CNCF graduated·incubating 프로젝트 릴리스 노트의 AI 분석.
운영자 대상 기능과 동작 변경을 포함한 릴리스로, 의존성만 갱신한 릴리스는 아닙니다. 기존 사용 방식에 영향을 줄 수 있는 제약 변경과 폐기, 새 기능 및 기타 동작 변화가 함께 포함되어 호환성 검토가 필요합니다.
조치 필요 (1)
breakingOCI hook 조정 담당자 취합 및 플러그인 이름의 쉼표 제한
OCI hook 조정 담당자를 모으고, 플러그인 이름에는 쉼표를 사용할 수 없게 됩니다.
미리 준비 (1)
deprecatedshim. 폐기
shim.를 사용하는 경우에 적용됩니다.
OPA v1.은 기능과 동작 전반이 조정된 릴리스입니다. 종료 과정의 회귀 문제가 보고되어 v1.을 건너뛰고 v1.로 바로 업그레이드하는 경로가 안내됩니다.
조치 필요 (1)
breakingHTML 인덱스 페이지의 쿼리 폼 제거
HTML 인덱스 페이지에 있던 쿼리 폼을 제거했습니다.
새로운 라우팅, 스트리밍, 추적, 백업 및 복원, 관측, 태블릿 관리 기능과 함께 정확성, 성능, 의존성 관련 유지 보수가 포함된 릴리스입니다. 기본값과 백업 동작의 변경, 제거되거나 사용 중단 예정인 플래그와 엔드포인트, 지표를 확인해야 하며, 외부 압축 해제 동작을 포함한 보안 수정도 반영됩니다.
조치 필요 (3)
security민감 정보의 일반 텍스트 로그 기록 수정
민감한 정보가 일반 텍스트로 로그에 기록될 가능성을 수정했습니다. 코드 검사 경고 2992에 대응하는 변경입니다.
securityGetBackups 경로 순회 수정
파일 백업 저장소의 GetBackups RPC에서 경로 순회가 발생할 수 있는 문제를 수정했습니다.
breaking한정되지 않은 * 사용 제한
vtgate가 SELECT 목록에서 쉼표 뒤에 오는 한정되지 않은 *를 거부합니다.
영향 확인 (12)
securityMANIFEST 기반 압축 해제 명령 로드 기본값 변경
적용 대상이 릴리스 노트에 명시되지 않았습니다.
security백업 MANIFEST를 통한 명령 실행 위험 완화
백업 저장소를 사용하는 경우 적용됩니다.
securitybackupengine 복원 경로 순회 차단
backupengine이 실행되는 경우 적용됩니다.
미리 준비 (4)
deprecatedglog 사용 중단 예정v25에서 제거 예정
glog를 사용하는 경우 적용됩니다.
deprecatedOpenTracing 백엔드 사용 중단 예정v25에서 제거 예정
opentracing-jaeger 또는 opentracing-datadog를 사용하는 경우 적용됩니다.
deprecatedVTOrc Snapshot Topology 사용 중단 예정v25에서 제거 예정
--snapshot-topology-interval을 설정하는 경우 적용됩니다.
운영자 대상 수정과 새 기능, API 및 설정 변경, 의존성 업그레이드가 함께 담겼습니다. 명시적으로 식별된 보안 취약점 수정도 포함됩니다.
조치 필요 (3)
securityhighPyJWT의 CVE-2026-32597 수정
PyJWT에서 CVE-2026-32597과 관련된 crit 헤더 검증 문제를 수정했습니다.
securityhighpyasn1의 CVE-2026-30922 수정
pyasn1의 CVE-2026-30922 취약점으로 발생하는 서비스 거부 문제를 수정했습니다.
breakingMaxReplicas 필수 지정
MaxReplicas를 필수 int32 값으로 변경했습니다.
영향 확인 (2)
breakingcert-hash 재시작 어노테이션 제거
cert-hash를 설정한 경우에 적용됩니다.
breakingPYTHONPATH 환경 변수 차단
PYTHONPATH를 설정한 경우에 적용됩니다.
오래된 CRD API가 제거되고 기본값과 설정 위치가 바뀌며, Kafka와 HTTP Bridge 기능 및 오퍼레이터 설정이 확장됩니다. 모니터링이나 독립 실행형 Topic Operator를 사용하는 환경은 설정과 권한 업데이트가 필요할 수 있습니다.
