CNCF graduated·incubating 프로젝트 릴리스 노트의 AI 분석.
이번 릴리스에는 버그 수정과 호환성 및 동작 변경이 포함되어 있습니다. Go 의존성 업그레이드, 메트릭 추가와 삭제, 운영 개선도 함께 반영되었습니다. 공개된 보안 권고나 명시적인 보안 관련 수정은 없습니다.
조치 필요 (2)
breaking쉼표 뒤의 한정되지 않은 * 거부
vtgate가 쉼표 뒤에 한정되지 않은 *가 오는 SELECT 목록을 거부하도록 변경되었습니다.
breaking문법의 단독 * 사용 제한
sqlparser 문법에서 단독 * 사용을 제한하도록 변경되었습니다.
영향 확인 (1)
breakingEmergencyReparentShard의 복제 중지 오류 출처 확인
EmergencyReparentShard를 사용하는 경우에 이 변경이 적용됩니다.
기능 개선과 유지보수 변경이 함께 포함된 릴리스로, 운영 동작과 호환성에 영향을 주는 조정도 있습니다. 운영 환경에서는 클러스터 버전 표기 형식, 기본 동작, 일부 사용 옵션이 달라졌습니다. 의존성 보안 업데이트도 포함됐지만, 악용 가능한 취약점이나 보안 권고가 명시적으로 공개되지는 않았습니다.
조치 필요 (4)
securityk8s. 모듈 업데이트
보안 업데이트로 모듈 k8s.를 v1.로 업데이트했습니다.
securityhelm 버전 3. 업데이트
cve 대응으로 helm을 3.로 업데이트했습니다.
breakinggRPC 서비스 설정 DNS TXT 조회 기본값 변경
gRPC 서비스 설정의 DNS TXT 조회를 기본적으로 비활성화했습니다.
breakingApplicationSet 리소스 상태 수 기본값 변경
기본 appset resource status count 값을 5000으로 변경했습니다.
영향 확인 (2)
breakinghelm version 명령의 --client 옵션 제거
--client를 사용하는 경우에 적용됩니다.
breaking클러스터 버전 주석과 버전 형식 변경
Cluster Generators와 함께 Application Sets를 사용하고 클러스터 시크릿에 argocd.를 설정한 경우에 적용됩니다.
새 메트릭과 GOMAXPROCS 설정 필드가 추가되고 런타임 결함이 수정되었습니다. 노드 부트스트래핑 회귀를 일으킨 CRI-O CNI 모니터링 변경은 되돌렸으며, spdystream 업데이트로 CVE-2026-35469를 수정했습니다.
조치 필요 (2)
securityhighspdystream 의존성 업데이트
spdystream 의존성을 업데이트해 CVE-2026-35469를 수정했습니다.
breakingCRI-O CNI 모니터링 변경 되돌림
노드의 기본 런타임 설정을 표시하던 CRI-O CNI 모니터링 변경을 되돌렸습니다. 이 변경으로 노드 부트스트래핑 회귀가 발생했습니다.
운영자 대상 기능과 동작 변경을 포함한 릴리스로, 의존성만 갱신한 릴리스는 아닙니다. 기존 사용 방식에 영향을 줄 수 있는 제약 변경과 폐기, 새 기능 및 기타 동작 변화가 함께 포함되어 호환성 검토가 필요합니다.
조치 필요 (1)
breakingOCI hook 조정 담당자 취합 및 플러그인 이름의 쉼표 제한
OCI hook 조정 담당자를 모으고, 플러그인 이름에는 쉼표를 사용할 수 없게 됩니다.
미리 준비 (1)
deprecatedshim. 폐기
shim.를 사용하는 경우에 적용됩니다.
OPA v1.은 기능과 동작 전반이 조정된 릴리스입니다. 종료 과정의 회귀 문제가 보고되어 v1.을 건너뛰고 v1.로 바로 업그레이드하는 경로가 안내됩니다.
조치 필요 (1)
breakingHTML 인덱스 페이지의 쿼리 폼 제거
HTML 인덱스 페이지에 있던 쿼리 폼을 제거했습니다.
새로운 라우팅, 스트리밍, 추적, 백업 및 복원, 관측, 태블릿 관리 기능과 함께 정확성, 성능, 의존성 관련 유지 보수가 포함된 릴리스입니다. 기본값과 백업 동작의 변경, 제거되거나 사용 중단 예정인 플래그와 엔드포인트, 지표를 확인해야 하며, 외부 압축 해제 동작을 포함한 보안 수정도 반영됩니다.
