CNCF graduated·incubating 프로젝트 릴리스 노트의 AI 분석.
보안 관련 의존성 업데이트와 접근 제어 우회 수정이 포함되어 있습니다. 기능 추가와 동작 변경, 여러 결함 수정도 함께 반영됐으며, 일부 플러그인의 기본 동작이 달라졌습니다.
조치 필요 (1)
securityhighGo 1. 빌드 및 CVE 수정 반영
Go 1.으로 빌드해 CVE-2026-56865, CVE-2026-56864, CVE-2026-33818 수정 사항을 반영했습니다.
영향 확인 (3)
securityautopath의 acl 검사 우회 수정
plugin/acl과 autopath를 사용하는 경우에 적용됩니다.
breaking기본 연결 시도 횟수 제한
plugin/forward를 사용하는 경우에 적용됩니다.
breaking지원하지 않는 타입의 fallthrough 기본값 변경
plugin/hosts를 사용하는 경우에 적용됩니다.
체크포인트 복원과 컨테이너 수명 주기 동작의 기본값 및 적용 조건이 바뀌었고, CRIU와 Windows 로그 처리 설정이 추가되었습니다. CRI 및 런타임 지원이 넓어졌으며 마운트 관리자 오류도 수정되었습니다.
영향 확인 (3)
breakingCreateContainer의 복원 기본값 비활성화
CreateContainer를 사용하는 경우 적용됩니다.
breakingWindows의 ScrubLogs 기본값 적용
Windows에서 실행하는 경우 적용됩니다.
breakingCRIU 미설치 시 체크포인트 복원 비활성화
CRIU가 설치되지 않은 경우 적용됩니다.
미리 준비 (1)
deprecatedCreateContainer 복원 기능 지원 중단
CreateContainer를 사용하는 경우 적용됩니다.
이번 릴리스에는 CRI 기본값과 제약 변경, 체크포인트 복원 경로의 사용 중단, CRI 기능 및 설정 추가, 런타임과 스냅숏터 결함 수정이 포함됩니다. Kubernetes 의존성 매니페스트의 버전 변경은 운영자 대상 릴리스 내용으로 다루지 않습니다.
영향 확인 (3)
breakingCreateContainer 체크포인트 복원 기본값 비활성화
enable_experimental_restore_via_create을 설정한 경우 적용됩니다.
breakingCRI 호스트 네트워크 사용자 네임스페이스 기능 기본 활성화
CRI를 실행하는 경우 적용됩니다.
breakingWindows 로그 스크러빙 기본 활성화
Windows를 실행하는 경우 적용됩니다.
미리 준비 (1)
deprecatedCreateContainer 체크포인트 복원 사용 중단
CreateContainer를 사용하는 경우 적용됩니다.
서버 기본값과 동작이 조정됐고, 정확성 문제와 공개된 watch 권한 취약점이 수정됐습니다. google. 업데이트로 공개된 보안 권고에도 대응합니다.
조치 필요 (3)
securityhighgoogle. 1.82.1 업데이트
google.를 1.82.1로 업데이트해 GHSA-hrxh-6v49-42gf에 대응했습니다.
breakingsnapshotLimitByte 기본값 조정
snapshotLimitByte에 적정한 기본값을 설정했습니다.
breaking클라이언트 http.의 헤더 읽기 제한 설정
클라이언트 http.에 ReadHeaderTimeout을 설정했습니다.
영향 확인 (1)
securityhigh키 범위를 벗어난 watch 응답 문제 수정
적용 대상이 릴리스 노트에 명시되지 않았습니다.
실험 단계 기능이 게스트, 명령줄 도구, 템플릿, 가상 머신 드라이버와 장치 영역으로 확장됐습니다. 윈도우 기본 드라이버와 socket_vmnet 접근 제약이 바뀌었고, 호스트 의존성이 제거됐으며 nerdctl이 업데이트됐습니다.
영향 확인 (3)
breaking기본 VM 드라이버를 wsl2에서 qemu로 변경
VM 드라이버를 따로 설정하지 않은 경우에 적용됩니다.
breakingsocket_vmnet 접근 그룹 제한 변경
socket_vmnet을 사용하는 경우에 적용됩니다.
breakingalmalinux-kitten을 experimental/로 이동
almalinux-kitten을 사용하는 경우에 적용됩니다.
