릴리스

조치 필요 (1)

• breakingRook 매니저 모듈 비활성화

  rook mgr module을 비활성화합니다.

조치 필요 (2)

• breakingService Account 토큰 마운트 기본 동작 변경

  Pod에 Service Account 토큰을 자동으로 마운트하지 않고, 볼륨을 사용해 마운트하도록 기본 동작이 바뀝니다.

• breakingServerSideApplyPhase1 기능 게이트 영구 활성화

  ServerSideApplyPhase1 기능 게이트가 GA 단계로 전환되고 영구적으로 활성화됩니다. 비활성화할 수 없습니다.

조치 필요 (2)

• breaking게시 전 TypeScript 설정 스키마 검증

  패키지 준비 단계에서 게시 전에 TypeScript 설정 스키마를 엄격하게 검증합니다.

• breaking연결 형식의 루트 형식 기준 변경

  연결 형식이 루트 연결 형식의 기준으로 이식 가능한 설정 스키마를 사용합니다.

조치 필요 (1)

• breakingPromQL 기간 표현식 기본 활성화

  기간 표현식이 기본으로 활성화됩니다. 이에 따라 promql-duration-expr 기능 플래그는 더 이상 동작을 변경하지 않습니다.

조치 필요 (3)

• securitydependencies 취약점 일괄 수정

  dependencies에서 발견된 취약점을 일괄 수정했습니다.

• breakingRego 평가를 RegoV1로 전환

  Rego 평가를 RegoV1로 전환하고 v0 호환 심을 제거했습니다.

• breaking접속 범위를 loopback 전용으로 제한

  접속 범위를 loopback으로만 제한했습니다( #2639).

조치 필요 (1)

• breakingimplements와 maps 기본 활성화

  implements와 maps가 기본적으로 활성화됩니다.

조치 필요 (2)

• securitymediumstarlette 업데이트 및 CVE-2026-48710 수정

  starlette를 >=1.0.1로 올려 CVE-2026-48710을 수정했습니다.

• breaking표준 기본 설정 기준 조정

  표준 기본 설정을 llm-d 최적화 기준에 맞췄습니다.

조치 필요 (3)

• securitymediumredoc/dompurify 의존성 업데이트

  redoc/dompurify 의존성을 v3.4.0으로 올려 CVE-2026-41240을 수정했습니다.

• securityformidable 의존성 업데이트

  formidable 의존성을 v2.1.3으로 업데이트했습니다.

• breaking앱 상단 표시줄의 자동 동기화 전환 제거

  앱 상단 표시줄에서 자동 동기화 전환 기능을 제거했습니다.

조치 필요 (1)

• breakingControllerPriorityQueue 기본 활성화

  ControllerPriorityQueue 기능이 베타로 승격되었으며 기본값으로 활성화됩니다.

조치 필요 (3)

• securityhighGHSA-fxhp-mv3v-67qp 대응 의존성 업데이트

  oras.land/oras-go/v2가 2.6.1에서 2.6.2로 업데이트되었으며, GHSA-fxhp-mv3v-67qp에 대응합니다.

• breakingHTTP 서버 ReadHeaderTimeout 기본값 조정

  모든 HTTP 서버의 ReadHeaderTimeout 기본값이 32s로 설정됩니다.

• breaking이름이 겹치는 부분 집합 및 -object 규칙 거부

  ast가 부분 집합 규칙과 -object 규칙이 같은 이름을 공유하는 경우를 거부합니다.

조치 필요 (1)

• breaking디스크 동시성 세마포어 기본 용량 증가

  디스크 동시성 세마포어가 CPU에 따라 계산하던 이전 값에서 4096개 슬롯으로 늘어났습니다. 관련 변경 사항은 #8336에 해당합니다.

조치 필요 (11)

• securitygoogle.golang.org/grpc 업데이트

  google.golang.org/grpc 모듈이 보안 관련 수정과 함께 v1.79.3으로 업데이트되었습니다.

• securitygoogle.golang.org/grpc 업데이트

  google.golang.org/grpc 모듈이 보안 관련 수정과 함께 v1.82.1으로 업데이트되었습니다.

• securityhelm.sh/helm/v4 업데이트

  helm.sh/helm/v4 모듈이 보안 관련 수정과 함께 v4.1.4로 업데이트되었습니다.

• securitygithub.com/cloudflare/circl 업데이트

  github.com/cloudflare/circl 모듈이 보안 관련 수정과 함께 v1.6.3으로 업데이트되었습니다.

• securitygithub.com/go-jose/go-jose/v4 업데이트

  github.com/go-jose/go-jose/v4 모듈이 보안 관련 수정과 함께 v4.1.4로 업데이트되었습니다.

• securitygithub.com/moby/spdystream 업데이트

  github.com/moby/spdystream 모듈이 보안 관련 수정과 함께 v0.5.1으로 업데이트되었습니다.