조치 필요 (3)
security민감 정보의 일반 텍스트 로그 기록 수정
민감한 정보가 일반 텍스트로 로그에 기록될 가능성을 수정했습니다. 코드 검사 경고 2992에 대응하는 변경입니다.
securityGetBackups 경로 순회 수정
파일 백업 저장소의 GetBackups RPC에서 경로 순회가 발생할 수 있는 문제를 수정했습니다.
breaking한정되지 않은 * 사용 제한
vtgate가 SELECT 목록에서 쉼표 뒤에 오는 한정되지 않은 *를 거부합니다.
영향 확인 (12)
securityMANIFEST 기반 압축 해제 명령 로드 기본값 변경
적용 대상이 릴리스 노트에 명시되지 않았습니다.
security백업 MANIFEST를 통한 명령 실행 위험 완화
백업 저장소를 사용하는 경우 적용됩니다.
securitybackupengine 복원 경로 순회 차단
backupengine이 실행되는 경우 적용됩니다.
미리 준비 (4)
deprecatedglog 사용 중단 예정v25에서 제거 예정
glog를 사용하는 경우 적용됩니다.
deprecatedOpenTracing 백엔드 사용 중단 예정v25에서 제거 예정
opentracing-jaeger 또는 opentracing-datadog를 사용하는 경우 적용됩니다.
deprecatedVTOrc Snapshot Topology 사용 중단 예정v25에서 제거 예정
--snapshot-topology-interval을 설정하는 경우 적용됩니다.
운영자 대상 수정과 새 기능, API 및 설정 변경, 의존성 업그레이드가 함께 담겼습니다. 명시적으로 식별된 보안 취약점 수정도 포함됩니다.
조치 필요 (3)
securityhighPyJWT의 CVE-2026-32597 수정
PyJWT에서 CVE-2026-32597과 관련된 crit 헤더 검증 문제를 수정했습니다.
securityhighpyasn1의 CVE-2026-30922 수정
pyasn1의 CVE-2026-30922 취약점으로 발생하는 서비스 거부 문제를 수정했습니다.
breakingMaxReplicas 필수 지정
MaxReplicas를 필수 int32 값으로 변경했습니다.
영향 확인 (2)
breakingcert-hash 재시작 어노테이션 제거
cert-hash를 설정한 경우에 적용됩니다.
breakingPYTHONPATH 환경 변수 차단
PYTHONPATH를 설정한 경우에 적용됩니다.
오래된 CRD API가 제거되고 기본값과 설정 위치가 바뀌며, Kafka와 HTTP Bridge 기능 및 오퍼레이터 설정이 확장됩니다. 모니터링이나 독립 실행형 Topic Operator를 사용하는 환경은 설정과 권한 업데이트가 필요할 수 있습니다.
조치 필요 (2)
breakingUseConnectBuildWithBuildah 기본 활성화
UseConnectBuildWithBuildah 기능 게이트가 베타 단계로 전환되며 기본값으로 활성화됩니다.
breakingHTTP Bridge의 /metrics 엔드포인트 위치 변경
/metrics 엔드포인트가 일반 HTTP 인터페이스에서 제거됩니다. 기본 포트가 8080인 일반 인터페이스 대신 HTTP 관리 인터페이스의 8081 포트에서 사용할 수 있습니다.
영향 확인 (4)
breakingCRD API 지원 범위가 v1로 변경됨
v1beta2, v1beta1, v1alpha1 CRD API를 사용하는 경우 적용됩니다.
breakingOpen Policy Agent (OPA) authorizer plugin 제공 방식 변경
Open Policy Agent (OPA) authorizer plugin을 사용하는 경우 적용됩니다.
breakingTLS 관련 환경 변수 사용 중단
STRIMZI_TLS_ENABLED, STRIMZI_TLS_AUTH_ENABLED, STRIMZI_PUBLIC_CA, STRIMZI_TRUSTSTORE_LOCATION, STRIMZI_TRUSTSTORE_PASSWORD, STRIMZI_KEYSTORE_LOCATION, STRIMZI_KEYSTORE_PASSWORD 중 하나라도 설정한 경우 적용됩니다.
Linux와 번들 구성 요소에 대한 보안 수정이 반영되었고, 의존성 업데이트와 함께 minimal-initrd 회귀 문제가 수정되었습니다. overlaybd sysext, SSH 설정, initrd의 모듈 구성처럼 운영자가 확인할 수 있는 동작과 배치도 바뀌었습니다.