이번 릴리스에는 CRI 동작 제약과 기본값 조정이 포함되며, 정확성과 동작을 다듬는 수정 및 의존성 업데이트도 반영됐습니다. 공개된 보안 권고나 명시적인 취약점 수정은 없습니다.
영향 확인 (2)
breaking실행 중이 아닌 샌드박스에서 CreateContainer 거부
CreateContainer를 사용하고 샌드박스가 실행 중이 아닐 때 적용됩니다.
breaking플랫폼별 erofs 기본 mkfs 블록 크기 통일
여러 플랫폼에서 erofs를 사용하는 경우 적용됩니다.
보안과 인증 동작을 다룬 수정이 포함되어 있으며, 의존성과 빌드 도구 버전도 갱신되었습니다. golang. 업데이트에는 여러 CVE 해결이 반영되었습니다.
조치 필요 (1)
securityhighgolang. 업데이트
golang.를 v0.으로 업데이트해 CVE-2026-46598, CVE-2026-39835, CVE-2026-39828, CVE-2026-46597을 해결했습니다.
영향 확인 (1)
securitygRPC 리스너의 CRL 적용 우회 수정
이 변경은 --listen-client-http-urls를 구성한 경우에 적용됩니다.
이번 릴리스는 ZoneDelegation 기반 DNS 관리와 TLSRoute, 주석 지원을 다루며 기존 설정과 이름 규칙도 바꿉니다. 결함 수정과 의존성 업데이트가 포함됐고, 보안 권고나 취약점은 확인되지 않았습니다.
영향 확인 (4)
breakingBootstrap 서비스 제거
설정에서 Bootstrap 서비스를 사용한다면 적용됩니다.
breakingdynamicZones 설정 제거
설정에서 dynamicZones를 사용한다면 적용됩니다.
breakingdoFinalize 기본값 변경
ZoneDelegation 마무리 처리에 doFinalize를 사용한다면 적용됩니다.
이번 릴리스에는 v2 사용 중단 옵션 추가, 웹소켓 인증 수정, CRL 적용 우회 수정, Go 도구 체인과 의존성 업데이트가 포함됩니다. CRL 우회 수정과 의존성 보안 문제 대응이 포함되어 해당 환경과 의존성을 사용하는 경우 업그레이드가 필요합니다.
조치 필요 (2)
securityhighOpenTelemetry 의존성 버전 상향
go.과 go.를 각각 v1.에서 v1.으로 올려 CVE-2026-29181과 CVE-2026-39883에 대응했습니다.
securityhighgolang. 버전 상향
golang. 버전을 v0.으로 올렸습니다. CVE-2026-39828, CVE-2026-39835, CVE-2026-46597, CVE-2026-46598과 관련된 업데이트입니다.
영향 확인 (1)
securitygRPC 리스너의 CRL 적용 우회 수정
--listen-client-http-urls를 설정한 경우에 적용됩니다.
이번 변경에는 인증서 폐기 목록 적용 오류 수정과 관측 도구 의존성 갱신이 포함됩니다. 특정 클라이언트 HTTP 주소 설정과 관련된 수정이 있으며, 두 CVE에 대응하는 버전 상향도 반영됐습니다.
조치 필요 (1)
securityhighOpenTelemetry 의존성 버전 갱신
go.과 go.를 v1.에서 v1.으로 올려 CVE-2026-29181과 CVE-2026-39883에 대응했습니다.
영향 확인 (1)
securitygRPC 수신기의 CRL 적용 우회 수정
--listen-client-http-urls가 설정된 경우에 적용됩니다.
기본값 변경과 의존성 업데이트가 포함됩니다. 여러 보안 취약점도 수정되었습니다.
