ニュース¶

Incus 7.5 リリースのお知らせ¶

2026/09/25

Incus チームは、Incus 7.5 のリリースのアナウンスができてうれしいです!

今回のリリースでは、ストレージ、ネットワーク、クラスタリング、アクセスコントロール、OCI コンテナ、エージェントサポートの改良など、あらゆるユーザーにとって役に立つ新機能を多数導入しました。また、大規模環境におけるパフォーマンスが大幅に向上し、様々なバグやセキュリティの問題も修正しました。

いつものように、オンラインでご自身で試せます: Linux Containers - Incus - オンラインでの試用

注意: 実際にダウンロードするリリースバージョンは 7.5.1 になります。7.5.0 はリリースに必要な成果物の一部が生成されず、再リリースが必要になりました。

セキュリティ修正 ¶

このリリースでは、11 の脆弱性を修正しました:

• CVE-2026-85185 (critical) - 最適化されたバックアップとマイグレーションにおける btrfs サブボリュームのパストラバーサルを介したホスト上での任意のファイル削除とディレクトリー配置
• CVE-2026-85526 (critical) - 最適化されたバックアップにおける btrfs サブボリュームのパストラバーサルを介したホスト上のファイル削除とディレクトリー配置
• GHSA-443p-7392-h4v2 (medium) - 制限付きプロジェクトが、クラスターリフレッシュを通して pull モードを使える
• GHSA-4cph-ccqv-hm3c (critical) - ボリューム更新、コピー、移動を介した block.create_options に対するプロジェクト制限の回避
• GHSA-579w-c4rw-c8q3 (critical) - マイグレーションストリーム内のシンボリックリンクを介したホスト上の任意のファイルへの書き込み
• GHSA-hpjh-q53p-f27r (critical) - インスタンスバックアップ依存ボリューム内のパストラバーサルを介したホスト上の任意のファイルへの書き込み
• GHSA-jh4v-j34r-2mgh (high) - ソースタイプを省略したカスタムボリュームコピーのプロジェクト制限の回避
• GHSA-mfwv-x733-9446 (medium) - 認証バイパスにより、制限つきクライアントが他のプロジェクトのあらゆる操作を読み取れる
• GHSA-mmj7-8rgf-mx2h (high) - 事前署名されたS3アップロードURL上の署名なしヘッダーを介した他のバケットオブジェクトの読み取り
• GHSA-wfvq-qh87-gm4j (medium) - Incus CLI による再帰的なファイルのプル中の悪意のある incus-agent を介した任意のファイルへの書き込み
• GHSA-x8gj-2q73-qr6j (high) - 制限付きクライアントがデフォルトプロジェクトのストレージバケットキーを読み取ることができる

新機能 ¶

OVN 子ネットワーク ¶

OVN ネットワークは、同じプロジェクト内の別のネットワークを指す parent を指定して作成できるようになりました。

子ネットワークは、独自の論理ルーターを持つのではなく、その論理スイッチとサブネットを親ネットワークの論理ルーターに接続します。これにより、複数の内部サブネットを単一の論理ルーターでルーティングし、アップリンク、外部アドレス、ピアリングを共有できるようになります。

stgraber@vorash:~$ incus network create net1 --type=ovn network=UPLINK ipv4.address=192.0.2.1/24
stgraber@vorash:~$ incus network create net2 --type=ovn parent=net1 ipv4.address=198.51.100.1/24
stgraber@vorash:~$ incus launch images:debian/13 c1 --network net2

子ネットワークは独自のサブネット、DHCP、DNS レコード、ACL、インスタンスポートを保持します。親ネットワークとは独立して NAT を有効化でき、ipv4.nat.address やipv6.nat.address を使用して独自のアドレスへ転送できます。これにより、あるサブネットを NAT 変換する一方で、別のサブネットは同じルーター上でネイティブにルーティングすると言った構成が取れるようになります。

ピアリングは親ネットワークによって処理され、その子ネットワークのすべてのサブネットをカバーします。

ドキュメント : https://linuxcontainers.org/incus/docs/main/reference/network_ovn/#child-networks

プロジェクトのクラスター内のライブによる移動 ¶

--target-project と --target を組み合わせることで、実行中のインスタンスを、別のクラスターメンバーへのライブマイグレーションの一環として、異なるプロジェクトに移動できるようになりました。

stgraber@vorash:~$ incus move v1 --target incus02 --target-project prod

ターゲットプロジェクトでも、インスタンスのデバイス構成が同一である必要があります。
dependent としてマークされたカスタムボリュームは、インスタンスとともに移動します。

ドキュメント : https://linuxcontainers.org/incus/docs/main/howto/move_instances/

カスタムボリュームディスクの初期コピー ¶

カスタムストレージボリュームをバックエンドにし、コンテナにアタッチされる disk デバイスに、initial.copy プロパティーが追加されました。

これを true に設定すると、ボリュームが空の状態で初めて使用される時に、コンテナ内のデバイスの path に存在するコンテンツがボリュームにコピーされます。これは、アプリケーションコンテナが期待する、あとでボリュームがマウントされるディレクトリー内にデータを格納する際の動作と整合性が取れています。

stgraber@vorash:~$ incus storage volume create default mysql-data
stgraber@vorash:~$ incus config device add mysql data disk pool=default source=mysql-data path=/var/lib/mysql initial.copy=true

コピーはボリュームごとに一度だけ実行され、そのことはボリュームの volatile.initial.copied キーに記録されます。

ドキュメント : https://linuxcontainers.org/incus/docs/main/reference/devices_disk/#initial-copy

インスタンスセキュリティータグ ¶

カンマ区切りのタグのリストを設定する security.tags インスタンス設定キーが新たに追加されました。

Incus 自身は、このタグを認証の判断には使用せず、認証バックエンドに対して公開します。OpenFGA の場合、それぞれのタグが security_tag オブジェクトとなり、保持する tag リレーションを通して、そのタグを持つすべてのインスタンスと関連付けられます。

stgraber@vorash:~$ incus config set c1 security.tags=pci,production

ドキュメント : https://linuxcontainers.org/incus/docs/main/authorization/#security-tags

認証スクリプトレット内の OIDC クレーム ¶

認証スクリプトレットに渡される details 引数に、クライアントが認証済み OIDC クレームを持つ Claims フィールドが追加されました。

これにより、スクリプトレット内で別途マッピングを持つことなく、groups や email のような ID プロバイダーから提供される任意のクレームに基づくルールを書くことができます。

ドキュメント : https://linuxcontainers.org/incus/docs/main/authorization/#scriptlet

クラスターメンバーメトリクス ¶

/1.0/metrics エンドポイントが、クラスターメンバーの情報を報告するようになりました:

• incus_cluster_member メンバーのアーキテクチャーと障害ドメイン
• incus_cluster_member_status 可能性のあるステータスごとに 1 つのサンプル
• incus_cluster_member_role ロールごとに 1 つのサンプルを保持
• incus_cluster_member_group メンバーが属するグループごとに 1 つのサンプル

これにより、簡単に Prometheus から直接、オフラインもしくは退避したメンバーに関するアラートを発信できます。

ドキュメント : https://linuxcontainers.org/incus/docs/main/reference/provided_metrics/

仮想マシン向け NVIDIA GPUDirect P2P ¶

仮想マシンにパススルーされる物理的な gpu デバイスに、nvidia.clique 設定キーを追加されました。

同じ仮想マシンに割り当てられた複数の GPU に対して同じ clique ID（0〜15）を設定すると、それらはゲストドライバーに対して GPUDirect P2P clique として認識され、GPU 間で直接的な DMA が可能になります。

ドキュメント : https://linuxcontainers.org/incus/docs/main/reference/devices_gpu/

Windows エージェントの改良 ¶

Windows エージェントで対話型 incus exec セッションが可能になり、シグナル転送処理も改良されました。

NetBSD 仮想マシン ¶

Incus エージェントは、既存の Linux、FreeBSD、macOS、Windows サポートに加えて、NetBSD ゲストが利用可能になりました。

他の BSD 系と同様に、image.os に NetBSD で始まる値を設定すると、仮想マシンに対して必要なチューニングが自動的に適用されます。

FreeBSD クライアントパッケージ ¶

Incus クライアントは FreeBSD Ports にパッケージ化されており、pkg install incus-client コマンドでインストールできます。各リリースにはあらかじめビルドされたクライアントバイナリーも含まれています。

ファイル転送のアーカイブモード ¶

incus file push と incus file pull に --archive（-a）フラグが追加されました。cp -a のように動きます。

所有権、モード、タイムスタンプは --archive（--recursive も含む）を使用したときだけ保持されるようになりました。通常の転送は、単純な cp コマンドと同様に動作します。

stgraber@vorash:~$ incus file pull --archive c1/etc/ ./etc-backup/

OCI イメージラベルと環境 ¶

OCI レジストリーからインポートされたイメージは、oci.* イメージプロパティーとして、標準ラベル（org.opencontainers.image.*）を公開するようになりました。これにより、イメージタイトル、バージョン、ソース、説明などが incus image info で確認できるようになり、新しいイメージプロパティー列で利用できるようになります。

イメージ環境は、インスタンス作成時にインスタンス構成にコピーされなくなりました。代わりに、incus exec のデフォルト環境として使われます。インスタンスの設定をクリーンに保ちつつ、イメージの更新を通して環境の変更を反映できるようになります。