• breaking기본 CNI 설정 버전 변경

  기본 CNI 설정 버전이 0.3.1에서 1.0.0으로 올라갔습니다.

• breakingIPAM 메트릭 제거

  IPAM 메트릭 cilium_operator_ipam_ips와 cilium_operator_ipam_available_interfaces가 제거되었습니다.

• breaking기본 CNI 설정 버전 변경

  기본 CNI 설정 버전이 0.3.1에서 1.0.0으로 변경되었습니다.

• breaking네이티브 히스토그램 기본 활성화

  모든 히스토그램이 기본적으로 네이티브 히스토그램을 내보냅니다.

• breaking에이전트 부트스트랩 메트릭 제거

  에이전트 부트스트랩 메트릭이 제거되었습니다.

조치 필요 (1)

• breakingNATS 기본값을 consumer groups로 변경

  NATS가 기본적으로 consumer groups를 사용하도록 기본 동작이 바뀌었습니다.

조치 필요 (3)

• securityhighgoogle.golang.org/grpc 1.82.1 업데이트

  google.golang.org/grpc를 1.82.1로 업데이트해 GHSA-hrxh-6v49-42gf에 대응했습니다.

• breakingsnapshotLimitByte 기본값 조정

  snapshotLimitByte에 적정한 기본값을 설정했습니다.

• breaking클라이언트 http.Server의 헤더 읽기 제한 설정

  클라이언트 http.Server에 ReadHeaderTimeout을 설정했습니다.

조치 필요 (5)

• securitycriticalgolang.org/x/net 업데이트

  golang.org/x/net을 0.54.0에서 0.55.0으로 업데이트해 CVE-2026-25681, CVE-2026-27136, CVE-2026-39821, CVE-2026-42502, CVE-2026-25680, CVE-2026-42506에 대응했습니다.

• securityhigh키 범위를 벗어난 watch 응답 권한 수정

  한 키에 읽기 권한만 부여받은 사용자가 해당 키부터 시작하는 모든 키의 watch 응답을 받을 수 있던 권한 문제를 수정했습니다. 관련 권고는 GHSA-xg4h-6gfc-h4m8입니다.

• securityhightlsListener의 TLS 핸드셰이크 시간 제한 설정

  tlsListener에 tlsHandshakeTimeout을 설정했습니다. 관련 권고는 GHSA-6vch-q96h-7gc3입니다.

• securityhighgoogle.golang.org/grpc 업데이트

  google.golang.org/grpc를 1.82.1로 업데이트해 GHSA-hrxh-6v49-42gf에 대응했습니다.

• breakingsnapshotLimitByte 기본값 설정

  snapshotLimitByte에 합리적인 기본값을 설정했습니다.

조치 필요 (1)

• breaking정의되지 않은 서비스 포트 요청 차단

  destination이 정의되지 않은 서비스 포트로 향하는 요청을 허용하지 않습니다.

조치 필요 (3)

• securitymediumgithub.com/go-chi/chi/v5 보안 업데이트

  github.com/go-chi/chi/v5를 v5.2.4로 업데이트해 CVE-2025-69725를 해결했습니다.

• securitymediumMongoDB 드라이버와 구성 요소 의존성 업데이트

  go.mongodb.org/mongo-driver를 v1.17.7로 업데이트하고, github.com/dapr/components-contrib 의존성을 v1.18.3으로 올렸습니다. 이 업데이트는 CVE-2026-2303과 관련된 의존성 변경입니다.

• breaking차단 중인 하위 워크플로를 알리는 생성 충돌 오류

  차단 중인 하위 워크플로의 이름을 충돌 오류에 포함해 워크플로 인스턴스 ID 생성 요청을 거부합니다.

조치 필요 (1)

• breaking템플릿 생성 이전 및 기존 매핑 렌더링 폐기

  템플릿 생성을 esclient로 이전하고 기존 매핑 렌더링을 폐기했습니다.

조치 필요 (1)

• breakingOpenAPI 변경 감지 도구 교체

  OpenAPI breaking change detection에 사용하던 @useoptic/optic과 @useoptic/openapi-utilities가 oasdiff로 교체됐습니다.

조치 필요 (1)

• breakingGo TLS 기본값 적용

  core의 TLS 기본값이 Go 기본값으로 바뀌었습니다.

조치 필요 (1)

• breakingCreateContainer 요청 조건 강화

  CreateContainer는 샌드박스가 실행 중이 아닐 때 거부됩니다.