조치 필요 (18)
securitycriticalLinux CVE-2026-31411 보안 수정
Linux 보안 업데이트에 CVE-2026-31411이 포함되었습니다.
securityhighcurl 보안 업데이트
curl 보안 수정이 반영되었습니다.
securityhighexpat 보안 업데이트
expat 보안 수정이 반영되었습니다.
securityhighgnupg 보안 업데이트
gnupg 보안 수정이 반영되었습니다.
securityhighgo 보안 업데이트
go 보안 수정이 반영되었습니다.
securityhighintel-microcode 보안 업데이트
intel-microcode 보안 수정이 반영되었습니다.
securityhighlibxslt 보안 업데이트
libxslt 보안 수정이 반영되었습니다.
securityhighnvidia-drivers 보안 업데이트
nvidia-drivers 보안 수정이 반영되었습니다.
securityhighopenssl 보안 업데이트
openssl 보안 수정이 반영되었습니다.
securityhighpam 보안 업데이트
pam 보안 수정이 반영되었습니다.
securitymediumbinutils 보안 업데이트
binutils 보안 수정이 반영되었습니다.
securitymediumcoreutils 보안 업데이트
coreutils 보안 수정이 반영되었습니다.
securitymediumlibpcre2 보안 업데이트
libpcre2 보안 수정이 반영되었습니다.
securitymediumnet-tools 보안 업데이트
net-tools 보안 수정이 반영되었습니다.
securitylowopenssh 보안 업데이트
openssh 보안 수정이 반영되었습니다.
securitylibxml2 갱신
libxml2가 libxml2-20250908로 갱신되었습니다.
breakingOpenSSH 설정 기본값 사용
sshd 설정에서 Ciphers, MACs, KexAlgorithms 항목을 제거해 OpenSSH 상류 기본값을 사용합니다.
breaking첫 번째 initrd의 커널 모듈 축소
첫 번째 initrd에서 사용할 수 있는 커널 모듈 집합이 줄었습니다.
영향 확인 (1)
breakingoverlaybd sysext 서비스 자동 시작
overlaybd sysext를 사용하는 경우에 적용됩니다.
저장소와 쿼리 경로를 비롯한 여러 영역에 새 기능과 설정이 추가되고, 일부 실험 기능은 정식 단계로 올라갑니다. 기본값과 설정 이름, 의존성이 바뀌었으며 정확성, 메모리 사용, 패닉, 데이터 손상을 다루는 수정도 포함됩니다.
조치 필요 (1)
breaking버킷 인덱스 기본 활성화
블록 저장소의 버킷 인덱스가 기본적으로 활성화됩니다. 운영 환경에서는 -blocks-storage.로 버킷 인덱스를 끄는 설정이 권장되지 않습니다.
영향 확인 (1)
breaking원격 쓰기 및 OTLP 라벨 플래그 통합
원격 쓰기 v2 및 OTLP 요청에 -distributor. 또는 -distributor.를 설정한 경우에 해당합니다.
미리 준비 (3)
breakingRuler API 플래그 이름 변경
-experimental.를 설정한 경우에 해당합니다.
breakingAlertmanager API 플래그 이름 변경
-experimental.를 설정한 경우에 해당합니다.
breaking사용자 인덱스 갱신 설정 이름 변경
-*. 또는 clean_up_interval을 설정한 경우에 해당합니다.
API와 설정, 명령줄 기본값, 스케줄링 및 런타임 동작이 폭넓게 바뀐 운영자 대상 릴리스입니다. 제거와 사용 중단 예고, 기능 단계 승격이 포함되어 업그레이드 전 검토와 테스트가 필요합니다. 보안 권고나 명시적으로 설명된 취약점은 확인되지 않았습니다.
조치 필요 (11)
breakingStrictIPCIDRValidation 기본 활성화
kube-apiserver의 StrictIPCIDRValidation 기능 게이트가 기본적으로 활성화됩니다.
breaking디버그 프로필 기본값 변경
디버그 프로필 기본값이 legacy에서 general로 바뀌었습니다.
breakingWatchCacheInitializationPostStartHook 기본 활성화
WatchCacheInitializationPostStartHook 기능 게이트가 기본적으로 활성화됩니다.
breakingKubeletPSI 정식 단계 승격
KubeletPSI 기능이 정식 단계로 승격되고 기본적으로 활성화됩니다.
breakingRelaxedServiceNameValidation 베타 승격
RelaxedServiceNameValidation 기능 게이트가 베타 단계로 승격되고 기본적으로 활성화됩니다.
breakingRestartAllContainersOnContainerExits 베타 승격
RestartAllContainersOnContainerExits 기능 게이트가 베타 단계로 승격되고 기본적으로 활성화됩니다.
breaking중단된 작업 관련 기능 게이트 기본 활성화
MutablePodResourcesForSuspendedJobs와 MutableSchedulingDirectivesForSuspendedJobs 기능 게이트가 기본적으로 활성화됩니다.