영향 확인 (5)
securitycriticalcontainerd 보안 취약점 수정
containerd를 사용하는 경우에 적용됩니다.
securityhighQEMU 게스트 에이전트 소켓 권한 상승 취약점 수정
게스트 에이전트 소켓을 사용하는 QEMU VM을 실행하는 경우에 적용됩니다.
breaking비Linux 게스트의 containerd. 기본값 변경
Linux가 아닌 게스트를 실행하는 경우에 적용됩니다.
CLI 기능과 템플릿이 바뀌었고, 정확성 수정과 드라이버, hostagent, QEMU, 게스트 지원 관련 변경이 포함됩니다. 플래그 하나가 사용 중단 대상으로 지정되었으며, 보안 권고나 명시적으로 설명된 취약점은 없습니다.
영향 확인 (1)
breakingQEMU 2MB OVMF 이미지 제거
적용 대상이 릴리스 노트에 명시되지 않았습니다.
미리 준비 (1)
deprecated_LIMA_QEMU_UEFI_IN_BIOS 플래그 사용 중단
_LIMA_QEMU_UEFI_IN_BIOS를 설정한 경우에 적용됩니다.
공개된 보안 문제 수정과 기본 소켓 정책 변경이 포함되어 있습니다. 휘발성 마운트 옵션 호환성, AppArmor 호환성, 여러 정확성 문제도 다뤘습니다.
조치 필요 (1)
securityhighCVE-2026-46680 보안 문제 수정
CVE-2026-46680 보안 문제를 수정했습니다.
영향 확인 (1)
breakingseccomp 기본 소켓 정책에서 AF_ALG 차단
seccomp를 사용하는 경우에 적용됩니다.
런타임 동작과 서버 구성 요소의 결함을 수정하고 seccomp 및 CVE 관련 보안 변경을 포함합니다. 기존 기능과 설정의 동작이 바뀌며 API와 Go 도구 모음도 갱신됩니다.
조치 필요 (1)
securityhighCVE-2026-46680 보안 수정
CVE-2026-46680 관련 보안 결함 수정이 포함됩니다.
영향 확인 (1)
breakingoverlayfs 사용자 네임스페이스의 rebase 기능 제거
overlayfs를 사용하고 사용자 네임스페이스에서 실행하는 경우에 적용됩니다.
미리 준비 (1)
deprecatedRunc 옵션의 태스크 필드 사용 중단
Runc 옵션에서 태스크 필드를 설정하는 경우에 적용됩니다.
템플릿과 CLI 기능을 확장하고 의존성 버전을 변경했으며, 일부 플래그를 폐기 예정으로 지정했습니다. 여러 정확성 문제와 플러그인 경로 순회 및 GO-2026-4394 관련 보안 문제도 수정했습니다.
조치 필요 (1)
securityhighgo. v1.40.0 업데이트
GO-2026-4394에 대응하기 위해 go.를 v1.40.0으로 업데이트했습니다.
영향 확인 (1)
securityPlugin 버전 경로 순회 수정
Plugin 확장 기능을 사용하는 경우에 적용됩니다.
미리 준비 (1)
deprecated--hide-notes 및 --render-subchart-notes 플래그 폐기 예정
--hide-notes 또는 --render-subchart-notes를 사용하는 경우에 적용됩니다.
권한 우회 문제 수정과 GO-2026-4962에 대응하는 보안 관련 의존성 업데이트가 포함되어 있습니다. 바이너리 빌드에 사용한 Go 도구체인 정보도 기록되어 있으며, 나머지 내용은 제목이나 문서 및 설치 안내입니다.
조치 필요 (1)
securitymediumgolang. 의존성 업데이트
golang.을 v0.으로 업데이트해 GO-2026-4962를 해결했습니다.
영향 확인 (1)
security트랜잭션 내부 Put 요청의 RBAC 권한 우회 차단
RBAC을 사용하는 경우에 적용됩니다.
API와 런타임 기능에 추가 및 변경이 있고 의존성도 업데이트됩니다. 보안 권고나 취약점 공개는 없습니다.
영향 확인 (1)
breaking샌드박스 메타데이터의 Container 필드 제거
API 명세에서 Container를 사용하는 경우에 적용됩니다.
