CNCF graduated·incubating 프로젝트 릴리스 노트의 AI 분석.
이번 릴리스에는 API 사용 중단 예고와 대상 검색 동작 변경, 기본 설정 변경이 포함되며 새 기능, 성능 개선, 정확성 수정도 함께 포함됩니다. 보안 권고나 명시적으로 설명된 보안 취약점은 없습니다.
조치 필요 (1)
breakingPromQL 기간 표현식 기본 활성화
기간 표현식이 기본으로 활성화됩니다. 이에 따라 promql-duration-expr 기능 플래그는 더 이상 동작을 변경하지 않습니다.
영향 확인 (1)
breakinghcloud 대상의 __meta_hetzner_datacenter 레이블 제거
hcloud 대상을 사용하는 경우에 적용됩니다.
미리 준비 (1)
deprecated쿼리 API의 stats 값 일부 사용 중단 예고제거 시점 미정
stats를 true나 all이 아닌 값으로 설정한 경우에 적용됩니다.
이번 릴리스는 공개된 의존성 보안 문제를 다루고 PromQL의 SIGBUS 충돌을 수정합니다. 의존성 버전 갱신에 따라 관련 전이 의존성도 함께 올라갑니다.
조치 필요 (2)
securityhighgolang. 버전 업데이트
golang.가 v0.에서 v0.으로 올라갔습니다. CVE-2026-56852와 관련된 의존성 버전 변경입니다.
securityhighgoogle. 버전 업데이트
google.가 v1.에서 v1.으로 올라갔습니다. GHSA-hrxh-6v49-42gf와 관련된 의존성 버전 변경입니다.
백엔드 호환성을 깨는 제거를 비롯해 강제 마이그레이션과 제거, 새 구성 및 명령줄 기능, 명시적 사용 중단, 정확성 수정이 포함됩니다. 보안 권고나 보안 관련 결함은 공개되지 않았습니다.
조치 필요 (1)
breaking템플릿 생성 이전 및 기존 매핑 렌더링 폐기
템플릿 생성을 esclient로 이전하고 기존 매핑 렌더링을 폐기했습니다.
영향 확인 (3)
breakingelasticsearch v6 지원 제거
이 변경은 elasticsearch v6를 사용하는 경우에 적용됩니다.
breakingjaegermcp 확장을 jaegerquery 확장으로 통합
이 변경은 jaegermcp 확장을 사용하는 경우에 적용됩니다.
breaking만료된 안정 기능 게이트 제거
적용 대상이 릴리스 노트에 명시되지 않았습니다.
미리 준비 (1)
deprecatedlegacy flag 사용 중단 지정
이 변경은 legacy flag를 사용하는 경우에 적용됩니다.
이번 릴리스에는 UI 의존성의 보안 수정이 반영되었습니다. sanitize-html 버전이 v2.17.5로 변경되었습니다.
조치 필요 (1)
securitymediumsanitize-html 보안 수정 버전 반영
UI에서 사용하는 sanitize-html을 v2.17.5로 올려 CVE-2026-53606을 수정했습니다.
보안 취약점 수정과 추가 보안 관련 보정이 포함됐으며, 호환성에 영향을 주는 옵션 제거와 출력 형식 변경도 반영됐습니다. 여러 결함 수정과 새로운 설정 기능이 함께 추가되어 운영 중인 구성과 연동 방식에 확인이 필요합니다.
조치 필요 (1)
securitycriticalCVE-2026-33186 권한 우회 취약점 수정
thanos-community/grpc-go 포크를 갱신해 잘못된 :path 헤더를 이용한 권한 우회 취약점 CVE-2026-33186을 수정했습니다.
영향 확인 (4)
security분할 테넌트 라벨의 테넌트 ID 검증
Receive를 실행하는 경우 적용됩니다.
breakingtime_taken 필드를 time_taken_ms로 변경
Query-Frontend를 실행하는 경우 적용됩니다.
breaking--shipper. 옵션 제거
--shipper.를 설정한 경우 적용됩니다.
보안 의존성 업데이트와 리디렉션 시 인증 정보 처리 변경이 포함되며, PromQL 함수 이름과 라이선스 아티팩트 제공 방식도 바뀝니다. 새 API와 설정 제어, 성능 개선, 버그 수정도 함께 포함된 릴리스입니다.
조치 필요 (2)
securitycriticalUI sanitize-html 업데이트로 사이트 간 스크립팅 취약점 수정
UI에서 sanitize-html을 업데이트해 사이트 간 스크립팅 취약점 CVE-2026-44990을 수정했습니다.
breaking서드파티 라이선스 제공 방식 변경
서드파티 npm 의존성 라이선스를 Prometheus 바이너리에 포함하고 /assets/third-party-licenses.에서 제공하도록 바꿨습니다. 릴리스 tarball과 컨테이너 이미지에 함께 배포하던 npm_licenses. 아카이브는 더 이상 사용하지 않습니다.