조치 필요 (2)

• securityDocker 의존성의 Moby 의존성 이전

  CVE를 해결하기 위해 github.com/docker/docker 의존성을 github.com/moby/moby에 해당하는 의존성으로 이전했습니다. (#7078)

• breaking에이전트 상태 확인 호출의 RPC 메트릭 제거

  에이전트 상태 확인 루프의 루프백 호출에서는 더 이상 RPC 메트릭을 내보내지 않습니다. 메트릭 잡음도 줄어듭니다. (#6929)

조치 필요 (2)

• securitycriticalUI sanitize-html 업데이트로 사이트 간 스크립팅 취약점 수정

  UI에서 sanitize-html을 업데이트해 사이트 간 스크립팅 취약점 CVE-2026-44990을 수정했습니다.

• breaking서드파티 라이선스 제공 방식 변경

  서드파티 npm 의존성 라이선스를 Prometheus 바이너리에 포함하고 /assets/third-party-licenses.txt에서 제공하도록 바꿨습니다. 릴리스 tarball과 컨테이너 이미지에 함께 배포하던 npm_licenses.tar.bz2 아카이브는 더 이상 사용하지 않습니다.

조치 필요 (1)

• breaking/healthy 엔드포인트로 헬스 체크 통합

  헬스 체크를 /healthy 엔드포인트로 통합했습니다.

조치 필요 (12)

• securityhighCVE-2026-47220 충돌 버그 수정

  CVE-2026-47220와 관련된 충돌 버그를 수정했습니다.

• securityhighCVE-2026-48044 메모리 고갈 취약점 수정

  CVE-2026-48044와 관련된 메모리 고갈 취약점을 수정했습니다.

• securityhighJSON 중첩 깊이 제한

  envoy.reloadable_features.limit_json_parser_nesting_depth와 관련해 JSON 중첩 깊이를 1000으로 제한했습니다.

• securitymediumCVE-2026-47692 버그 수정

  CVE-2026-47692와 관련된 버그를 수정했습니다.

• securitymediumCVE-2026-47205 메모리 재사용 충돌 수정

  CVE-2026-47205와 관련된 메모리 해제 후 재사용으로 인한 충돌을 수정했습니다.

• securitymedium필터 해제 후 비동기 토큰 콜백 호출 수정

  필터가 해제된 뒤 비동기 토큰 변경 콜백이 호출되던 버그를 수정했습니다.

• securitymedium주체 대체 이름 검증 수정

  Envoy가 주체 대체 이름(SAN)을 검증하지 못하던 문제를 수정했습니다.

• securitymediumCVE-2026-47204 충돌 및 메모리 재사용 수정

  CVE-2026-47204와 관련된 충돌 및 메모리 해제 후 재사용 문제를 수정했습니다.

• securitymedium쿼리 이름 길이 검사 수정

  쿼리 이름 길이에 대한 정상성 검사를 수정했습니다.

• securitymedium패딩 오라클 문제 해결

  패딩 오라클 문제를 해결했습니다.

• securityGHSA-p7c7-7c47-pwch 서비스 거부 취약점 수정

  GHSA-p7c7-7c47-pwch와 관련된 서비스 거부 취약점을 수정했습니다.

• breaking메시지 로그 수준 변경

  메시지를 warn 수준으로 기록합니다.

조치 필요 (2)

• securitycritical보안 취약점 수정

  CVE-2026-50195, CVE-2026-53488, CVE-2026-53492, CVE-2026-53489, CVE-2026-47262 관련 보안 취약점을 수정했습니다.

• breakingopenUserFile의 사용자 데이터베이스 파일 읽기 제한

  openUserFile에서 사용자 데이터베이스 파일 읽기를 제한합니다. 이전에 허용되던 일부 입력이 거부될 수 있습니다.

조치 필요 (2)

• securityinfinispan 버전 업그레이드

  알려진 취약점에 대응하기 위해 infinispan이 ^0.12.0에서 ^0.13.0으로 업그레이드됐습니다.

• breakingjson-schema 런타임 의존성 제거

  사용되지 않는 json-schema 런타임 의존성이 제거됐습니다.

조치 필요 (1)

• breaking파드 레이블 제거

  파드 레이블을 제거했습니다.

조치 필요 (2)

• breakingmodel-registry UI 기본 활성화

  model-registry의 UI가 기본으로 활성화됩니다.

• breakingdex 복제본 2개 실행

  dex가 sticky service 없이 복제본 2개로 실행됩니다.

조치 필요 (8)

• securitymediumgolang.org/x/image 보안 업데이트

  GO-2026-4962에 대응하기 위해 golang.org/x/image를 v0.39.0으로 올렸습니다.

• securitydurabletask-go 및 pgx 보안 업데이트

  durabletask-go를 v0.12.1로 올리고 pgx를 업데이트해 취약점을 해결했습니다.

• breakingWorkflowsRemoteActivityReminder 기본 활성화

  WorkflowsRemoteActivityReminder가 기본으로 활성화됩니다. 앱 간 워크플로 활동 결과는 기본적으로 스케줄러 알림으로 전달됩니다.