ブリッジ DNS ホストレコード ¶

bridge ネットワークに dns.include_hosts 設定キーが追加されました。これにより、ネットワークの dnsmasq がホストの /etc/hosts ファイルからレコードを提供するかどうかを制御できるようになります。

これを false に設定すると、AppArmor による制限を保ちつつ、ホスト専用のエントリーがインスタンスに公開されるのを防ぐことができます。

ドキュメント : https://linuxcontainers.org/incus/docs/main/reference/network_bridge/

API を通したプロファイリング ¶

incusd の Go pprof プロファイルが、各リスナーの /internal/debug/pprof/ 以下で利用できるようになりました。ただし、アクセスはサーバーの管理権限を持つクライアントに制限されています。

core.debug_address と異なり、これは、HTTPS 経由で、サーバー設定の変更なしに動作します。

stgraber@vorash:~$ incus query --raw my-remote:/internal/debug/pprof/heap > heap.pprof
stgraber@vorash:~$ go tool pprof heap.pprof

ドキュメント : https://linuxcontainers.org/incus/docs/main/debugging/#profiling-incusd

すべての変更点 ¶

このリリースのすべての変更のリストは次のとおりです（翻訳なし）:

ドキュメント¶

Incus のドキュメントはこちらです:

https://incus-ja.readthedocs.io/ja/latest/ （日本語訳）
https://linuxcontainers.org/incus/docs/main/ （原文）

パッケージ ¶

Incus の開発元は、通常リリースの tarball のみをリリースするため、公式の Incus パッケージはありません。Incus を実行するために使えるオプションを以下にいくつか示します。

Linux 上に Incus サーバーをインストールする ¶

Incus はほとんどの一般的な Linux ディストリビューションで利用できます。インストール手順の詳細は、Incus のドキュメントを参照してください。

https://incus-ja.readthedocs.io/ja/latest/installing/ （日本語訳）
https://linuxcontainers.org/incus/docs/main/installing/ （原文）

Incus クライアントの Homebrew パッケージ ¶

Homebrew 経由で、Linux と macOS 向けにクライアントツールが利用できます。

https://formulae.brew.sh/formula/incus

Incus クライアントの Chocolatey パッケージ ¶

Chocolatey 経由で、Windows ユーザー向けにクライアントツールが利用できます。

https://community.chocolatey.org/packages/incus/7.5.1

Incus クライアントの Winget パッケージ ¶

Winget 経由で、Windows ユーザー向けにクライアントツールが利用できます。

https://winstall.app/apps/LinuxContainers.Incus

サポート ¶

月次のフィーチャーリリースは、次のリリースがリリースされるまでのみサポートされます。より長いサポート期間と少ない変更頻度が必要な場合、代わりに Incus 7.0 LTS の使用を検討すべきです。

コミュニティサポートはこちらから : https://discuss.linuxcontainers.org
商用サポートはこちらから : https://zabbly.com/incus
バグはこちらから報告できます : https://github.com/lxc/incus/vissues

Incus 7.4 リリースのお知らせ¶

2026/08/28

Incus チームは、Incus 7.4 のリリースのアナウンスができてうれしいです!

今月もまた多忙な 1 ヶ月になりました。GitHub にたまっていたバックログを大量に消化し、長年残っていたバグをいくつも修正し、新機能もバランスよく実装できました。

いつものように、オンラインでご自身で試せます: Linux Containers - Incus - オンラインでの試用

セキュリティ修正 ¶

このリリースでは、2 つの脆弱性を修正しました:

• CVE-2026-81500 (medium) - 悪意あるサーバーからイメージをエクスポートする際のクライアントサイドパストラバーサル
• CVE-2026-81501 (medium) - 制限付きクライアントによる他のプロジェクトからのプライベートイメージのインポート

新機能 ¶

UEFI セキュアブートキー管理 ¶

Incus 7.3 で NVRAM アクセス機能が導入されたことを受けて、このリリースでは仮想マシンの UEFI セキュアブートデータベースを管理するためのツール一式が追加されました。

新しい incus low-level secureboot コマンドを使用すると、セキュアブートデータベースのエントリーの一覧表示、追加、削除、エクスポート、インポートができるようになります。

stgraber@vorash:~$ incus low-level secureboot list v1 db
┌──────┬───────────────────────┬──────────────┬───────────────────────────────────────┐
│ TYPE │    OWNER GUID NAME    │ FINGERPRINT  │                SUBJECT                │
├──────┼───────────────────────┼──────────────┼───────────────────────────────────────┤
│ x509 │ MICROSOFT_VENDOR_GUID │ 48e99b991f57 │ Microsoft Corporation UEFI CA 2011    │
│      │                       ├──────────────┼───────────────────────────────────────┤
│      │                       │ 076f1fea90ac │ Windows UEFI CA 2023                  │
│      │                       ├──────────────┼───────────────────────────────────────┤
│      │                       │ e5be3e64c6e6 │ Microsoft Option ROM UEFI CA 2023     │
│      │                       ├──────────────┼───────────────────────────────────────┤
│      │                       │ e8e95f0733a5 │ Microsoft Windows Production PCA 2011 │
│      │                       ├──────────────┼───────────────────────────────────────┤
│      │                       │ f6124e34125b │ Microsoft UEFI CA 2023                │
└──────┴───────────────────────┴──────────────┴───────────────────────────────────────┘

NVRAM の初期状態を完全にコントロールしたいユーザー向けに、新たにインスタンス設定キーとして initial.* も利用できるようになり、インスタンス作成時にデータベースにデータを追加できるため、プロファイルを使用するユーザーにとって理想的です。

• セキュアブートデータベースのエントリーを追加するための initial.secureboot.pk、initial.secureboot.kek、initial.secureboot.db、initial.secureboot.dbx、initial.secureboot.dbt、initial.secureboot.mok
• その他の任意の NVRAM エントリーを設定するための initial.nvram.<GUID>.<name>、initial.nvram-binary.<GUID>.<name>

ドキュメント : https://linuxcontainers.org/incus/docs/main/reference/instance_options/

コンテナのほぼライブに近いマイグレーション ¶

CRIU を使ったコンテナのライブマイグレーションは、コンテナ内で実行されているワークロードが CRIU と互換性があるかどうかに依存するため、常にやや不安定でした。

Incus 7.4 では、ローカルストレージ上のコンテナに対する代替手段として、ライブに近いマイグレーション（near-live migration）が導入されました。

メモリーの状態を転送するのではなく、コンテナのファイルシステムを、コンテナが稼働したままの状態で、一連の増分スナップショットにより、ターゲットとなるサーバーに転送します。最後の増分転送時のみ、コンテナを停止する必要があり、その後、ターゲットサーバー上でコンテナが再起動されます。

これはコンテナが再起動するため、ライブマイグレーションではありません。しかし、ダウンタイムは最後の転送時に限定され、通常は非常に短時間で完了するため、非常に大きなコンテナでも最小のダウンタイムで移行できます。

これは、クラスターメンバー間を移動する場合とリモートサーバー間を移動する場合の両方で、incus move の --refresh フラグを使って利用できます。

stgraber@vorash:~$ incus move c1 --target incus02 --stateless --refresh

または

stgraber@vorash:~$ incus move c1 remote-server:c1 --stateless --refresh

対応する refresh-migrate 値が、インスタンス設定キーに cluster.evacuate として追加され、クラスター退避中にこの動作を有効化できるようになりました。

この機能は ZFS もしくは btrfs でのみ、そしてコンテナでのみサポートされています。他のストレージドライバーには、リモート転送用の効率的なスナップショット転送メカニズムがないため、この機能は利用できません。

ドキュメント : https://linuxcontainers.org/incus/docs/main/howto/move_instances/

仮想マシンのワンタイムブートオーバーライド ¶

incus start コマンドに、新たに --override-boot フラグが追加されました。これにより、VM が次に起動する際に使うブートエントリーを選択できます。

このフラグには特定のブートエントリーを指定することも、指定しないまま使うこともできます。指定しないまま使うと、NVRAM に存在するブートエントリーのリストが表示され、そこから選択できます。

stgraber@vorash:~$ incus start v1 --override-boot
┌────┬────────────────────────────────┬────────────────────────────────────────────────────────────────────────────────────────┐
│ ID │          DESCRIPTION           │                                          PATH                                          │
├────┼────────────────────────────────┼────────────────────────────────────────────────────────────────────────────────────────┤
│ 0  │ BootManagerMenuApp             │ Fv(64074afe-340a-4be6-94ba-91b5b4d0f71e)/FvFile(eec25bdc-67f2-4d95-b1d5-f81b2039d11d)  │
├────┼────────────────────────────────┼────────────────────────────────────────────────────────────────────────────────────────┤
│ 1  │ EFI Firmware Setup             │ Fv(64074afe-340a-4be6-94ba-91b5b4d0f71e)/FvFile(462caa21-7614-4503-836e-8ab6f4662331)  │
├────┼────────────────────────────────┼────────────────────────────────────────────────────────────────────────────────────────┤
│ 2  │ UEFI QEMU QEMU HARDDISK        │ PciRoot(0x0)/Pci(0x1,0x1)/Pci(0x0,0x0)/Scsi(0x0,0x1)                                   │
├────┼────────────────────────────────┼────────────────────────────────────────────────────────────────────────────────────────┤
│ 3  │ UEFI PXEv4 (MAC:10666AA0CED7)  │ PciRoot(0x0)/Pci(0x1,0x4)/Pci(0x0,0x0)/MAC(10666aa0ced7,0x1)/IPv4(0.0.0.0,0x0)         │
├────┼────────────────────────────────┼────────────────────────────────────────────────────────────────────────────────────────┤
│ 4  │ UEFI PXEv6 (MAC:10666AA0CED7)  │ PciRoot(0x0)/Pci(0x1,0x4)/Pci(0x0,0x0)/MAC(10666aa0ced7,0x1)/IPv6(::,0x0,Static)       │
├────┼────────────────────────────────┼────────────────────────────────────────────────────────────────────────────────────────┤
│ 5  │ UEFI HTTPv4 (MAC:10666AA0CED7) │ PciRoot(0x0)/Pci(0x1,0x4)/Pci(0x0,0x0)/MAC(10666aa0ced7,0x1)/IPv4(0.0.0.0,0x0)/Uri()   │
├────┼────────────────────────────────┼────────────────────────────────────────────────────────────────────────────────────────┤
│ 6  │ UEFI HTTPv6 (MAC:10666AA0CED7) │ PciRoot(0x0)/Pci(0x1,0x4)/Pci(0x0,0x0)/MAC(10666aa0ced7,0x1)/IPv6(::,0x0,Static)/Uri() │
└────┴────────────────────────────────┴────────────────────────────────────────────────────────────────────────────────────────┘
Select next boot entry: 1