breakinginformer 저장소 갱신 순서 변경
기본 informer가 목록 또는 재목록의 모든 객체로 저장소 상태를 먼저 갱신한 뒤, 삭제·추가·변경된 개별 항목에 대해 OnDelete, OnAdd, OnUpdate 핸들러를 호출합니다.
breakinginformer watch 이벤트 처리 방식 변경
이미 대기 중인 이벤트를 처리하는 동안 informer가 새 watch 이벤트를 큐에 추가할 수 있습니다.
breaking클라이언트 인증 기관 순환 기본 활성화
해당 기능이 기본적으로 활성화되며 ClientsAllowCARotation 기능 게이트로 끌 수 있습니다.
breaking클라이언트 TLS 캐시 정리 기본 활성화
해당 기능이 기본적으로 활성화되며 ClientsAllowTLSCacheGC 기능 게이트로 제어할 수 있습니다.
영향 확인 (25)
breaking볼륨 작업 오류 메트릭 이름 변경
volume_operation_total_errors를 사용하는 경우에 적용됩니다.
breakinggit-repo 볼륨 플러그인 비활성화
git-repo 볼륨 플러그인을 사용하는 경우에 적용됩니다.
breaking자격 증명 플러그인 허용 목록 필드 이름 변경
AllowlistEntry.을 설정하는 경우에 적용됩니다.
미리 준비 (6)
deprecatedService . 사용 중단 예고
Service .를 설정하는 경우에 적용됩니다.
deprecatedmetav1. 직접 접근 사용 중단
metav1.를 사용하는 경우에 적용됩니다.
deprecated노드 점수 필드 사용 중단
MinNodeScore 또는 MaxNodeScore를 사용하는 경우에 적용됩니다.
이번 릴리스는 주로 정확성 문제를 바로잡고, 운영자 확인이 필요한 RBAC 권한 변경과 백엔드 볼륨 이름 동작 변경을 포함합니다. 기존 권한 구성을 사용하는 환경과 백엔드 볼륨 이름에 의존하는 환경이 영향을 받을 수 있습니다.
조치 필요 (1)
breakingkubevirt.의 vnc/screenshot 권한 제거
kubevirt. 역할에서 vnc/screenshot 권한을 제거했습니다.
Kubernetes 네이티브 서비스 라우팅과 관련 CRD 필드가 추가되고, Helm 동작이 바뀌며 NATS 초기화 경쟁 조건이 수정됩니다. 런타임 게이트웨이 경로는 폐기되므로, 대부분의 변경은 업그레이드로 적용되지만 gateway 설정과 제거된 차트 동작에 대한 대응이 필요합니다.
조치 필요 (1)
breaking기본 태그 제거
기본 태그가 제거되고 chart.의 appVersion을 사용합니다.
영향 확인 (1)
breakingruntime-gateway를 Kubernetes Service 라우팅으로 대체
runtime-gateway를 사용하는 경우에 적용됩니다.
미리 준비 (1)
deprecatedHelm gateway 설정 사용 중단
gateway를 구성한 경우에 적용됩니다.
의존성 업데이트와 결함 수정이 포함되며, 호환성, 연동, 설정 범위도 바뀌었습니다. 기존 설정 소스가 cloud-integration.으로 대체되어 운영자 조치가 필요하고, 보안 권고나 명시된 보안 취약점은 없습니다.
조치 필요 (1)
breakingprovider config 대신 cloud-integration. 사용
기존 provider config를 사용하지 않고 cloud-integration.에서 설정을 읽도록 바뀌었습니다. 기존 설정 소스가 대체되어 운영자 조치가 필요합니다.
server-side apply를 사용하는 Helm v4 지원과 여러 정확성 수정이 포함된 릴리스입니다. HTTP로 가져온 gzip 압축 해제 WASM 바이너리에 크기 제한을 적용하도록 바뀌어, 이전에 허용되던 입력에 대한 운영 검토가 필요할 수 있습니다. 명시된 보안 권고나 취약점은 없습니다.
조치 필요 (1)
breakingHTTP로 가져온 gzip 압축 해제 WASM 바이너리 크기 제한 적용
HTTP로 가져온 gzip 압축 해제 WASM 바이너리에 크기 제한이 적용되지 않던 문제를 수정했습니다.
운영자용 기능과 유지보수 변경이 함께 포함된 릴리스로, 기능과 설정 및 배포 선택지가 늘고 성능 개선과 여러 오류 수정이 반영됐습니다. 일부 기본값이 바뀌고 Token Exchange v1이 사용 중단 대상으로 지정됐습니다. 권한 우회, 아이디와 URL 처리, SCIM 접근 제어, 안티 피싱 검사, UMA 토큰 검증과 관련된 보안 및 정확성 문제도 수정됐습니다.