• breakingHotReload 기본 활성화

  HotReload가 기본으로 활성화되며, 컴포넌트, 구독, MCPServers, Configurations, HTTPEndpoints, Resiliencies, WorkflowAccessPolicies가 기본적으로 자동 다시 로드됩니다.

• breaking사이드카 프로브 기본 동작 변경

  사이드카 프로브 기본값이 바뀌었습니다. 라이브니스 프로브는 kubelet이 다시 시작하기 전까지 약 230초 동안 지연을 견디며, 레디니스 프로브는 더 빠르게 반응합니다.

• breakingHotReload 기본 활성화

  HotReload가 기본적으로 켜집니다.

• breaking라이브니스 및 레디니스 프로브 기본값 조정

  라이브니스 프로브의 허용 범위를 넓히고 레디니스 프로브의 기본값을 더 엄격하게 조정했습니다.

• breaking사이드카 프로브 기본값 변경

  사이드카 프로브 기본값이 바뀌었습니다. 라이브니스는 kubelet이 다시 시작하기 전까지 약 230초를 허용하고, 레디니스는 컨트롤 플레인에서 약 3초, daprd에서 약 5초로 더 엄격해졌습니다.

조치 필요 (1)

• breakingtrace-summaries 엔드포인트의 searchdepth 기본값 변경

  trace-summaries 엔드포인트의 searchdepth 기본값이 변경됐습니다.

조치 필요 (4)

• securitymediumPrometheus 저장형 XSS 수정

  github.com/prometheus/prometheus를 업데이트해 저장형 XSS 보안 권고 GHSA-vffh-x6r8-xx99를 해결했습니다.

• securitymedium입장 웹훅 요청 본문 크기 제한

  입장 웹훅 요청 본문의 크기를 제한해, 지나치게 큰 요청으로 웹훅 서버의 메모리가 고갈되는 서비스 거부 위험을 수정했습니다. 관련 보안 권고는 CVE-2026-44247 및 GHSA-8wxp-xxp2-rcgx입니다.

• breakingDRA 스케줄링 통합 기본 활성화

  predicate.DynamicResourceAllocationEnable에 따른 DRA 스케줄링 통합이 기본으로 활성화됩니다.

• breakingKubernetes 1.34 이상에서 DRA 기본 활성화

  Kubernetes 1.34 이상 동작에 맞춰 DRA 스케줄링 통합이 기본으로 활성화됩니다. 비활성화하려면 predicate.DynamicResourceAllocationEnable: false를 설정합니다.

조치 필요 (1)

• breaking동시 fgprof 프로파일 실행 제한

  동시에 실행되는 fgprof 프로파일을 API에서 거부합니다.

조치 필요 (1)

• breakinggRPC server support 제거

  gRPC server support가 제거되었습니다.

조치 필요 (2)

• securityModule Federation packages 보안 업데이트

  알려진 취약점에 대응하기 위해 Module Federation packages가 v2.3.3으로 업그레이드되었습니다.

• breaking@remixicon/react 버전 제한

  라이선스 변경에 따라 @remixicon/react 의존성이 4.9.0 미만 버전으로 제한됩니다.

조치 필요 (1)

• breakingIstio 이미지 기본 레지스트리 변경

  Istio 이미지의 기본 레지스트리가 registry.istio.io로 변경되었습니다.

조치 필요 (2)

• securityhigh공개 CVE 11건 수정

  다음 공개 취약점이 수정되었습니다: CVE-2026-42501, CVE-2026-42499, CVE-2026-39836, CVE-2026-39826, CVE-2026-39825, CVE-2026-39823, CVE-2026-39820, CVE-2026-39819, CVE-2026-39817, CVE-2026-33814, CVE-2026-33811.

• breaking네이티브 사이드카 모드 기본값 변경

  config.linkerd.io/proxy-enable-native-sidecar 설정이 네이티브 사이드카 모드를 기본값으로 사용하도록 바뀌었습니다.

조치 필요 (2)

• securitygithub.com/moby/spdystream 모듈 업데이트

  보안 관련 갱신으로 github.com/moby/spdystream 모듈을 v0.5.1로 업데이트했습니다.

• breaking서비스 라벨에 따른 EndpointSlice 감시 필터링

  loadbalancer/reflectors에서 EndpointSlice 감시 대상이 서비스 라벨에 따라 필터링됩니다.

조치 필요 (2)

• breakingmin step api 제거

  metricstore에서 min step api가 제거되었습니다.

• breaking비표준 health mcp tool 제거

  jaegermcp에서 비표준 health mcp tool이 제거되었습니다.

조치 필요 (1)

• breakingmanager TLS 기본값 변경

  manager TLS 기본값이 설정되지 않은 상태로 돌아갑니다.