조치 필요 (2)
breakingUseConnectBuildWithBuildah 기본 활성화
UseConnectBuildWithBuildah 기능 게이트가 베타 단계로 전환되며 기본값으로 활성화됩니다.
breakingHTTP Bridge의 /metrics 엔드포인트 위치 변경
/metrics 엔드포인트가 일반 HTTP 인터페이스에서 제거됩니다. 기본 포트가 8080인 일반 인터페이스 대신 HTTP 관리 인터페이스의 8081 포트에서 사용할 수 있습니다.
영향 확인 (4)
breakingCRD API 지원 범위가 v1로 변경됨
v1beta2, v1beta1, v1alpha1 CRD API를 사용하는 경우 적용됩니다.
breakingOpen Policy Agent (OPA) authorizer plugin 제공 방식 변경
Open Policy Agent (OPA) authorizer plugin을 사용하는 경우 적용됩니다.
breakingTLS 관련 환경 변수 사용 중단
STRIMZI_TLS_ENABLED, STRIMZI_TLS_AUTH_ENABLED, STRIMZI_PUBLIC_CA, STRIMZI_TRUSTSTORE_LOCATION, STRIMZI_TRUSTSTORE_PASSWORD, STRIMZI_KEYSTORE_LOCATION, STRIMZI_KEYSTORE_PASSWORD 중 하나라도 설정한 경우 적용됩니다.
Linux와 번들 구성 요소에 대한 보안 수정이 반영되었고, 의존성 업데이트와 함께 minimal-initrd 회귀 문제가 수정되었습니다. overlaybd sysext, SSH 설정, initrd의 모듈 구성처럼 운영자가 확인할 수 있는 동작과 배치도 바뀌었습니다.
조치 필요 (18)
securitycriticalLinux CVE-2026-31411 보안 수정
Linux 보안 업데이트에 CVE-2026-31411이 포함되었습니다.
securityhighcurl 보안 업데이트
curl 보안 수정이 반영되었습니다.
securityhighexpat 보안 업데이트
expat 보안 수정이 반영되었습니다.
securityhighgnupg 보안 업데이트
gnupg 보안 수정이 반영되었습니다.
securityhighgo 보안 업데이트
go 보안 수정이 반영되었습니다.
securityhighintel-microcode 보안 업데이트
intel-microcode 보안 수정이 반영되었습니다.
securityhighlibxslt 보안 업데이트
libxslt 보안 수정이 반영되었습니다.
securityhighnvidia-drivers 보안 업데이트
nvidia-drivers 보안 수정이 반영되었습니다.
securityhighopenssl 보안 업데이트
openssl 보안 수정이 반영되었습니다.
securityhighpam 보안 업데이트
pam 보안 수정이 반영되었습니다.
securitymediumbinutils 보안 업데이트
binutils 보안 수정이 반영되었습니다.
securitymediumcoreutils 보안 업데이트
coreutils 보안 수정이 반영되었습니다.
securitymediumlibpcre2 보안 업데이트
libpcre2 보안 수정이 반영되었습니다.
securitymediumnet-tools 보안 업데이트
net-tools 보안 수정이 반영되었습니다.
securitylowopenssh 보안 업데이트
openssh 보안 수정이 반영되었습니다.
securitylibxml2 갱신
libxml2가 libxml2-20250908로 갱신되었습니다.
breakingOpenSSH 설정 기본값 사용
sshd 설정에서 Ciphers, MACs, KexAlgorithms 항목을 제거해 OpenSSH 상류 기본값을 사용합니다.
breaking첫 번째 initrd의 커널 모듈 축소
첫 번째 initrd에서 사용할 수 있는 커널 모듈 집합이 줄었습니다.
영향 확인 (1)
breakingoverlaybd sysext 서비스 자동 시작
overlaybd sysext를 사용하는 경우에 적용됩니다.
저장소와 쿼리 경로를 비롯한 여러 영역에 새 기능과 설정이 추가되고, 일부 실험 기능은 정식 단계로 올라갑니다. 기본값과 설정 이름, 의존성이 바뀌었으며 정확성, 메모리 사용, 패닉, 데이터 손상을 다루는 수정도 포함됩니다.