조치 필요 (6)
security비밀번호와 OTP 무차별 대입 방어 분리
비밀번호와 OTP의 무차별 대입 방어가 분리되어 OTP 우회 공격을 기본적으로 막습니다.
securityResourceAdminManager의 URL 생성 검증 보완
ResourceAdminManager에서 매트릭스 매개변수 주입으로 검증되지 않은 URL을 생성할 수 있던 문제가 수정됩니다.
security클라이언트 조회 안티 피싱 검사 보완
클라이언트 조회 시 안티 피싱 검사가 빠져 있던 문제가 수정됩니다.
breaking무중단 패치 릴리스 기본 활성화
무중단 패치 릴리스가 지원 대상으로 승격되고 기본값으로 활성화됩니다.
breaking--truststore-kubernetes-enabled 기본 활성화
--truststore-kubernetes-enabled 동작이 기본값으로 활성화됩니다.
breakingnot-before 검증 기본값 변경
not-before 검증의 기본값이 0초에서 10초로 변경됩니다.
영향 확인 (7)
securityWorkflows의 관리자 권한 경계 우회 수정
Workflows를 사용한다면 적용됩니다.
security조직 미확인 로그인에서 IdP 별칭 노출 수정
Organizations를 사용한다면 적용됩니다.
securitySCIM PUT 리소스 아이디 덮어쓰기 수정
SCIM을 사용한다면 적용됩니다.
미리 준비 (1)
deprecatedToken Exchange v1 사용 중단 예고
Token Exchange v1을 사용한다면 적용됩니다.
보안 수정과 운영자 조치가 필요한 적용 규칙 변경이 포함되어 있습니다. 의존성 매니페스트 항목과 일반적인 정확성 수정 및 개선도 함께 반영되었습니다.
조치 필요 (1)
breakingJWT 크기 1MB 제한
JWT 크기 제한을 1MB로 설정했습니다.
영향 확인 (13)
securityhighMQTT 관련 CVE 수정
MQTT를 사용하는 환경에 적용됩니다.
securityhighleafnodes 관련 CVE 수정
leafnodes를 사용하는 환경에 적용됩니다.
securityhigh명령줄 인증 정보 관련 CVE 수정
명령줄에서 인증 정보를 제공하는 환경에 적용됩니다.
공개된 CVE를 포함한 여러 보안 수정과 정확성 수정이 포함되어 있습니다. 검증 및 권한 제약이 강화되었고 의존성과 도구 모음도 업데이트되었습니다.
조치 필요 (1)
breakingJWT 크기 1MB 제한
JWT 크기 제한이 이제 1MB로 설정됩니다.
영향 확인 (11)
securityhighMQTT 관련 보안 취약점 수정
MQTT를 사용하는 경우 적용됩니다.
securityhighleafnodes 보안 취약점 수정
leafnodes를 사용하는 경우 적용됩니다.
securityhigh명령줄 자격 증명 처리 보안 취약점 수정
명령줄에서 자격 증명을 설정하는 경우 적용됩니다.
이번 릴리스는 운영자용 기능과 런타임 및 명령줄 동작을 다듬고, 의존성과 CRD 위치를 조정합니다. 의존성 잠금 파일에는 RUSTSEC-2026-0007 대응 내용이 반영됐습니다.
조치 필요 (2)
securitymediumRUSTSEC-2026-0007 대응을 위한 잠금 파일 업데이트
RUSTSEC-2026-0007에 대응하도록 잠금 파일을 업데이트했습니다.
breakingCRD 위치 변경
CRD가 templates/crds에서 /crds로 이동했습니다.
호환 대상과 PSS 구성, 설치 동작, 번들 구성요소 버전이 바뀝니다. Kubernetes 1. 사용자는 호환성 변경의 영향을 받으며, 나머지 업그레이드와 수정, 새 기능은 업그레이드 외 별도 설정 변경이 필요하지 않습니다.
조치 필요 (1)
breakingPod 보안 적용 기본값 변경
Pod 보안 적용 기본값이 baseline으로 변경됩니다.
영향 확인 (1)
breakingKubernetes 지원 버전 변경
Kubernetes 1.를 사용하는 경우에 적용됩니다.
레지스트리, 캐시, 서명, 프로파일링, 설정 및 호환성 기능이 추가되고, 여러 의존성과 기반 구성 요소가 업데이트됐습니다. GCR replication이 제거되고 프록시 캐시 동작이 바뀌었으며, 여러 결함도 수정됐습니다. 보안 권고 식별자는 제공되지 않았습니다.