영향 확인 (2)
securitymedium호스트 간 리디렉션에서 인증 정보 전달 제한
스크레이핑, 원격 읽기나 쓰기, 알림, 서비스 디스커버리를 사용하는 경우에 적용됩니다.
breakingPromQL duration 표현식 함수 이름 변경
experimental-duration-expr을 활성화하고 min()과 max()를 사용하는 경우에 적용됩니다.
이번 릴리스는 보안 문제를 수정하고 관련 의존성을 갱신한 릴리스입니다. 컨테이너 이미지를 GitHub Container Registry(ghcr.)에도 게시하도록 배포 범위를 넓혔습니다.
조치 필요 (2)
securitycriticalgolang. 및 OpenTelemetry 의존성 갱신
golang.을 v0.55.0으로, OpenTelemetry를 v1.43.0으로 올려 보고된 보안 권고에 대응했습니다. 관련 식별자는 GO-2026-5026, GO-2026-4918, GO-2026-4985입니다.
securityUI 의존성을 수정된 버전으로 갱신
UI 의존성인 react-router-dom, vitest, vite, postcss를 보안 권고가 해결된 버전으로 갱신했습니다.
영향 확인 (1)
security/-/config의 비밀 정보 평문 노출 수정
/-/config 엔드포인트에 접근하는 경우 적용됩니다.
컨테이너 이미지의 공개되지 않은 CVE 수정과 NetworkChaos 복구 오류 수정이 포함된 릴리스입니다. 그 밖의 항목에는 운영자 대상 변경이 없습니다.
조치 필요 (2)
securityGo 도구 모음과 containerd 버전 업데이트
Go 도구 모음을 1.25.11로, containerd를 1.7.32로 업그레이드했습니다.
securitymemStress 빌드 및 chaos-daemon 이미지 변경
memStress 도우미를 최신 Go 도구 모음 v0.3.1로 다시 빌드하고, chaos-daemon 이미지를 헤드리스 JRE 기반으로 변경했습니다.
의존성 업데이트와 정확성 수정이 포함되었고, 클라우드 및 쿼리 기능과 구성 및 출력 변경도 추가되었습니다. GHSA-xmrv-pmrh-hhx2와 CVE-2026-34986에 대응하는 보안 관련 의존성 업데이트가 포함되어 있습니다.
조치 필요 (1)
securityhigh취약한 Go 의존성 업데이트
취약점이 있는 Go 의존성을 GHSA-xmrv-pmrh-hhx2 및 CVE-2026-34986과 관련된 버전으로 업데이트했습니다.
영향 확인 (1)
breakingMCP 서버 기본 비활성화
MCP_SERVER_ENABLED를 설정하지 않은 경우 적용됩니다.
운영자용 API, 서비스 검색 연동, 기능 플래그, 설정 옵션, 웹 인터페이스가 추가됐습니다. 공개된 보안 수정 두 건과 정확성 수정, 성능 개선이 포함됐으며 검증과 제약 조건도 강화됐습니다.
조치 필요 (1)
breaking동시 fgprof 프로파일 실행 제한
동시에 실행되는 fgprof 프로파일을 API에서 거부합니다.
영향 확인 (3)
securityRemote Write 요청의 압축 해제 길이 제한
Remote Write를 사용하는 경우 적용됩니다.
securitySTACKIT SD 설정 엔드포인트의 평문 비밀 정보 노출 수정
STACKIT SD를 사용하는 경우 적용됩니다.
breakinggzip 인코딩 OTLP 쓰기 요청의 본문 크기 제한
OTLP를 사용하는 경우 적용됩니다.
의존성 업데이트와 운영자가 확인하는 설정 및 동작 변경이 포함되어 있으며, 새 연동과 기능 추가, 정확성 수정도 함께 반영되었습니다. 보안과 관련해 명시된 의존성 업그레이드가 한 건 포함되어 있고, 일부 항목은 앞선 기록과 중복됩니다.
조치 필요 (1)
securityhigh취약한 Go 의존성 업그레이드
취약점이 있는 Go 의존성을 업그레이드했으며, 관련 식별자는 GHSA-xmrv-pmrh-hhx2와 CVE-2026-34986입니다.
영향 확인 (2)
breakingprovider config 대신 cloud-integration.에서 설정을 읽도록 변경
provider config를 설정한 경우 적용됩니다.
breakingMCP_SERVER_ENABLED 기본값을 false로 변경
MCP 서버를 사용하는 경우 적용됩니다.