制限されたプロジェクトでのネットワーク共有 ¶

features.networks が有効なプロジェクトは、restricted.networks.access 設定キーを使って、デフォルトプロジェクトからのネットワークへのアクセス権を与えることができるようになりました。

指定されたネットワークはプロジェクトに共有され、incus network list に表示され、そのプロジェクトのインスタンスから使えるようになります。一方で、プロジェクトはそれとは別に自身で OVN ネットワークを作成できます。これにより、プロジェクトごとのネットワーク設定を維持したまま、制限付きプロジェクトに対しても共通のブリッジや物理アップリンクを提供できるようになります。

ドキュメント : https://linuxcontainers.org/incus/docs/main/reference/projects/

ネットワークゾーンに対する DNS NOTIFY サポート ¶

ネットワークゾーンで使用するビルトインの DNS サーバーは、ゾーンの内容が変更されるたびに、設定されたすべてのピアに対して DNS NOTIFY メッセージを送信するようになりました。

これにより、セカンダリー DNS サーバーは、リフレッシュ間隔を待たずに、すぐにゾーンをリフレッシュできます。そのため、通常のリフレッシュ間隔は 15 分に変更されました。

ドキュメント : https://linuxcontainers.org/incus/docs/main/howto/network_zones/

CLI が表示する新しい表 ¶

CLI のリスト表示を調整し、より洗練された、わずかにコンパクトな見た目にしました。

stgraber@vorash:~$ incus list
┌─────────────┬─────────┬─────────────────────────┬──────────────────────────────────────────────────┬─────────────────┬───────────┐
│    NAME     │  STATE  │          IPV4           │                       IPV6                       │      TYPE       │ SNAPSHOTS │
├─────────────┼─────────┼─────────────────────────┼──────────────────────────────────────────────────┼─────────────────┼───────────┤
│ caddy-test  │ STOPPED │                         │                                                  │ CONTAINER (APP) │ 0         │
├─────────────┼─────────┼─────────────────────────┼──────────────────────────────────────────────────┼─────────────────┼───────────┤
│ dev-os      │ STOPPED │                         │                                                  │ VIRTUAL-MACHINE │ 1         │
├─────────────┼─────────┼─────────────────────────┼──────────────────────────────────────────────────┼─────────────────┼───────────┤
│ isolated-oc │ STOPPED │                         │                                                  │ VIRTUAL-MACHINE │ 0         │
├─────────────┼─────────┼─────────────────────────┼──────────────────────────────────────────────────┼─────────────────┼───────────┤
│ rhel10      │ RUNNING │ 10.10.10.225 (eth0)     │ 2602:fc62:ef:1010:1266:6aff:fe69:dd25 (eth0)     │ CONTAINER (APP) │ 0         │
├─────────────┼─────────┼─────────────────────────┼──────────────────────────────────────────────────┼─────────────────┼───────────┤
│ rl9         │ RUNNING │ 10.10.10.60 (enp5s0)    │ 2602:fc62:ef:1010:fac2:13b0:9ad7:918e (enp5s0)   │ VIRTUAL-MACHINE │ 0         │
├─────────────┼─────────┼─────────────────────────┼──────────────────────────────────────────────────┼─────────────────┼───────────┤
│ test        │ RUNNING │ 10.226.131.1 (incusbr0) │ fd42:10b9:5a70:b459::1 (incusbr0)                │ VIRTUAL-MACHINE │ 0         │
│             │         │ 10.10.10.73 (_venp5s0)  │ 2602:fc62:ef:1010:1266:6aff:fe11:9cfd (_venp5s0) │                 │           │
├─────────────┼─────────┼─────────────────────────┼──────────────────────────────────────────────────┼─────────────────┼───────────┤
│ u24         │ RUNNING │ 10.10.10.66 (enp5s0)    │ 2602:fc62:ef:1010:1266:6aff:fe22:9e8 (enp5s0)    │ VIRTUAL-MACHINE │ 0         │
├─────────────┼─────────┼─────────────────────────┼──────────────────────────────────────────────────┼─────────────────┼───────────┤
│ v1          │ RUNNING │ 10.76.140.1 (incusbr0)  │ fd42:75ef:6c01:accd::1 (incusbr0)                │ VIRTUAL-MACHINE │ 0         │
│             │         │ 10.10.10.69 (enp5s0)    │ 2602:fc62:ef:1010:1266:6aff:fe17:7e7f (enp5s0)   │                 │           │
└─────────────┴─────────┴─────────────────────────┴──────────────────────────────────────────────────┴─────────────────┴───────────┘

Ceph RBD の librdb バックエンド ¶

Ceph ストレージドライバーに ceph.rbd.backend 設定キーが追加されました。

これを librbd に設定すると、RBD カーネルドライバー（krbd）ではなく、librbd を使ってボリュームにアクセスするようになります。

これにより、カーネルドライバーでサポートされていない RBD 機能を使えるようになります。そして、krbd で安定性の問題が生じている環境での運用の助けになります。

ドキュメント: https://linuxcontainers.org/incus/docs/main/reference/storage_ceph/

クラスター内の共有ストレージプールのリカバリー ¶

incus admin recover コマンドを使い、クラスターサーバー上の共有ストレージプールを復旧できるようになりました。データベースを喪失したクラスターのディザスターリカバリーができるようになります。

なお、クラスター内のすべてのサーバーがまったく同じ設定であり、リクエストを処理するサーバーが、インポートされるリソースをすべて最初から所有していたことが前提となります。

ドキュメント: https://linuxcontainers.org/incus/docs/main/howto/disaster_recovery/

リモート特有のクライアント証明書 ¶

incus remote コマンドに --tls-cert、--tls-key、--tls-p12 フラグが追加され、リモート接続専用のクライアント証明書を簡単に読み込めるようになりました。

これは、単にサーバーのアドレスや、信頼トークンが提供されるだけはなく、サーバー側で生成された一連の認証情報が提供される環境で作業する際に役立ちます。

具体的な例として、CA が一元管理されている企業環境などが挙げられます。
また他の例として、IncusOS をダウンロードする際、ダウンロードサイト側でクライアント証明書を生成するオプションを選択したケースがあります。

stgraber@vorash:~$ incus remote add incus-os https://10.10.10.100 --tls-p12 ~/Downloads/client.pfx 
Password for /home/stgraber/Downloads/client.pfx:

カスタムヘッダーとデータファイルを使用した Raw API リクエスト ¶

incus query コマンドで、-H フラグを使って、カスタム HTTP ヘッダーを使えるようになりました。

--data-file オプションを使った incus query コマンドで Raw バイナリーデータを与えることもできるようになりました。

これにより、（インスタンスファイル API などの）ヘッダーやバイナリーペイロードに依存するエンドポイントに対して、Raw API を使えるようになります。

stgraber@vorash:~$ incus query -X POST --data-file ./f.txt -H "X-Incus-type: file" -H "X-Incus-mode: 0600" /1.0/instances/c1/files?path=/root/f.txt

QEMU スクリプトレットからの NVRAM アクセス ¶

QEMU スクリプトレットは、いくつかの新しい関数を通して、NVRAM を検査したり、変更したりできるようになりました。

• get_nvram_var
• has_nvram_var
• set_nvram_var
• unset_nvram_var
• get_raw_nvram_var
• set_raw_nvram_var
• list_nvram_vars

ドキュメント: https://linuxcontainers.org/incus/docs/main/reference/instance_options/#qemu-scriptlet

OVN マルチキャスト設定 ¶

OVN ネットワークに新たに bridge.multicast_snooping と bridge.multicast_relay 設定キーが追加されました。

前者は仮想スイッチ上の IGMP/MLD スヌーピングを制御し、グループをサブスクライブしたポートにのみマルチキャストトラフィックを配信します。後者はネットワークの論理ルーターを介したマルチキャストトラフィックの転送ができるようになります。

ドキュメント: https://linuxcontainers.org/incus/docs/main/reference/network_ovn/

IPv6 ルーター広告の制御 ¶

ブリッジおよび OVN ネットワークの両方で、ipv6.ra 設定キーが利用できるようになりました。これは、IPv6 ルーター広告（RA）をネットワークに送るかどうかを制御します。