조치 필요 (2)
security프로젝트 생성 전 발급된 bearer tokens 거부
프로젝트 생성 전에 발급된 bearer tokens를 거부하도록 보안 결함을 수정했습니다.
breakingwebhook event check의 9443 포트 제거
webhook event check에서 Harbor IP의 9443 포트를 제거했습니다.
영향 확인 (2)
breakingpull-through cache를 proxy cache로 변경
Harbor에서 pull-through cache를 사용하는 경우에 적용됩니다.
breakingGCR replication 제거
Harbor에서 GCR replication을 사용하는 경우에 적용됩니다.
구성 범위와 LLMInferenceService 기능이 확장된 운영자 릴리스로, 차트 및 의존성 업데이트와 동작 변경, 제거, 결함 수정이 함께 포함됩니다. 설명된 보안 수정 사항도 운영 환경에서 검토하고 적용할 내용입니다.
조치 필요 (13)
securitycriticalh11 잘못된 본문 처리 수정
형식이 잘못된 본문을 허용하던 h11 문제인 CVE-2025-43859를 수정했습니다.
securityhighstarlette 버전 고정
starlette 버전을 0.로 고정해 CVE-2025-62727을 수정했습니다.
securityhighlightgbm 버전 업데이트
lightgbm 버전을 4.으로 업데이트해 CVE-2024-43598을 수정했습니다.
securityhigh압축 해제 링크 수 제한 문제 수정
압축 해제 과정에서 링크 수가 제한 없이 늘어나는 CVE-2025-66418 문제를 수정했습니다.
securityhighexpr-lang/expr 업데이트
expr-lang/expr를 v1.로 업데이트해 CVE-2025-68156을 수정했습니다.
securityhighcryptography subgroup attack 수정
cryptography의 subgroup attack과 관련된 CVE-2026-26007을 수정했습니다.
securityhighpython-multipart 임의 파일 쓰기 수정
python-multipart의 임의 파일 쓰기 문제인 CVE-2026-24486을 수정했습니다.
securitymedium여러 CVE 수정
CVE-2025-22872, CVE-2025-47914, CVE-2025-58181을 수정했습니다.
securityhttps. 경로 탐색 방지
https.에서 경로 탐색이 발생하지 않도록 수정했습니다.
security여러 CVE 관련 문제 수정
여러 CVE 관련 문제를 수정했습니다.
securityAIOHTTP 자동 압축 해제 문제 수정
AIOHTTP의 HTTP 파서에서 auto_decompress 기능을 악용한 zip bomb 문제를 수정했습니다.
securityextractTarFiles 경로 탐색 수정
extractTarFiles에서 발생하는 경로 탐색 취약점을 수정했습니다.
breakingminio를 seaweedfs로 교체
minio를 seaweedfs로 교체했습니다.
영향 확인 (6)
breakinginferenceservice CRD cert-manager 주석 제거
inferenceservice CRD를 사용하는 경우에 해당합니다.
breakingPython 3.9 지원 제거
Python 3.을 실행하는 경우에 해당합니다.
breaking--disable-log-requests 플래그 제거
--disable-log-requests를 설정하는 경우에 해당합니다.
gRPC 메시지 크기 설정, TLS 인증서 교체 처리, 실험 기능 기본값 조정이 포함됩니다. 튜플 검증과 정확성 문제를 수정했으며, 공개된 권고 식별자와 관련된 Go 도구 체인 보안 업데이트도 반영했습니다.
조치 필요 (2)
securityhighgo 도구 체인 버전 업데이트
표준 라이브러리 취약점 GO-2026-4603 및 GO-2026-4601에 대응하도록 go 도구 체인 버전을 1.25.8로 업데이트했습니다.
breaking튜플 문자열 검증 조건 강화
튜플 문자열에 유니코드 제어 문자나 널 바이트가 하나라도 있으면 튜플 검증이 실패합니다.
영향 확인 (1)
breakingpipeline_list_objects 실험 기능 기본 활성화
pipeline_list_objects를 설정했거나 listObjects-pipeline-enabled를 설정했거나 사용자 지정 feature flag 클라이언트를 사용하는 경우에 적용됩니다.
Helm, API, solver, feature gate 영역의 기능을 확장하고 기본 동작과 허용되는 동작을 조정했습니다. 여러 오류를 수정했으며 cert-manager 컨트롤러와 Go에 관한 보안 수정도 포함합니다.