조치 필요 (1)
breaking버킷 인덱스 기본 활성화
블록 저장소의 버킷 인덱스가 기본적으로 활성화됩니다. 운영 환경에서는 -blocks-storage.로 버킷 인덱스를 끄는 설정이 권장되지 않습니다.
영향 확인 (1)
breaking원격 쓰기 및 OTLP 라벨 플래그 통합
원격 쓰기 v2 및 OTLP 요청에 -distributor. 또는 -distributor.를 설정한 경우에 해당합니다.
미리 준비 (3)
breakingRuler API 플래그 이름 변경
-experimental.를 설정한 경우에 해당합니다.
breakingAlertmanager API 플래그 이름 변경
-experimental.를 설정한 경우에 해당합니다.
breaking사용자 인덱스 갱신 설정 이름 변경
-*. 또는 clean_up_interval을 설정한 경우에 해당합니다.
API와 설정, 명령줄 기본값, 스케줄링 및 런타임 동작이 폭넓게 바뀐 운영자 대상 릴리스입니다. 제거와 사용 중단 예고, 기능 단계 승격이 포함되어 업그레이드 전 검토와 테스트가 필요합니다. 보안 권고나 명시적으로 설명된 취약점은 확인되지 않았습니다.
조치 필요 (11)
breakingStrictIPCIDRValidation 기본 활성화
kube-apiserver의 StrictIPCIDRValidation 기능 게이트가 기본적으로 활성화됩니다.
breaking디버그 프로필 기본값 변경
디버그 프로필 기본값이 legacy에서 general로 바뀌었습니다.
breakingWatchCacheInitializationPostStartHook 기본 활성화
WatchCacheInitializationPostStartHook 기능 게이트가 기본적으로 활성화됩니다.
breakingKubeletPSI 정식 단계 승격
KubeletPSI 기능이 정식 단계로 승격되고 기본적으로 활성화됩니다.
breakingRelaxedServiceNameValidation 베타 승격
RelaxedServiceNameValidation 기능 게이트가 베타 단계로 승격되고 기본적으로 활성화됩니다.
breakingRestartAllContainersOnContainerExits 베타 승격
RestartAllContainersOnContainerExits 기능 게이트가 베타 단계로 승격되고 기본적으로 활성화됩니다.
breaking중단된 작업 관련 기능 게이트 기본 활성화
MutablePodResourcesForSuspendedJobs와 MutableSchedulingDirectivesForSuspendedJobs 기능 게이트가 기본적으로 활성화됩니다.
breakinginformer 저장소 갱신 순서 변경
기본 informer가 목록 또는 재목록의 모든 객체로 저장소 상태를 먼저 갱신한 뒤, 삭제·추가·변경된 개별 항목에 대해 OnDelete, OnAdd, OnUpdate 핸들러를 호출합니다.
breakinginformer watch 이벤트 처리 방식 변경
이미 대기 중인 이벤트를 처리하는 동안 informer가 새 watch 이벤트를 큐에 추가할 수 있습니다.
breaking클라이언트 인증 기관 순환 기본 활성화
해당 기능이 기본적으로 활성화되며 ClientsAllowCARotation 기능 게이트로 끌 수 있습니다.
breaking클라이언트 TLS 캐시 정리 기본 활성화
해당 기능이 기본적으로 활성화되며 ClientsAllowTLSCacheGC 기능 게이트로 제어할 수 있습니다.
영향 확인 (25)
breaking볼륨 작업 오류 메트릭 이름 변경
volume_operation_total_errors를 사용하는 경우에 적용됩니다.
breakinggit-repo 볼륨 플러그인 비활성화
git-repo 볼륨 플러그인을 사용하는 경우에 적용됩니다.
breaking자격 증명 플러그인 허용 목록 필드 이름 변경
AllowlistEntry.을 설정하는 경우에 적용됩니다.
미리 준비 (6)
deprecatedService . 사용 중단 예고
Service .를 설정하는 경우에 적용됩니다.
deprecatedmetav1. 직접 접근 사용 중단
metav1.를 사용하는 경우에 적용됩니다.
deprecated노드 점수 필드 사용 중단
MinNodeScore 또는 MaxNodeScore를 사용하는 경우에 적용됩니다.
이번 릴리스는 주로 정확성 문제를 바로잡고, 운영자 확인이 필요한 RBAC 권한 변경과 백엔드 볼륨 이름 동작 변경을 포함합니다. 기존 권한 구성을 사용하는 환경과 백엔드 볼륨 이름에 의존하는 환경이 영향을 받을 수 있습니다.