ディスクデバイスに対するバースト I/O リミット ¶

VM にアタッチされたディスクデバイスに、新たに limits.read.burst、limits.write.burst、limits.max.burst キーが追加されました。これは、通常の制限（byte/s や IOPS）と同じ構文を使用して、バースト時にデバイスが到達可能なレートを定義します。

これに対応する limits.read.burst.length、limits.write.burst.length、limits.max.burst.length キーは、バーストの継続時間を定義します。デフォルトは1秒です。

ドキュメント: https://linuxcontainers.org/incus/docs/main/reference/devices_disk/

ネットワークデバイスに対するバースト I/O 制限 ¶

nic デバイスに、持続的な超過を超えて送信できるデータ量（bit 単位）を定義する limits.ingress.bucket、limits.egress.bucket、limits.max.bucket キーが追加されました。また、bridged、p2p、routed タイプの NIC では、バケットの消費速度を制御するための limits.ingress.burst、limits.egress.burst、limits.max.burst も設定てきます。

ovn NIC に対しては、bucket 関連のキーのみをサポートします。

NIC キューイングディシプリン ¶

bridged、p2p、routed NIC に、queue.discipline 設定キーが追加されました。これにより、NIC のホスト側で使用するキューイングディシプリンを選択できるようになります。

仮想マシンに対しては、ホスト側のインターフェースはマルチキュー TAP デバイスとなります。queue.discipline.attach が、キューイング・ディシプリンを各送信キュー（queue）に適用するか、インターフェースの root（root）に適用するかを制御します。

ドキュメント: https://linuxcontainers.org/incus/docs/main/reference/devices_nic/

イメージプロパティ列 ¶

incus image list コマンドが、properties:KEY カスタムカラムに対応し、任意のイメージプロパティを直接リスト内に表示できるようになりました。

stgraber@vorash:~$ incus image list images: debian/13 --columns lfpd,properties:os,properties:release,properties:variant
┌──────────────────────────────────┬──────────────┬────────┬────────────────────────────────────────────────┬────────┬─────────┬─────────┐
│              ALIAS               │ FINGERPRINT  │ PUBLIC │                  DESCRIPTION                   │   OS   │ RELEASE │ VARIANT │
├──────────────────────────────────┼──────────────┼────────┼────────────────────────────────────────────────┼────────┼─────────┼─────────┤
│ debian/13 (7 more)               │ 065c3e644af0 │ yes    │ Debian trixie amd64 (20260827_05:24)           │ Debian │ trixie  │ default │
│                                  ├──────────────┼────────┼────────────────────────────────────────────────┼────────┼─────────┼─────────┤
│                                  │ b8a6f9f60d67 │ yes    │ Debian trixie amd64 (20260827_05:24)           │ Debian │ trixie  │ default │
├──────────────────────────────────┼──────────────┼────────┼────────────────────────────────────────────────┼────────┼─────────┼─────────┤
│ debian/13/arm64 (3 more)         │ 4189835984b2 │ yes    │ Debian trixie arm64 (20260827_05:24)           │ Debian │ trixie  │ default │
│                                  ├──────────────┼────────┼────────────────────────────────────────────────┼────────┼─────────┼─────────┤
│                                  │ e08e7964a29a │ yes    │ Debian trixie arm64 (20260827_05:24)           │ Debian │ trixie  │ default │
└──────────────────────────────────┴──────────────┴────────┴────────────────────────────────────────────────┴────────┴─────────┴─────────┘

クラスターのイメージロケーション ¶

クラスター内のイメージは、その特定のイメージのコピーを保持するクラスター内の全サーバーのリストを含む locations フィールドを報告するようになりました。

インスタンスの起動保護 ¶

新たに追加したインスタンス設定キーである security.protection.start を true に設定すると、インスタンスの起動が防止されます。

これは、テンプレートインスタンスや、運用を終了した環境、バックアップ環境において非常に役に立ちます。

stgraber@vorash:~$ incus config set c1 security.protection.start=true
stgraber@vorash:~$ incus start c1
Error: Instance is protected against being started

Ceph オブジェクトエンドポイント証明書 ¶

cephobject ストレージドライバーの cephobject.radosgw.endpoint_cert_file 設定キーは、cephobject.radosgw.endpoint_cert に置き換えられました。

Incus では一般的に、クラスター内の複数のサーバー間で同期を維持することが難しいため、設定でローカルのファイルを参照することは避けるようにしています。

ドキュメント: https://linuxcontainers.org/incus/docs/main/reference/storage_cephobject/

最小要件の更新 ¶

Go 1.27 のリリースに伴い、Incus がサポートする Go の最小バージョンが 1.26 に引き上げられました。

また、OVN サポートの最近の改良により、OVS の最小バージョンは 3.3.0 に、OVN の最小バージョンは 24.03.0 に、それぞれ引き上げられました。

すべての変更点 ¶

このリリースのすべての変更のリストは次の通りです（翻訳なし）:

ドキュメント¶

Incus のドキュメントはこちらです:

https://incus-ja.readthedocs.io/ja/latest/ （日本語訳）
https://linuxcontainers.org/incus/docs/main/ （原文）

パッケージ ¶

Incus の開発元は、通常リリースの tarball のみをリリースするため、公式の Incus パッケージはありません。Incus を実行するために使えるオプションを以下にいくつか示します。

Linux 上に Incus サーバーをインストールする ¶

Incus はほとんどの一般的な Linux ディストリビューションで利用できます。インストール手順の詳細は、Incus のドキュメントを参照してください。

https://incus-ja.readthedocs.io/ja/latest/installing/ （日本語訳）
https://linuxcontainers.org/incus/docs/main/installing/ （原文）

Incus クライアントの Homebrew パッケージ ¶

Homebrew 経由で、Linux と macOS 向けにクライアントツールが利用できます。

https://formulae.brew.sh/formula/incus

Incus クライアントの Chocolatey パッケージ ¶

Chocolatey 経由で、Windows ユーザー向けにクライアントツールが利用できます。

https://community.chocolatey.org/packages/incus/7.4.0

Incus クライアントの Winget パッケージ ¶

Winget 経由で、Windows ユーザー向けにクライアントツールが利用できます。

https://winstall.app/apps/LinuxContainers.Incus

サポート ¶

月次のフィーチャーリリースは、次のリリースがリリースされるまでのみサポートされます。より長いサポート期間と少ない変更頻度が必要な場合、代わりに Incus 7.0 LTS の使用を検討すべきです。

コミュニティサポートはこちらから : https://discuss.linuxcontainers.org
商用サポートはこちらから : https://zabbly.com/incus
バグはこちらから報告できます : https://github.com/lxc/incus/issues

Incus 7.3 リリースのお知らせ¶

2026/07/31

Incus チームは、Incus 7.3 のリリースのアナウンスができてうれしいです!

いつもと同様に充実した内容のリリースです。多数の魅力的な新機能が追加され、パフォーマンスの向上、バグフィックス、セキュリティ強化の面でも多くの改善が図られています。

いつものように、オンラインでご自身で試せます: Linux Containers - Incus - オンラインでの試用

セキュリティ修正 ¶

このリリースでは、13 の脆弱性を修正しました:

• CVE-2026-62867 (critical) - ストレージボリュームの block.create_options を経由した引数インジェクション
• CVE-2026-62940 (critical) - インスタンスの移行設定の上書きによるプロジェクト制限のバイパス
• CVE-2026-62941 (critical) - プロジェクト間のインスタンスコピーを介したプロジェクト制限のバイパス
• CVE-2026-63125 (critical) - 細工されたイメージ内の backup.yaml を介したホスト上の任意のファイルへの書き込み
• CVE-2026-63343 (critical) - 細工されたイメージ内の metadata.yaml を介したホスト上の任意のファイルの読み書き
• GHSA-26gp-p5fw-3r2h (critical) - インスタンスバックアップのインポートにおけるパストラバーサルによるホスト上の任意のファイルへの書き込み
• GHSA-67qw-68v3-36h6 (critical) - カスタムボリュームのインポートにおけるパストラバーサルによるホスト上の任意のファイルへの書き込み
• GHSA-7fj9-65v4-rp7h (critical) - 画像埋め込みのシンボリックリンクと oci.dns.* における改行インジェクションによるホスト上の任意のファイルへの書き込み
• GHSA-p2v3-6wvc-cv3p (critical) - イメージフィンガープリントのパストラバーサルによるホスト上の任意のファイルへの書き込み
• GHSA-4qxq-p5hm-3q3p (high) - VM テンプレートのパストラバーサルによるホスト上の任意のファイルの読み書き
• GHSA-m3j6-p3v3-qmjv (high) - nvidia.driver.capabilities を介したコンテナ設定に対する改行インジェクション
• CVE-2026-62313 (medium) - security.idmap.isolated を省略することによるプロジェクト隔離制限のバイパス
• GHSA-6v6x-387m-rj4w (medium) - ネットワークアドレスセットのプロジェクト制限のバイパス

上記の中にはまだ CVE が割り当てられていないものがあることに注意してください。これは現在、GitHub で CVE 割り当てに 3-4 週間の遅延が発生しているためです。上記のすべてに CVE をリクエストしており、割り当てられ次第、関連する GHSA に自動的に追加されます。