조치 필요 (2)
securityhighGo v1. 업데이트
Go를 v1.로 업데이트해 CVE-2025-61727과 CVE-2025-61729를 수정했습니다.
breakingIssuer 참조 kind와 group 기본값 복원
issuer 참조의 kind와 group에 적용되는 기본값을 0. 이전 동작으로 되돌렸습니다.
영향 확인 (4)
securityDNS 응답 캐시로 인한 cert-manager 컨트롤러 패닉 수정
적용 대상이 릴리스 노트에 명시되지 않았습니다.
breakingOtherNames 기능 베타 승격 및 기본 활성화
OtherNames 기능을 사용하는 경우 적용됩니다.
breaking기본 컨테이너 UID와 GID 변경
기본 컨테이너 사용자(UID) 또는 기본 컨테이너 그룹(GID)을 설정하지 않은 경우 적용됩니다.
구성 및 스케줄러 기능이 추가되고, 구성 제어 항목의 이름과 제공 여부가 바뀌었습니다. 우선순위 자료형과 의존성도 업데이트되었으며, 보안 권고나 명시적으로 설명된 취약점은 언급되지 않았습니다.
조치 필요 (1)
breakingpriorities 자료형 변경
priorities의 자료형을 string에서 int32로 변경했습니다.
영향 확인 (1)
breakingEnable 플래그 제거
Enable을 설정한 경우 적용됩니다.
호환성이 깨지는 구성 및 API 변경과 Go 1. 도구 모음 요구 사항이 포함되어 있습니다. 새 기능과 버그 및 성능 수정도 함께 반영되었으며, 보안 권고나 보안 전용 수정은 식별되지 않았습니다.
조치 필요 (1)
breakingGo 1. 요구 사항 적용
코드베이스 전체에서 Go 버전을 일관되게 맞추고 Go 1.을 요구합니다.
영향 확인 (2)
breakingremote sampling endpoint의 레거시 응답 형식 제거
remote sampling endpoint를 사용하는 경우에 적용됩니다.
breakingtraces.을 traces.로 변경
traces.을 설정하는 경우에 적용됩니다.
공개된 보안 취약점 두 건을 수정하고, 지원 대상 Kubernetes와 Kafka 버전을 조정한 릴리스입니다. 기능 게이트 기본값과 리스너별 Kafka 옵션 설정이 변경되며 ingress 리스너 유형은 사용 중단됩니다. 업그레이드 전 CRD 갱신과 KafkaUser 필드 마이그레이션이 필요합니다.
조치 필요 (2)
securityhigh공개 보안 취약점 수정
CVE-2026-27133 및 CVE-2026-27134와 관련된 공개 보안 취약점을 수정했습니다. 관련 권고 식별자는 GHSA-2qwx-rq6j-8r6j와 GHSA-6x85-j2f7-4xc5입니다.
breakingServerSideApplyPhase1 기본 활성화
ServerSideApplyPhase1 기능 게이트가 베타 단계로 올라갔으며, 이제 기본값이 활성화로 설정됩니다.
영향 확인 (2)
breaking지원 Kubernetes 버전 상향
Kubernetes 1.27, 1.28 또는 1.29를 사용하는 경우에 적용됩니다.
breakingKafka 4.0.0 및 4.0.1 지원 중단
Kafka 4.0.0 또는 4.0.1을 사용하는 경우에 적용됩니다.
미리 준비 (1)
deprecatedingress 리스너 유형 사용 중단
ingress 리스너 유형을 설정한 경우에 적용됩니다.
이번 릴리스에는 업그레이드 과정에서 발생하던 클라이언트 측 적용 마이그레이션 문제 수정과 자체 관리형 Argo CD 설치에 필요한 구성 단계가 담겼습니다. 공개된 보안 권고는 없습니다.
조치 필요 (1)
breaking클라이언트 측 적용 마이그레이션 실패 수정
3.과 3.에서 발생하던 failed to perform client-side apply migration 문제가 이번 릴리스에서 해결됐습니다. ServerSideApply=true와 ClientSideApplyMigration=false 설정이 함께 제시됩니다.
운영자가 확인할 수 있는 기능이 추가되고 여러 기본 동작이 변경됩니다. 앰비언트 메시, 디버그 엔드포인트 권한, 메트릭 압축, istiod 메모리와 회로 차단기 동작에 영향을 줍니다. 명시적인 CVE 또는 보안 권고 식별자는 없습니다.
조치 필요 (1)
breakingistiod 메모리 제한 자동 설정
istiod가 automemlimit 라이브러리를 사용해 GOMEMLIMIT을 메모리 제한의 90%로 자동 설정합니다. OOM 종료 위험을 낮추면서 성능을 유지합니다.