저장소와 쿼리 경로를 비롯한 여러 영역에 새 기능과 설정이 추가되고, 일부 실험 기능은 정식 단계로 올라갑니다. 기본값과 설정 이름, 의존성이 바뀌었으며 정확성, 메모리 사용, 패닉, 데이터 손상을 다루는 수정도 포함됩니다.
조치 필요 (1)
breaking버킷 인덱스 기본 활성화
블록 저장소의 버킷 인덱스가 기본적으로 활성화됩니다. 운영 환경에서는 -blocks-storage.로 버킷 인덱스를 끄는 설정이 권장되지 않습니다.
영향 확인 (1)
breaking원격 쓰기 및 OTLP 라벨 플래그 통합
원격 쓰기 v2 및 OTLP 요청에 -distributor. 또는 -distributor.를 설정한 경우에 해당합니다.
미리 준비 (3)
breakingRuler API 플래그 이름 변경
-experimental.를 설정한 경우에 해당합니다.
breakingAlertmanager API 플래그 이름 변경
-experimental.를 설정한 경우에 해당합니다.
breaking사용자 인덱스 갱신 설정 이름 변경
-*. 또는 clean_up_interval을 설정한 경우에 해당합니다.
이번 릴리스에는 결함 수정이 포함되어 있으며, 설정 정보가 남아 유출되는 문제와 Python 취약점에 대응합니다. 프런트엔드 기반 이미지도 ubi9로 업데이트했습니다.
조치 필요 (2)
security동일 유형 probe 간 오래된 설정 유출 방지
같은 유형의 여러 probe에서 오래된 설정이 유출되던 문제를 수정했습니다.
securityPython 취약점 해결을 위한 기반 이미지 업데이트
프런트엔드의 기반 이미지를 ubi9로 업데이트해 Python 취약점을 해결했습니다.
의존성 업데이트와 결함 수정이 포함되며, 호환성, 연동, 설정 범위도 바뀌었습니다. 기존 설정 소스가 cloud-integration.으로 대체되어 운영자 조치가 필요하고, 보안 권고나 명시된 보안 취약점은 없습니다.
조치 필요 (1)
breakingprovider config 대신 cloud-integration. 사용
기존 provider config를 사용하지 않고 cloud-integration.에서 설정을 읽도록 바뀌었습니다. 기존 설정 소스가 대체되어 운영자 조치가 필요합니다.
설치 스크립트 install.의 사용 중단과 제거가 포함됩니다. Go 도구 체인과 JSON-RPC 의존성이 바뀌고 대시보드와 웹훅 문제가 수정되며, Go 및 UI 패키지에는 공개되지 않은 취약점 수정도 포함됩니다.
조치 필요 (2)
securityGo 패키지 취약점 수정
취약점 수정을 위해 Go 패키지를 업데이트합니다.
securityUI 패키지 취약점 수정
취약점 수정을 위해 UI 패키지를 업데이트합니다.
영향 확인 (1)
breakinginstall. 제거
install.를 사용하는 경우에 적용됩니다.
미리 준비 (1)
deprecatedinstall. 사용 중단 예고
install.를 사용하는 경우에 적용됩니다.
호환성이 깨지는 구성 및 API 변경과 Go 1. 도구 모음 요구 사항이 포함되어 있습니다. 새 기능과 버그 및 성능 수정도 함께 반영되었으며, 보안 권고나 보안 전용 수정은 식별되지 않았습니다.
조치 필요 (1)
breakingGo 1. 요구 사항 적용
코드베이스 전체에서 Go 버전을 일관되게 맞추고 Go 1.을 요구합니다.
영향 확인 (2)
breakingremote sampling endpoint의 레거시 응답 형식 제거
remote sampling endpoint를 사용하는 경우에 적용됩니다.
breakingtraces.을 traces.로 변경
traces.을 설정하는 경우에 적용됩니다.
Native Histograms 수집 방식이 바뀌고 TSDB 상태 조회에 통계 묶음 수 제한이 추가됩니다. API, 플래그, 메트릭과 PromQL, TSDB, UI 관련 개선도 포함되며, 보안 권고나 보안 전용 수정 사항은 확인되지 않습니다.
조치 필요 (1)
breakingTSDB 상태 통계 묶음 수 제한 추가
TSDB 상태 엔드포인트가 반환하는 통계 묶음 수에 최대 10,000개 제한이 추가됩니다.
영향 확인 (1)
breakingNative Histograms 수집 설정 변경
내보내기 도구에서 Native Histogram 샘플을 수집하도록 scrape_native_histograms를 설정한 경우에 적용됩니다.