新機能 ¶

DRM ネイティブコンテキストによる仮想マシン向けの GPU 共有 ¶

新たに native-context タイプの GPU が仮想マシンで利用できるようになりました。

この機能は、virglrenderer と virtio-gpu タイプを使い、GPU 3D アクセラレーション処理を提供します。

フル GPU パススルーと異なり、これは複数の仮想マシンで並列して使えます。
現時点では、Linux のみがこれを完全にサポートするドライバーを提供しているようで、Windows ゲストはアクセラレーションの対象外です。

これは、次のように有効にできます:

stgraber@vorash:~$ incus config device add v1 gpu0 gpu gputype=native-context

ドキュメント : https://linuxcontainers.org/incus/docs/main/reference/devices_gpu/

仮想マシン向けの UEFI 変数管理 ¶

Incus で、仮想マシンの NVRAM を直接操作できるようになりました。

この機能は、CLI の incus low-level nvram コマンドを通して提供され、NVRAM の読み取りと書き込みが可能です。

UEFI NVRAM のほとんどの設定を読み取り、更新できるので、ブートデバイスの変更やブート順序が変更できます。書き込み操作は、VM が停止している必要があります。UEFI のセキュアブートのキープロビジョニングに特化した機能については、後日改めて対応する予定です。

さらに、incus low-level repair に新たに rebuild-nvram という修復アクションが追加されました。これにより、仮想マシンの UEFI NVRAM をクリーンな状態に簡単にリセットできるようになりました。

stgraber@vorash:~$ incus launch images:debian/13 v1 --vm
Launching v1
stgraber@vorash:~$ incus low-level nvram get v1 Boot0000
binary: CQEAACwAQgBvAG8AdABNAGEAbgBhAGcAZQByAE0AZQBuAHUAQQBwAHAAAAAEBxQAyb24fOv4NE+q6j7kr2UWoQQGFADcW8Lu8meVTbHV+BsgOdEdf/8EAA==
data:
  active: true
  category: app
  description: BootManagerMenuApp
  force_reconnect: false
  hidden: true
  paths:
    - - Fv(7cb8bdc9-f8eb-4f34-aaea-3ee4af6516a1)/FvFile(eec25bdc-67f2-4d95-b1d5-f81b2039d11d)
attributes:
  - NON_VOLATILE
  - BOOTSERVICE_ACCESS
  - RUNTIME_ACCESS

インスタンスポートフォワーディング ¶

新たに追加された incus port-forward コマンドを使用すると、インスタンス内で実行されている TCP サービスに簡単にアクセスできます。

CLI ツールは、ローカル TCP リスナーを実行し、そのリスナーへの接続をすべて、インスタンス内部またはそのインスタンスに接続されたネットワーク上の指定されたアドレスとポートに転送します。

stgraber@vorash:~$ incus port-forward my-nginx 80 8080
stgraber@vorash:~$ incus port-forward my-nginx 10.0.3.1:443 0.0.0.0:8443

認証設定の再設計 ¶

認証設定は、新たに authorization.* ネームスペースに移動しました。これにともない、従来の openfga.* サーバー設定キーは、authorization.openfga.api.url、authorization.openfga.api.token、authorization.openfga.store.id に変更されました。既存の設定値は、アップグレード時に自動的に移行されます。

これにより、複数の認証ドライバーを並行してサポートし、リクエストの種類によってプロバイダーを選択できるようになりました。これは、新しいキーのセットによって実現されます:

• authorization.client.default: 具体的なクラスルートを持たないクライアント用ドライバー
• authorization.client.unix: ローカル（unix ソケット）クライアント用ドライバー
• authorization.client.tls: 制限なし TLS クライアント用ドライバー
• authorization.client.tls-restricted: （プロジェクトスコープの）制限付き TLS クライアント用ドライバー
• authorization.client.oidc: OIDC 認証クライアント用ドライバー

各キーは allow、deny、openfga、scriptlet のいずれかを受け付けます。さらに、制限付き TLS クライアント向けには tls も利用可能です。

ドキュメント : https://linuxcontainers.org/incus/docs/main/authorization/

incus low-level の導入 ¶

incus debug コマンドを incus low-level にリネームしました。

その一環で、いくつか新しいサブコマンドを追加しました:

• bitmap （仮想マシン向けダーティービットマップ管理）
• nvram （前述のとおり）
• repair インスタンスの修復アクション

BGP unnumbered のサポート ¶

Incus は、外部ルーターとのピアリングで Unnumbered BGP をサポートするようになりました。

これは bgp.peers.NAME.address の代替として使用する新しい設定キー bgp.peers.NAME.interface によって実現されます。

設定すると、指定したインターフェースで BGP unnumbered を使って BGP セッションが確立します。ピアの IPv6 リンクローカルアドレスは自動的に検出され、IPv4 ルートは拡張 next-hop 機能を使って交換されます。

ドキュメント : https://linuxcontainers.org/incus/docs/main/howto/network_bgp/

ネストした仮想化の制御 ¶

security.nesting インスタンス設定キーは、仮想マシンにも適用されるようになりました。

コンテナとは異なり、これはデフォルトで true で、従来のデフォルトの動作が維持されます。false に設定すると、ゲスト VM では svm と vmx CPU フラグが無効化されます。

対応するプロジェクト構成キーである restricted.virtual-machines.nesting も追加されました。block に設定した場合、プロジェクト内のすべての仮想マシンの security.nesting は false に設定されている必要があります。

ドキュメント: https://linuxcontainers.org/incus/docs/main/reference/projects/

すべてのリモートを対象としたインスタンスの一覧表示 ¶

incus list コマンドに --all-remotes フラグが追加されました。これにより、設定済みのすべてのリモートにあるインスタンスが、リモートを示すカラムを追加した状態で、単一のビューで表示されるようになりました。

stgraber@vorash:~$ incus list --all-remotes --all-projects
+------------+---------+-------------+---------+-------------------------+--------------------------------------------------+-----------------+-----------+----------+
|   REMOTE   | PROJECT |    NAME     |  STATE  |          IPV4           |                       IPV6                       |      TYPE       | SNAPSHOTS | LOCATION |
+------------+---------+-------------+---------+-------------------------+--------------------------------------------------+-----------------+-----------+----------+
| local      | default | c1          | RUNNING | 10.80.1.4 (eth0)        | fd42:8b9f:58e4:b6ac:1266:6aff:fe2d:7101 (eth0)   | CONTAINER       | 0         | none     |
+------------+---------+-------------+---------+-------------------------+--------------------------------------------------+-----------------+-----------+----------+
| local      | default | incus-os    | STOPPED |                         |                                                  | VIRTUAL-MACHINE | 0         | none     |
+------------+---------+-------------+---------+-------------------------+--------------------------------------------------+-----------------+-----------+----------+
| local      | default | my-nginx    | STOPPED |                         |                                                  | CONTAINER (APP) | 0         | none     |
+------------+---------+-------------+---------+-------------------------+--------------------------------------------------+-----------------+-----------+----------+
| local      | default | v1          | STOPPED |                         |                                                  | VIRTUAL-MACHINE | 0         | none     |
+------------+---------+-------------+---------+-------------------------+--------------------------------------------------+-----------------+-----------+----------+
| s-castiana | default | caddy-test  | STOPPED |                         |                                                  | CONTAINER (APP) | 0         | none     |
+------------+---------+-------------+---------+-------------------------+--------------------------------------------------+-----------------+-----------+----------+
| s-castiana | default | dev-os      | STOPPED |                         |                                                  | VIRTUAL-MACHINE | 1         | none     |
+------------+---------+-------------+---------+-------------------------+--------------------------------------------------+-----------------+-----------+----------+
| s-castiana | default | isolated-oc | STOPPED |                         |                                                  | VIRTUAL-MACHINE | 0         | none     |
+------------+---------+-------------+---------+-------------------------+--------------------------------------------------+-----------------+-----------+----------+
| s-castiana | default | rhel10      | RUNNING | 10.10.10.225 (eth0)     | 2602:fc62:ef:1010:1266:6aff:fe69:dd25 (eth0)     | CONTAINER (APP) | 0         | none     |
+------------+---------+-------------+---------+-------------------------+--------------------------------------------------+-----------------+-----------+----------+
| s-castiana | default | test        | RUNNING | 10.226.131.1 (incusbr0) | fd42:10b9:5a70:b459::1 (incusbr0)                | VIRTUAL-MACHINE | 0         | none     |
|            |         |             |         | 10.10.10.73 (_venp5s0)  | 2602:fc62:ef:1010:1266:6aff:fe11:9cfd (_venp5s0) |                 |           |          |
+------------+---------+-------------+---------+-------------------------+--------------------------------------------------+-----------------+-----------+----------+
| s-castiana | default | v1          | RUNNING | 10.10.10.80 (enp5s0)    | 2602:fc62:ef:1010:1266:6aff:fe49:20ca (enp5s0)   | VIRTUAL-MACHINE | 0         | none     |
+------------+---------+-------------+---------+-------------------------+--------------------------------------------------+-----------------+-----------+----------+
| s-dakara   | default | c1          | STOPPED |                         |                                                  | CONTAINER       | 0         | none     |
+------------+---------+-------------+---------+-------------------------+--------------------------------------------------+-----------------+-----------+----------+
| s-dakara   | default | dev-os      | STOPPED |                         |                                                  | VIRTUAL-MACHINE | 0         | none     |
+------------+---------+-------------+---------+-------------------------+--------------------------------------------------+-----------------+-----------+----------+
| s-dakara   | default | v1          | RUNNING | 172.17.250.222 (enp5s0) | 2602:fc62:c:250:1266:6aff:feb0:6588 (enp5s0)     | VIRTUAL-MACHINE | 0         | none     |
+------------+---------+-------------+---------+-------------------------+--------------------------------------------------+-----------------+-----------+----------+
| s-dakara   | default | win2003     | STOPPED |                         |                                                  | VIRTUAL-MACHINE | 0         | none     |
+------------+---------+-------------+---------+-------------------------+--------------------------------------------------+-----------------+-----------+----------+
| s-dakara   | default | win2025     | STOPPED |                         |                                                  | VIRTUAL-MACHINE | 0         | none     |
+------------+---------+-------------+---------+-------------------------+--------------------------------------------------+-----------------+-----------+----------+