API와 설정, 명령줄 기본값, 스케줄링 및 런타임 동작이 폭넓게 바뀐 운영자 대상 릴리스입니다. 제거와 사용 중단 예고, 기능 단계 승격이 포함되어 업그레이드 전 검토와 테스트가 필요합니다. 보안 권고나 명시적으로 설명된 취약점은 확인되지 않았습니다.
조치 필요 (11)
breakingStrictIPCIDRValidation 기본 활성화
kube-apiserver의 StrictIPCIDRValidation 기능 게이트가 기본적으로 활성화됩니다.
breaking디버그 프로필 기본값 변경
디버그 프로필 기본값이 legacy에서 general로 바뀌었습니다.
breakingWatchCacheInitializationPostStartHook 기본 활성화
WatchCacheInitializationPostStartHook 기능 게이트가 기본적으로 활성화됩니다.
breakingKubeletPSI 정식 단계 승격
KubeletPSI 기능이 정식 단계로 승격되고 기본적으로 활성화됩니다.
breakingRelaxedServiceNameValidation 베타 승격
RelaxedServiceNameValidation 기능 게이트가 베타 단계로 승격되고 기본적으로 활성화됩니다.
breakingRestartAllContainersOnContainerExits 베타 승격
RestartAllContainersOnContainerExits 기능 게이트가 베타 단계로 승격되고 기본적으로 활성화됩니다.
breaking중단된 작업 관련 기능 게이트 기본 활성화
MutablePodResourcesForSuspendedJobs와 MutableSchedulingDirectivesForSuspendedJobs 기능 게이트가 기본적으로 활성화됩니다.
breakinginformer 저장소 갱신 순서 변경
기본 informer가 목록 또는 재목록의 모든 객체로 저장소 상태를 먼저 갱신한 뒤, 삭제·추가·변경된 개별 항목에 대해 OnDelete, OnAdd, OnUpdate 핸들러를 호출합니다.
breakinginformer watch 이벤트 처리 방식 변경
이미 대기 중인 이벤트를 처리하는 동안 informer가 새 watch 이벤트를 큐에 추가할 수 있습니다.
breaking클라이언트 인증 기관 순환 기본 활성화
해당 기능이 기본적으로 활성화되며 ClientsAllowCARotation 기능 게이트로 끌 수 있습니다.
breaking클라이언트 TLS 캐시 정리 기본 활성화
해당 기능이 기본적으로 활성화되며 ClientsAllowTLSCacheGC 기능 게이트로 제어할 수 있습니다.
영향 확인 (25)
breaking볼륨 작업 오류 메트릭 이름 변경
volume_operation_total_errors를 사용하는 경우에 적용됩니다.
breakinggit-repo 볼륨 플러그인 비활성화
git-repo 볼륨 플러그인을 사용하는 경우에 적용됩니다.
breaking자격 증명 플러그인 허용 목록 필드 이름 변경
AllowlistEntry.을 설정하는 경우에 적용됩니다.
미리 준비 (6)
deprecatedService . 사용 중단 예고
Service .를 설정하는 경우에 적용됩니다.
deprecatedmetav1. 직접 접근 사용 중단
metav1.를 사용하는 경우에 적용됩니다.
deprecated노드 점수 필드 사용 중단
MinNodeScore 또는 MaxNodeScore를 사용하는 경우에 적용됩니다.
운영자용 기능이 추가되고 여러 결함이 수정되었습니다. 공개된 Go 의존성 취약점에 대응하려면 즉시 업그레이드해야 하며, 나머지 변경은 새 옵션을 선택하거나 영향을 받는 동작을 사용하는 경우에만 조치가 필요합니다.
조치 필요 (1)
securitycriticalGo 1. 기반 빌드와 취약점 수정
Go 1.로 빌드하며, CVE-2026-32282, CVE-2026-32289, CVE-2026-33810, CVE-2026-27144, CVE-2026-27143, CVE-2026-32288, CVE-2026-32283, CVE-2026-27140, CVE-2026-32936, CVE-2026-33190, CVE-2026-33489, CVE-2026-32934, CVE-2026-35579에 대한 보안 수정이 포함됩니다.