조치 필요 (1)
breakingkubevirt.의 vnc/screenshot 권한 제거
kubevirt. 역할에서 vnc/screenshot 권한을 제거했습니다.
Kubernetes 네이티브 서비스 라우팅과 관련 CRD 필드가 추가되고, Helm 동작이 바뀌며 NATS 초기화 경쟁 조건이 수정됩니다. 런타임 게이트웨이 경로는 폐기되므로, 대부분의 변경은 업그레이드로 적용되지만 gateway 설정과 제거된 차트 동작에 대한 대응이 필요합니다.
조치 필요 (1)
breaking기본 태그 제거
기본 태그가 제거되고 chart.의 appVersion을 사용합니다.
영향 확인 (1)
breakingruntime-gateway를 Kubernetes Service 라우팅으로 대체
runtime-gateway를 사용하는 경우에 적용됩니다.
미리 준비 (1)
deprecatedHelm gateway 설정 사용 중단
gateway를 구성한 경우에 적용됩니다.
의존성 업데이트와 결함 수정이 포함되며, 호환성, 연동, 설정 범위도 바뀌었습니다. 기존 설정 소스가 cloud-integration.으로 대체되어 운영자 조치가 필요하고, 보안 권고나 명시된 보안 취약점은 없습니다.
조치 필요 (1)
breakingprovider config 대신 cloud-integration. 사용
기존 provider config를 사용하지 않고 cloud-integration.에서 설정을 읽도록 바뀌었습니다. 기존 설정 소스가 대체되어 운영자 조치가 필요합니다.
server-side apply를 사용하는 Helm v4 지원과 여러 정확성 수정이 포함된 릴리스입니다. HTTP로 가져온 gzip 압축 해제 WASM 바이너리에 크기 제한을 적용하도록 바뀌어, 이전에 허용되던 입력에 대한 운영 검토가 필요할 수 있습니다. 명시된 보안 권고나 취약점은 없습니다.
조치 필요 (1)
breakingHTTP로 가져온 gzip 압축 해제 WASM 바이너리 크기 제한 적용
HTTP로 가져온 gzip 압축 해제 WASM 바이너리에 크기 제한이 적용되지 않던 문제를 수정했습니다.
운영자용 기능과 유지보수 변경이 함께 포함된 릴리스로, 기능과 설정 및 배포 선택지가 늘고 성능 개선과 여러 오류 수정이 반영됐습니다. 일부 기본값이 바뀌고 Token Exchange v1이 사용 중단 대상으로 지정됐습니다. 권한 우회, 아이디와 URL 처리, SCIM 접근 제어, 안티 피싱 검사, UMA 토큰 검증과 관련된 보안 및 정확성 문제도 수정됐습니다.
조치 필요 (6)
security비밀번호와 OTP 무차별 대입 방어 분리
비밀번호와 OTP의 무차별 대입 방어가 분리되어 OTP 우회 공격을 기본적으로 막습니다.
securityResourceAdminManager의 URL 생성 검증 보완
ResourceAdminManager에서 매트릭스 매개변수 주입으로 검증되지 않은 URL을 생성할 수 있던 문제가 수정됩니다.
security클라이언트 조회 안티 피싱 검사 보완
클라이언트 조회 시 안티 피싱 검사가 빠져 있던 문제가 수정됩니다.
breaking무중단 패치 릴리스 기본 활성화
무중단 패치 릴리스가 지원 대상으로 승격되고 기본값으로 활성화됩니다.
breaking--truststore-kubernetes-enabled 기본 활성화
--truststore-kubernetes-enabled 동작이 기본값으로 활성화됩니다.
breakingnot-before 검증 기본값 변경
not-before 검증의 기본값이 0초에서 10초로 변경됩니다.
영향 확인 (7)
securityWorkflows의 관리자 권한 경계 우회 수정
Workflows를 사용한다면 적용됩니다.
security조직 미확인 로그인에서 IdP 별칭 노출 수정
Organizations를 사용한다면 적용됩니다.
securitySCIM PUT 리소스 아이디 덮어쓰기 수정
SCIM을 사용한다면 적용됩니다.
미리 준비 (1)
deprecatedToken Exchange v1 사용 중단 예고
Token Exchange v1을 사용한다면 적용됩니다.