VM エージェント処理の改良 ¶

VM エージェントが、virtio-vsock が利用できない環境でも、代わりにシリアルリンク経由で OS 情報を報告することにより実行できるようになりました。これにより、従来はエージェントを全く実行できなかった環境でも、IP 設定や OS 情報を正しく報告できるようになります。

ネットワーク割り当ての改良 ¶

ネットワーク割り当て API に、各割り当てが属するネットワーク情報が含まれるようになりました。

CLI 側では、incus network list-allocations コマンドに新たにネットワーク列が表示されるようになり、よりコンパクトに表示するための --summary フラグが導入されました。

stgraber@vorash:~$ incus network list-allocations
+-------------------------+---------------------------------------------+----------+----------+-----+-------------------+
|         USED BY         |                   ADDRESS                   | NETWORK  |   TYPE   | NAT |    MAC ADDRESS    |
+-------------------------+---------------------------------------------+----------+----------+-----+-------------------+
| /1.0/instances/c1       | 10.80.1.4/32                                | incusbr0 | instance | YES | 10:66:6a:2d:71:01 |
+-------------------------+---------------------------------------------+----------+----------+-----+-------------------+
| /1.0/instances/c1       | fd42:8b9f:58e4:b6ac:1266:6aff:fe2d:7101/128 | incusbr0 | instance | YES | 10:66:6a:2d:71:01 |
+-------------------------+---------------------------------------------+----------+----------+-----+-------------------+
| /1.0/instances/incus-os | fd42:8b9f:58e4:b6ac:1266:6aff:fef3:2d9/128  | incusbr0 | instance | YES | 10:66:6a:f3:02:d9 |
+-------------------------+---------------------------------------------+----------+----------+-----+-------------------+
| /1.0/instances/my-nginx | fd42:8b9f:58e4:b6ac:1266:6aff:fe61:8058/128 | incusbr0 | instance | YES | 10:66:6a:61:80:58 |
+-------------------------+---------------------------------------------+----------+----------+-----+-------------------+
| /1.0/instances/v1       | fd42:8b9f:58e4:b6ac:1266:6aff:fe3f:71f2/128 | incusbr0 | instance | YES | 10:66:6a:3f:71:f2 |
+-------------------------+---------------------------------------------+----------+----------+-----+-------------------+
| /1.0/networks/incusbr0  | 10.80.1.1/24                                | incusbr0 | network  | YES |                   |
+-------------------------+---------------------------------------------+----------+----------+-----+-------------------+
| /1.0/networks/incusbr0  | fd42:8b9f:58e4:b6ac::1/64                   | incusbr0 | network  | YES |                   |
+-------------------------+---------------------------------------------+----------+----------+-----+-------------------+
stgraber@vorash:~$ incus network list-allocations --summary
+----------+--------------------------+-------------------------------------------------------------------------------------------------------------------------------------------------------------------+
| NETWORK  |          SUBNET          |                                                                               USED                                                                                |
+----------+--------------------------+-------------------------------------------------------------------------------------------------------------------------------------------------------------------+
| incusbr0 | 10.80.1.0/24             | 10.80.1.4                                                                                                                                                         |
+----------+--------------------------+-------------------------------------------------------------------------------------------------------------------------------------------------------------------+
| incusbr0 | fd42:8b9f:58e4:b6ac::/64 | fd42:8b9f:58e4:b6ac:1266:6aff:fe2d:7101, fd42:8b9f:58e4:b6ac:1266:6aff:fe3f:71f2, fd42:8b9f:58e4:b6ac:1266:6aff:fe61:8058, fd42:8b9f:58e4:b6ac:1266:6aff:fef3:2d9 |
+----------+--------------------------+-------------------------------------------------------------------------------------------------------------------------------------------------------------------+

I/O 制限の改良 ¶

unix-block デバイスは、limits.read と limits.write 設定キーをサポートするようになりました。これにより、disk デバイスと同様に動作し、バイト/秒または IOPS 値を指定できるようになりました。

さらに、カンマ区切りの値のリストを使うことで、disk と unix-block デバイスに対してバイト/秒の制限と IOPS の制限を同時に設定できるようになりました:

incus config device set my-vm data limits.read=30MiB,1000iops

ドキュメント : https://linuxcontainers.org/incus/docs/main/reference/devices_unix_block/

ストレージプールメトリクス ¶

/1.0/metrics エンドポイントに、ストレージプールの使用状況データが含まれるようになりました:

• incus_storage_pool_size_bytes{pool="<pool>",driver="<driver>"}
• incus_storage_pool_used_bytes{pool="<pool>",driver="<driver>"}

ドキュメント : https://linuxcontainers.org/incus/docs/main/metrics/

ACME EAB（Extended Account Binding） ¶

ACME 統合機能は、EAB（Extended Account Binding）をサポートするようになりました。これは acme.eab.kid と acme.eab.hmac という 2 つの新しいサーバー設定キーを通して設定します。

これにより、事前にアカウント認証情報が必要な ACME プロバイダーを利用できるようになりました。

ドキュメント : https://linuxcontainers.org/incus/docs/main/authentication/

リソース API における CPU クラスターのレポート ¶

リソース API は、各 CPU コアに対して cluster フィールドをレポートするようになりました。これは、コア識別子がソケットごとに一意ではなく、コアのクラスターごとに一意である ARM big.LITTLE 環境で役に立ちます。

これは、incus info --resources で表示され、VM の CPU トポロジー検証をクラスター対応にするためにも使用されます。

ネイティブな Windows と macOS のインストーラー ¶

Incus は、クライアントツール用のネイティブなインストーラー、Windows は MSI パッケージ、macOS は PKG でリリースされるようになりました。これらはリリースプロセスの一環としてビルドされ、公開されます。

現時点では、これらのどちらにも署名がないため、インストールがチャレンジングになる可能性があります。

すべての変更点 ¶

このリリースのすべての変更のリストは次の通りです（翻訳なし）:

ドキュメント¶

Incus のドキュメントはこちらです:

https://incus-ja.readthedocs.io/ja/latest/ （日本語訳）
https://linuxcontainers.org/incus/docs/main/ （原文）

パッケージ ¶

Incus の開発元は、通常リリースの tarball のみをリリースするため、公式の Incus パッケージはありません。Incus を実行するために使えるオプションを以下にいくつか示します。

Linux 上に Incus サーバーをインストールする ¶

Incus はほとんどの一般的な Linux ディストリビューションで利用できます。インストール手順の詳細は、Incus のドキュメントを参照してください。

https://incus-ja.readthedocs.io/ja/latest/installing/ （日本語訳）
https://linuxcontainers.org/incus/docs/main/installing/ （原文）

Incus クライアントの Homebrew パッケージ ¶

Homebrew 経由で、Linux と macOS 向けにクライアントツールが利用できます。

https://formulae.brew.sh/formula/incus

Incus クライアントの Chocolatey パッケージ ¶

Chocolatey 経由で、Windows ユーザー向けにクライアントツールが利用できます。

https://community.chocolatey.org/packages/incus/7.3.0

Incus クライアントの Winget パッケージ ¶

Winget 経由で、Windows ユーザー向けにクライアントツールが利用できます。

https://winstall.app/apps/LinuxContainers.Incus

サポート ¶

月次のフィーチャーリリースは、次のリリースがリリースされるまでのみサポートされます。より長いサポート期間と少ない変更頻度が必要な場合、代わりに Incus 7.0 LTS の使用を検討すべきです。

コミュニティサポートはこちらから : https://discuss.linuxcontainers.org
商用サポートはこちらから : https://zabbly.com/incus
バグはこちらから報告できます : https://github.com/lxc/incus/issues

Incus 7.0.1 LTS リリースのお知らせ¶

2026/07/10

はじめに ¶

Incus チームは、Incus 7.0.1 のアナウンスができることをうれしく思います!
このリリースは、2031 年 6 月までサポートされる Incus 7.0 の最初のバグ修正リリースです。

なお、7.0.x シリーズでは各プロジェクトのバグ修正アップデートを切り離して実施するため、今回のアップデートと同時に LXC や LXCFS が更新されることはありません。

変更点 ¶

いつもと同様に、このバグ修正リリースは安定性とセキュリティ強化に重点を置いています。

データ移行やデータベースの変更を必要としない、あるいはユーザーが動作の変更に直面するような予期せぬ変更をもたらさないような軽微な改善点もバックポートされています。

LTS ブランチ内では、このような改善数は時間とともに減少していくでしょう。

このリリースのハイライトのいくつかは次のとおりです:

• カスタムストレージボリュームの再構築
• 仮想マシン向けの明示的な CPU トポロジー
• カスタム TPM プラットフォーム証明書
• ボリューム作成時のアタッチ
• ストレージ用のファイルシステム作成オプション
• 低レベル LINSTOR 設定
• ネットワークアドレスセットの IP レンジ
• ブリッジネットワークにおけるマルチキャストスヌーピング制御
• リモートごとの複数のアドレス
• S3 オブジェクトストレージの改良
• インスタンスごとの SELinux 統合
• 新しい incus default CLI コマンド
• デフォルトでフィルタリングされたサーバー情報
• CLI からの Keepalive タイムアウト
• CLI 設定の OS ごとの適切な処理
• スタンドアロンサーバーの証明書更新
• OCI コンテナの静的ネットワーク設定
• インスタンスごとの BGP ルートアドバタイズ
• プロキシー NAT モードでのダイナミックアドレス
• VM に対する NBD アクセスの拡張
• ストレージボリュームの Btrfs 圧縮
• InfiniBand の SR-IOV GUID 設定
• Websocket オリジン制限

今回のアップデートでは、以下のセキュリティー問題にも対処しています:

• CVE-2026-48753 (critical) - S3マルチパートアップロードにおけるパストラバーサルによる任意のファイル書き込み
• CVE-2026-47753 (low) - インスタンスバックアップのインポートにおける Nil ポインターデリファレンスパニック
• CVE-2026-48754 (low) - createDependentVolumesFromBackup 内の Nil ポインターデリファレンス
• CVE-2026-48756 (low) - CreateCustomVolumeFromBackup 内の Nil ポインターデリファレンス
• CVE-2026-48749 (critical) - 悪意あるイメージ内の rootfs/ シンボリックリンクを経由したホスト上の任意のファイルの読み書き
• CVE-2026-48750 (critical) - 細工されたイメージ内の exec-output シンボリックリンクを介したホスト上の任意のファイルに対する書き込み
• CVE-2026-48751 (critical) - 任意のコマンド実行につながるプロジェクト制限のバイパス
• CVE-2026-48752 (critical) - 悪意あるイメージ内の templates/ シンボリックリンクを介したホスト上の任意のファイルの読み書き
• CVE-2026-48755 (critical) - 任意のファイルへの書き込みおよびコマンド実行につながる、バックアップ圧縮アルゴリズムにおける引数インジェクション
• CVE-2026-48769 (critical) - 信頼されたイメージハッシュに起因するクライアント上の任意のファイルに対する書き込み
• CVE-2026-55621 (high) - プロジェクト間のカスタムボリュームコピーに対するプロジェクト制限のバイパス
• CVE-2026-55622 (high) - プロジェクト間のインスタンスコピーにおけるプロジェクト制限の回避

これらはすべて、通常の月次リリースで既に修正されており、Incus 7.0 LTS を出荷している様々なディストリビューションによって広くバックポートされています。

コミットのすべてのリストは次のとおりです（翻訳なし）:

サポートとアップグレード ¶

Incus 7.0 ブランチは 2031 年 6 月までサポートされます。
常に最新の LTS バグ修正リリースを実行することを強く推奨します。

ダウンロード ¶

• リリース tarball : incus-7.0.1.tar.xz
• GPG シグネチャー : incus-7.0.1.tar.xz.asc

Incus 7.2 リリースのお知らせ¶

2026/06/26

Incus チームは、Incus 7.2 のリリースのアナウンスができてうれしいです!

今回も、多岐にわたる新機能や、いつものようにパフォーマンス向上やバグ修正を含む、盛りだくさんなリリースとなっています。

いつものように、オンラインでご自身で試せます: Linux Containers - Incus - オンラインでの試用

セキュリティ修正 ¶

このリリースでは、8 件のセキュリティ問題を修正しました:

• CVE-2026-48749 (critical) - 悪意あるイメージ内の rootfs/ シンボリックリンクを経由したホスト上の任意のファイルの読み書き
• CVE-2026-48750 (critical) - 細工されたイメージ内の exec-output シンボリックリンクを介したホスト上の任意のファイルに対する書き込み
• CVE-2026-48751 (critical) - 任意のコマンド実行につながるプロジェクト制限のバイパス
• CVE-2026-48752 (critical) - 悪意あるイメージ内の templates/ シンボリックリンクを介したホスト上の任意のファイルの読み書き
• CVE-2026-48755 (critical) - 任意のファイルへの書き込みおよびコマンド実行につながる、バックアップ圧縮アルゴリズムにおける引数インジェクション
• CVE-2026-48769 (critical) - 信頼されたイメージハッシュに起因するクライアント上の任意のファイルに対する書き込み
• CVE-2026-55621 (high) - プロジェクト間のカスタムボリュームコピーに対するプロジェクト制限のバイパス
• CVE-2026-55622 (high) - プロジェクト間のインスタンスコピーにおけるプロジェクト制限の回避

新機能 ¶

インスタンスごとの SELinux 統合 ¶

Incus は、コンテナと仮想マシンの両方に対して、インスタンスごとの SELinux 隔離をサポートするようになりました。同じホスト上のインスタンスをお互いに分離するために、MCS（マルチカテゴリーセキュリティ）を自動的に割り当てます。

• security.selinux.type: インスタンスストレージに使用する SELinux ファイルタイプを上書きします
• security.selinux.level: SELinux MCS レベルを上書きします
• security.selinux.label_rootfs: rootfs のラベリング動作をコントロールします（auto、always、neverのいずれか）

計算されたコンテキストは、volatile.selinux.context キーに保持されるため、割り当てられた MCS レンジは再起動後も一定の状態を保ちます。

ドキュメント: https://linuxcontainers.org/incus/docs/main/reference/instance_options/#instance-options-security

新しい incus default CLI コマンド ¶

CLI のデフォルトオプションを制御しやすくするために incus default コマンドが追加されました。

stgraber@orilla:~$ incus default show
list_format: ""
console_type: ""
console_spice_command: ""
no_color: false
stgraber@orilla:~$ incus default set list_format=compact
stgraber@orilla:~$ incus storage list
  NAME    DRIVER  DESCRIPTION  USED BY   STATE  
 default  zfs                  11       CREATED 
stgraber@orilla:~$ incus default unset list_format
stgraber@orilla:~$ incus storage list
+---------+--------+-------------+---------+---------+
|  NAME   | DRIVER | DESCRIPTION | USED BY |  STATE  |
+---------+--------+-------------+---------+---------+
| default | zfs    |             | 11      | CREATED |
+---------+--------+-------------+---------+---------+
stgraber@orilla:~$

これらのオプションに関するドキュメントも更新されました:

https://linuxcontainers.org/incus/docs/main/client-config/

デフォルトでフィルタリングされたサーバー情報 ¶

incus info は、フィルタリングされたサーバー情報表示がデフォルトになりました。

デフォルトでは、すべての秘密鍵、証明書、その他のトークンが隠されます（SENSITIVE に置き換えられます）。これらを表示するには、--show-sensitive オプションが必要です。また、API 拡張の完全なリストを非表示にし、代わりにその数だけを表示することで、出力が簡潔になります。

CLI からの Keepalive タイムアウト ¶

incus remote コマンドに、接続の Keepalive タイムアウトを設定するための set-keepalive サブコマンドが追加されました。

stgraber@orilla:~$ incus remote set-keepalive my-remote 30
stgraber@orilla:~$ incus remote set-keepalive my-remote 0

CLI の Keepalive 機能は、リモートサーバーとの接続を維持するために使われます。それにより、後続のやりとりをかなり高速化します。これは、レイテンシーの高い接続や、多数の incus コマンドが実行される環境で特に役に立ちます。

CLI 設定の OS ごとの適切な処理 ¶

CLI が、設定やキャッシュデータを OS ごとの適切な場所に保存するようになりました。

これまでは、CLI は OS を問わず、常に ~/.config/incus/ と ~/.cache/incus/ を使用していました。その結果、macOS や Windows では、標準的ではない場所に保存されていました。

Incus 7.2 からは、macOS では ~/Library/Application Support/incus/ が、Windows では %APPDATA%\incus が使われるようになりました。CLI は初回起動時に自動的に設定ファイルを新しい場所に移動します。

スタンドアロンサーバーの証明書更新 ¶

新しいコマンド incus admin update-certificate を使うと、（クラスター化されていない）スタンドアロンシステム上のサーバー証明書を置き換えられるようになりました。

このコマンドは、スタンドアロンシステム向けの機能であり、incus cluster update-certificate に相当するコマンドです。/var/lib/incus/ 内のファイルを直接変更する方法が、このコマンドに置き換えられました。

OCI コンテナの静的ネットワーク設定 ¶

OCI アプリケーションコンテナで、ネットワークを静的に設定できるようになりました。

NIC の ipv4.address と ipv6.address キーに CIDR 値を設定し、コンテナ内のアドレスを静的に設定できます。そして、新たな ipv4.gatewayと ipv6.gateway キーでデフォルトゲートウェイを設定します。いずれかのアドレスを none に設定することで、そのアドレスファミリーに対して設定されなくなり、組み込みの DHCP クライアントも、そのアドレスファミリーに対しては動作しなくなります。

DNS に関して、新しいインスタンス設定キー oci.dns.nameservers、oci.dns.domain、oci.dns.search を使用して、コンテナの resolv.conf の初期内容を設定できます。この設定内容は、DHCP 経由で受信した情報でさらに拡張されます。