영향 확인 (1)
breakingDoH GET DNS 쿼리 매개변수 크기 제한
DoH를 사용하는 경우에 적용됩니다.
Go 도구 모음 업데이트와 동작 정확성 수정이 포함되며, StatefulSet 병렬 파드 관리의 기본값도 바뀝니다. 나열된 의존성 버전 줄은 매니페스트 항목으로, 운영자 대상 변경으로 기록되지 않았습니다.
영향 확인 (1)
breakingMaxUnavailableStatefulSet 기본 비활성화
MaxUnavailableStatefulSet을 활성화하지 않은 경우에 적용됩니다.
containerd v2.0.8은 보안 관련 수정과 구성 요소 업데이트를 담은 릴리스입니다. Container Runtime Interface (CRI)로 pod 이벤트를 사용하는 환경에서는 오류 처리 변경이 해당됩니다.
조치 필요 (1)
securityhighCVE-2026-35469 관련 spdystream 보안 업데이트
CVE-2026-35469 및 GHSA-pc3f-x583-g7j2와 관련된 spdystream 보안 업데이트가 포함됩니다.
영향 확인 (1)
securitypod 이벤트 오류 정제
Container Runtime Interface (CRI)를 통해 pod 이벤트를 사용하는 경우에 적용됩니다.
CRI, 런타임, 이미지 배포 결함을 수정하고 의존성과 도구 체인을 업데이트했습니다. spdystream 관련 보안 수정과 pod 이벤트에서 자격 증명 유출을 막는 수정도 포함됩니다.
조치 필요 (2)
securityhighCVE-2026-35469 보안 권고 추가
CVE-2026-35469 및 GHSA-pc3f-x583-g7j2 보안 권고가 포함되었습니다.
securityhighgithub. 의존성 업데이트
github.을 v0.로 업데이트했습니다.
영향 확인 (1)
securitypod 이벤트의 자격 증명 유출 방지
pod 이벤트를 사용하는 경우에 적용됩니다.
이 릴리스에는 spdystream 관련 보안 수정과 의존성 및 도구 모음 업데이트, 정확성과 동작을 조정하는 수정이 포함됩니다. spdystream 보안 수정은 업그레이드가 필요하며, 나머지 변경은 영향을 받는 동작이나 버전을 사용하는 경우가 아니면 별도 설정 변경이 필요하지 않습니다.
조치 필요 (1)
securityhighspdystream 보안 취약점 수정
spdystream 관련 CVE-2026-35469 보안 취약점이 수정되었습니다.
영향 확인 (1)
securitypod events 오류 반환 시 자격 증명 노출 방지
pod events를 사용하는 경우에 적용됩니다.
보안 결함 하나를 수정한 릴리스입니다. 변경 기록에는 해당 보안 권고에 기반한 수정이 중복해서 언급되었습니다.
영향 확인 (1)
securitymediumGHSA-hr2v-4r36-88hr에 따른 Helm Chart 추출 경로 오류 수정
Helm Chart 추출을 사용하는 경우에 적용됩니다.
이번 릴리스에는 업그레이드가 필요한 보안 수정이 포함되어 있습니다. 플러그인 로드 오류 처리 변경도 함께 포함됩니다.
조치 필요 (1)
securitymediumGHSA-hr2v-4r36-88hr 보안 결함 수정
보안 권고 GHSA-hr2v-4r36-88hr와 관련된 결함이 수정되었습니다.
영향 확인 (2)
securityhigh. 누락 시 플러그인 검증 우회 수정
플러그인을 사용하는 경우에 적용됩니다.
securityhigh플러그인 메타데이터 경로 탐색 문제 수정
플러그인을 사용하는 경우에 적용됩니다.
이번 릴리스에는 Windows 산출물 추가, 게스트 및 템플릿 구성 지원 범위 확대, vz 오디오 처리 변경, 번들된 nerdctl 배포판과 의존성 업데이트가 포함됩니다. 공개되지 않은 BuildKit 및 CNI plugins 보안 업데이트를 받으려면 업그레이드가 필요하며, 그 밖의 운영자 조치는 필요하지 않습니다.
