて不活性なデータです。誰でも1つのコマンドでこれを監査できます。
Traefikは10年前の初回コミット以来、一貫してメモリセーフなGoで書かれているため、大規模なCおよびC++のコードベースにおける重大な脆弱性の約70パーセントを占めるとされる脆弱性クラスは、言語レベルにおいて存在しません。そして、このバイナリの下にメモリセーフでない層も存在しません。スキャナーが検出する内容は、ベンダー自身が書き、監査し、責任を持つコードにそのまま対応しています。
アプリケーション層でのFIPS 140-3対応
規制対象のワークロードにおいては、暗号処理はGo Cryptographic Module v1.0.0(FIPS 140-3検証済み、CMVP証明書番号5247)を経由します。これはバイナリ内部に実装され、公開されている外部素材から再パッケージ化されたものではなく、プロキシを開発するチーム自身がソースコードレベルで保守しています。Traefik Labsは、暗号処理単体だけでなくアプリケーションレベル全体でFIPS準拠を検証するため、コードベース全体を対象とした徹底的な監査を実施し、承認されていないプリミティブに依存していたデフォルト設定を持つ機能についても調整を行いました。これは、暗号ライブラリを単に差し替えるだけでは実現できないことです。FIPS準拠はアプリケーション自体によって強制されており、後付けで組み込まれたものではないため、FIPSの境界とメモリセーフの境界は一致しています。FIPS 140-2モジュールが2026年9月にNISTのヒストリカルリストへ移行することを踏まえると、古いFIPS 140-2証明書に依存したスタックは、規制対象ワークロードの基盤となる暗号処理について再検証を迫られることになります。Distro Zeroの顧客は、すでにその答えを手にしています。
プロキシからプラットフォームまで、1つのバイナリで
同一の堅牢化・サポート付きバイナリが、そのままドロップイン型のプロキシとして動作し、ライセンスを適用するだけでAPIゲートウェイ、AIゲートウェイ、MCPゲートウェイ、API管理機能を、別途ダウンロードすることなく解放できます。プロキシとして導入を始め、後から高度な機能が必要になったチームは、これまで通常、別のアーティファクトへの移行を余儀なくされ、しかもそれはセキュリティ体制を再検証する余裕が最もないタイミングで発生していました。Traefik Hubがプロキシモードでも提供されるようになった今、プロキシからプラットフォームへの移行は不要です。セキュリティチームが初日に承認したセキュリティ体制、来歴、SBOM、暗号処理の挙動は、新たな機能を有効化してもそのまま維持されます。
Traefik LabsのCEOであるSudeep Goswami氏は次のように述べています。「セキュリティチームは、限られたリソースのまま拡大し続ける攻撃対象領域を守るよう求められています。事業側が新機能を必要とするたびにすべてを再検証しなければならないという事態は、彼らが最も避けたいことです。私たちはそのトレードオフを取り除きました。堅牢化されサポート付きのバイナリを1つインストールするだけで、初日からクリーンなセキュリティ体制が手に入ります。そして必要になった時点で、移行ではなくライセンスによって必要な機能を解放できるのです」
Traefik LabsのCTOであるEmile Vauge氏はこう説明します。「distrolessはパッケージマネージャーとシェルを取り除きますが、その下にあるCの基盤部分はそのまま残ります。Distro Zeroは何も残しません。私たちが書いた、内部にFIPS 140-3暗号処理を組み込んだメモリセーフな1つのバイナリと、わずかな不活性データファイルのみです。イメージをそぎ落とすことは誰にでもできますが、残されたものに責任を持てるのは、それを書いた本人だけです。高度な機能は別のアーティファクトとして出荷されるのではなく、ライセンスによってゲートされているため、セキュリティチームが承認したバイナリは、組織が成長していく過程でも同じバイナリのまま使い続けられます」
distro zero(形容詞) サードパーティ製の実行可能コンテンツを一切含まないコンテナイメージ。共有オブジェクトなし、libcなし、動的リンカなし、シェルなし、パッケージマネージャーなし――通常のディストリビューションが提供するものを何一つ含まない。含まれるのは、ベンダーが構築した1つのバイナリと、標準の信頼バンドルのような不活性データのみ。コードではなく、データである。
翻訳元: https://www.helpnetsecurity.com/2026/07/31/traefik-labs-distro-zero-image/