これらのキーはすべて、OCI コンテナに対してのみ有効です。

stgraber@orilla:~$ incus create docker:nginx my-nginx
Creating my-nginx
stgraber@orilla:~$ incus config set my-nginx oci.dns.nameservers=1.0.0.1,1.1.1.1 oci.dns.domain=stgraber.net
stgraber@orilla:~$ incus config device override my-nginx eth0 ipv4.address=10.10.10.2/24 ipv4.gateway=10.10.10.1
Device eth0 overridden for my-nginx
stgraber@orilla:~$ incus start my-nginx
stgraber@orilla:~$ incus list my-nginx
+----------+---------+-------------------+------------------------------------------------+-----------------+-----------+
|   NAME   |  STATE  |       IPV4        |                      IPV6                      |      TYPE       | SNAPSHOTS |
+----------+---------+-------------------+------------------------------------------------+-----------------+-----------+
| my-nginx | RUNNING | 10.10.10.2 (eth0) | fd42:8b9f:58e4:b6ac:1266:6aff:fecb:e324 (eth0) | CONTAINER (APP) | 0         |
+----------+---------+-------------------+------------------------------------------------+-----------------+-----------+

インスタンスごとの BGP ルートアドバタイズ ¶

マネージドブリッジネットワークに、新しい設定キーが 2 つ追加されました。bgp.ipv4.instances と bgp.ipv6.instances です。

有効にすると、Incus は、ネットワークに接続されている実行中のインスタンスそれぞれに対して、BGP 経由で /32 （IPv4）または /128 （IPv6） のルートを広告し、インスタンスが停止するとルートを取り消します。これにより BGP 環境において、個々のインスタンスに直接ルーティングすることが容易になります。

その一環として、Incus にインスタンス起動時に一定期間 ARP/NDP をモニタリングして、インスタンスの IP アドレスを学習する機能が拡張されました。

ドキュメント : https://linuxcontainers.org/incus/docs/main/reference/network_bridge/

プロキシー NAT モードでのダイナミックアドレス ¶

インスタンスの IP アドレスを検出する機能をもとにして、NAT モードで実行されるプロキシーデバイスは、動的アドレスとワイルドカードリッスンアドレスを使用できるようになりました。これにより、プロキシーデバイスの設定でインスタンスのアドレスをハードコードする必要がなくなりました。

stgraber@orilla:~$ incus launch docker:nginx my-nginx
Launching my-nginx
stgraber@orilla:~$ incus config device add my-nginx http-80 proxy listen=tcp:0.0.0.0:1234 connect=tcp:0.0.0.0:80 nat=true
Device http-80 added to my-nginx
stgraber@orilla:~$ incus list my-nginx
+----------+---------+--------------------+------------------------------------------------+-----------------+-----------+
|   NAME   |  STATE  |        IPV4        |                      IPV6                      |      TYPE       | SNAPSHOTS |
+----------+---------+--------------------+------------------------------------------------+-----------------+-----------+
| my-nginx | RUNNING | 10.80.1.162 (eth0) | fd42:8b9f:58e4:b6ac:1266:6aff:fe55:dbdb (eth0) | CONTAINER (APP) | 0         |
+----------+---------+--------------------+------------------------------------------------+-----------------+-----------+
stgraber@orilla:~$ ip -4 a show dev enp0s5
2: enp0s5: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    altname enx001c42e6a809
    inet 10.211.55.3/24 brd 10.211.55.255 scope global dynamic noprefixroute enp0s5
       valid_lft 1031sec preferred_lft 1031sec
stgraber@orilla:~$ nc -v 10.211.55.3 1234
Connection to 10.211.55.3 1234 port [tcp/*] succeeded!

VM に対する NBD アクセスの拡張 ¶

新たに公開された GET /1.0/instances/{name}/nbd エンドポイントにより、仮想マシンに接続されているすべてのディスクが NBD 経由で公開され、一度に 1 つのボリュームではなく、すべてのディスクに同時にアクセスできるようになりました。

これは、複数クライアントによる同時接続をサポートする新しい incus debug nbd コマンドにも統合されています。

stgraber@orilla:~$ incus start v1
stgraber@orilla:~$ incus debug nbd v1
NBD listening on 127.0.0.1:36539

これらの API は、主に VM 上のすべてのドライブに容易に、一貫してアクセスする必要があるバックアップシステム用に作られています。NBD エクスポートでは、ダーティービットマップも公開されるため、容易にインクリメンタルバックアップが作成できます。

インスタンスが停止している場合、個々のボリュームの NBD API を通して復元を実行できます。

ストレージボリュームの Btrfs 圧縮 ¶

btrfs ドライバーに、新たにストレージボリュームに関する btrfs.compression 設定キーが追加されました。これは Btrfs の compression プロパティーにマップされ、同じ値を取ります（例えば zstd、lzo、zlib、none）。

これは、既存の Btrfs ファイルシステムの圧縮設定を上書きするのに使えます。そして、Incus ボリュームで異なる圧縮アルゴリズムを使ったり、圧縮をオフにしたりできるようになります。圧縮をオフにすることにより、Incus は仮想マシンのディスクに対して nocow フラグを設定できるようになります。

ドキュメント : https://linuxcontainers.org/incus/docs/main/reference/storage_btrfs/

InfiniBand の SR-IOV GUID 設定 ¶

sriov nictype を使用する infiniband デバイスで新しい設定キー node_guid と port_guid がサポートされるようになりました。

これらのキーが設定されると、割り当てられた仮想機能の対応する GUID は、インスタンスの起動時に指定された値に変更され、インスタンスの停止時に元の値に戻ります。

ドキュメント : https://linuxcontainers.org/incus/docs/main/reference/devices_infiniband/

Websocket オリジン制限 ¶

新たなサーバー設定キー core.https_allowed_websocket_origin を追加しました。

許可するオリジンのカンマ区切りのリスト、もしくはワイルドカードとして * が指定できます。これにより、Websocket 接続で受け付けるオリジンを制御できます。

これは、クロスオリジンアクセスだけでなく、一部のプロキシー環境においても役に立ちます。

ドキュメント : https://linuxcontainers.org/incus/docs/main/server_config/#server-options-core

遅延機能のロギング ¶

今回のリリースで、リポジトリー全体にわたる大きな変更として、遅延したクリーンアップ呼び出しのロギングが追加されました。

その結果、ユーザーは、多数の新しい WARNING レベルのログエントリーに気づくかもしれません（例えば、ファイル・ソケット・レスポンスボディーのクローズに関するログ）。これは想定内の動作であり、不具合を示すものではありません。これらのエラーは以前から起こっていたものの、単に無視されていただけです。

もしそのような不審だったり、繰り返しのメッセージに気づいた場合、調査や出力停止ができる可能性があるため、お知らせください。

すべての変更点 ¶

このリリースのすべての変更のリストは次の通りです（翻訳なし）:

ドキュメント¶

Incus のドキュメントはこちらです:
https://incus-ja.readthedocs.io/ja/latest/ （日本語訳）
https://linuxcontainers.org/incus/docs/main/ （原文）

パッケージ ¶

Incus の開発元は、通常リリースの tarball のみをリリースするため、公式の Incus パッケージはありません。Incus を実行するために使えるオプションを以下にいくつか示します。

Linux 上に Incus サーバーをインストールする ¶

Incus はほとんどの一般的な Linux ディストリビューションで利用できます。インストール手順の詳細は、Incus のドキュメントを参照してください。

https://incus-ja.readthedocs.io/ja/latest/installing/ （日本語訳）
https://linuxcontainers.org/incus/docs/main/installing/ （原文）

Incus クライアントの Homebrew パッケージ ¶

Homebrew 経由で、Linux と macOS 向けにクライアントツールが利用できます。

https://formulae.brew.sh/formula/incus

Incus クライアントの Chocolatey パッケージ ¶

Chocolatey 経由で、Windows ユーザー向けにクライアントツールが利用できます。

https://community.chocolatey.org/packages/incus/7.2.0

Incus クライアントの Winget パッケージ ¶

Winget 経由で、Windows ユーザー向けにクライアントツールが利用できます。

https://winstall.app/apps/LinuxContainers.Incus

サポート ¶

月次のフィーチャーリリースは、次のリリースがリリースされるまでのみサポートされます。より長いサポート期間と少ない変更頻度が必要な場合、代わりに Incus 7.0 LTS の使用を検討すべきです。

コミュニティサポートはこちらから : https://discuss.linuxcontainers.org
商用サポートはこちらから : https://zabbly.com/incus
バグはこちらから報告できます : https://github.com/lxc/incus/issues

以前のニュース¶

• 2026/05/30
• 2026/05/05
• 2026/03/27
• 2026/03/16
• 2026/02/27
• 2026/01/23
• 2025/12/19
• 2025/11/29
• 2025/10/31
• 2025/09/26
• 2025/08/29
• 2025/08/15
• 2025/08/01
• 2025/06/28
• 2025/05/30
• 2025/04/25
• 2025/04/04
• 2025/03/28
• 2025/02/28
• 2025/01/24
• 2024/12/19
• 2024/12/13
• 2024/11/15
• 2024/10/03
• 2024/09/06
• 2024/08/09
• 2024/07/12
• 2024/06/28
• 2024/05/31
• 2024/05/07
• 2024/04/04
• 2024/03/26
• 2024/02/23
• 2024/01/29
• 2024/01/26
• 2023/12/21
• 2023/11/27
• 2023/10/28
• 2023/10/07