영향 확인 (4)
breakingiptables 규칙 조정 기본 활성화
istio-cni DaemonSet을 업그레이드할 때 적용됩니다.
breaking15014 포트 디버그 엔드포인트 권한 검사 기본 활성화
15014 포트의 디버그 엔드포인트에 적용됩니다.
breakingEnvoy 메트릭 HTTP 압축 기본 활성화
클라이언트의 Accept-Header 값에 따라 Prometheus stats endpoint에서 제공되는 Envoy 메트릭에 적용됩니다.
운영자 설정과 동작에 영향을 주는 변경이 포함되어 있으며, CRD 및 구성 지원 범위와 의존성도 갱신되었습니다. 공개된 보안 취약점이나 권고 식별자는 없습니다.
조치 필요 (1)
breaking불필요한 nodes/proxy RBAC 권한 활성화 제거
불필요한 nodes/proxy RBAC 권한을 활성화하던 설정이 제거되었습니다.
영향 확인 (2)
breakingceph image pull policy 기본값 변경
ceph image pull policy를 설정하지 않은 경우 적용됩니다.
breakingautomated node fencing 코드 제거
automated node fencing이 실행되는 경우 적용됩니다.
새 DNS 프록시, 설치 및 설정 동작, API와 메트릭, 데이터 경로 기능이 추가되고 데이터 경로와 클러스터 메시의 수정이 함께 포함된 기능 및 유지 보수 릴리스입니다. 기본값과 호환성 변경, 사용 중단 및 BGP API 전환이 포함되며, 보안 관련 의존성도 업데이트되지만 구체적인 취약점 내용은 공개되지 않았습니다.
조치 필요 (15)
securitygithub. 보안 업데이트
github. 모듈이 v1.7.29로 업데이트됩니다.
securitygithub. 보안 업데이트
github. 모듈이 v2.4.0으로 업데이트됩니다.
securitygithub. 보안 업데이트
github. 모듈이 v28.3.3+incompatible로 업데이트됩니다.
securitygolang. 보안 업데이트
golang. 모듈이 v0.45.0으로 업데이트됩니다.
securityhelm. 보안 업데이트
helm. 모듈이 v3.18.4로 업데이트됩니다.
securityhelm. 보안 업데이트
helm. 모듈이 v3.18.5로 업데이트됩니다.
breakingplpmtud 기본값 변경
plpmtud의 기본값이 blackhole로 변경됩니다.
breakingAddressScopeMax 기본값 변경
AddressScopeMax 기본값이 호스트 범위인 254로 변경됩니다. --local-max-addr-scope와 관련된 설정이 새 GKE 메타데이터 서버 및 HCP 사용 사례에 맞게 조정됩니다.
breakingtls authMode 기본값 변경
tls authMode 기본값이 migration으로 설정됩니다.
breakingCNI 삭제 제한 시간 단축
CNI 삭제 제한 시간이 1.5초로 줄어듭니다.
breakingpolicy-default-local-cluster 기본 설정
policy-default-local-cluster가 기본적으로 설정됩니다.
breaking호스트 방화벽 우회 기본 비활성화
호스트 방화벽 우회가 기본적으로 비활성화됩니다.
breakingFQDN 일치 패턴 정제 검사 강화
FQDN 일치 패턴의 정제 처리가 재구성되고 검사가 강화됩니다.
breakingcilium_host를 통한 암호화 트래픽 전달 제거
cilium_host를 통한 암호화 트래픽 전달이 제거됩니다.
breaking컨테이너 이미지의 CNI 설정 파일 설치 제거
컨테이너 이미지에 CNI 설정 파일을 설치하지 않습니다.
영향 확인 (30)
breaking네트워크 정책의 기본 클러스터 범위 변경
네트워크 정책 선택자에서 cluster를 설정하지 않은 경우 적용됩니다.
breakingCiliumBGPPeeringPolicy v1 API 지원 제거
CiliumBGPPeeringPolicy를 사용하는 경우 적용됩니다.
breakingMutual Authentication 기본 비활성화
Mutual Authentication을 활성화하는 경우 적용됩니다.
미리 준비 (7)
deprecated--enable-ipsec-encrypted-overlay 사용 중단제거 시점 미정
--enable-ipsec-encrypted-overlay를 사용하는 경우 적용됩니다.
deprecatedKafka 일치 필드와 ToRequires 및 FromRequires 사용 중단
ToRequires 또는 FromRequires를 사용하는 경우 적용됩니다.
deprecatedHelm 값의 tls cert/keys 전달 방식 사용 중단
Helm 값으로 TLS 인증서나 키를 전달하는 경우 적용됩니다.