영향 확인 (1)
securityBuildKit 및 CNI plugins 보안 업데이트 안내
BuildKit 또는 CNI plugins를 사용하는 경우에 적용됩니다.
공급업체 중립 API와 사용자가 제어하는 마이그레이션 흐름이 도입되고, 미리 보기 Dynamic Zones 지원이 추가됩니다. 이미지와 Helm 배포 위치가 바뀌며 의존성도 갱신됩니다. API 마이그레이션과 레지스트리 변경을 사용하는 운영 환경은 전환 계획이나 조치가 필요할 수 있습니다.
영향 확인 (2)
breakingHelm 저장소의 OCI 전환
Helm을 사용하는 경우에 적용됩니다.
breaking공급업체 중립 API 그룹과 사용자 제어 마이그레이션 도입
k8gb.을 사용하는 경우에 적용됩니다.
권한 확인 우회와 취약한 의존성에 관한 보안 수정이 포함되어 업그레이드가 필요한 릴리스입니다. 의존성 및 도구 체인 갱신과 정확성 수정도 포함되며, 운영자 설정 변경이나 지원 중단 안내는 없습니다.
조치 필요 (4)
securitycriticalgoogle. 1.79.3 업데이트
CVE-2026-33186을 해결하기 위해 google.를 1.79.3으로 업데이트했습니다.
securityhigh여러 API의 권한 확인 우회 수정
여러 API에서 발생하던 권한 확인 우회를 수정했습니다. 이 문제는 CVE-2026-33413 및 GHSA-q8m4-xhhv-38mg로 식별됩니다.
securityhighgo. v1.40.0 업데이트
go.를 v1.40.0으로 업데이트했습니다. 관련 보안 권고는 GO-2026-4394입니다.
securityhighgolang. v0.51.0 업데이트
GO-2026-4559를 해결하기 위해 golang.을 v0.51.0으로 업데이트했습니다.
영향 확인 (1)
securitylow중첩된 트랜잭션의 RBAC 권한 확인 우회 수정
중첩된 etcd 트랜잭션과 RBAC를 사용하는 경우에 적용됩니다.
일반적인 정확성 수정과 공개된 보안 수정, 보안 관련 의존성 업데이트가 포함됩니다. 보안 수정과 업데이트는 업그레이드로 대응할 수 있으며, 운영자 재구성이 명시적으로 요구되지는 않습니다.
조치 필요 (3)
securitycriticalgoogle. 업데이트
google.를 1.으로 올려 CVE-2026-33186을 해결했습니다.
securityhighgo. 업데이트
go.를 v1.으로 올려 GO-2026-4394를 해결했습니다.
securityhighgolang. 업데이트
golang.을 v0.으로 올려 GO-2026-4559를 해결했습니다.
영향 확인 (2)
securityhigh인증되지 않은 엔드포인트의 권한 검사 강화
인증되지 않은 엔드포인트를 사용하는 경우 적용됩니다.
securitylow중첩 트랜잭션의 RBAC 권한 검사 적용
중첩 트랜잭션 작업을 사용하는 경우 적용됩니다.
프록시 프로토콜 지원이 추가되고, 빌드 의존성이 보안 수정이 포함된 버전으로 바뀌었으며, 동작의 정확성과 운영 중 확인되는 동작도 조정되었습니다. 보안 수정과 ACL 우회 방지 변경은 해당 구성을 사용하는 기존 환경에서 조치가 필요할 수 있고, 나머지 변경은 새 기능이나 값을 선택하는 경우를 제외하면 안내 사항에 해당합니다.
조치 필요 (1)
securityhigh빌드의 Go 1. 업데이트
빌드가 Go 1.로 업데이트되며 CVE-2026-27137, CVE-2026-27138, CVE-2026-27139, CVE-2026-25679, CVE-2026-27142를 해결하는 보안 수정이 포함됩니다.
영향 확인 (2)
securityhighrewrite와 acl 처리 순서 수정
rewrite와 acl을 모두 사용하는 경우 적용됩니다.
securityhighplugin/loop 쿼리 이름 생성 방식 수정
plugin/loop이 실행 중인 경우 적용됩니다.
정확성 수정이 중심이며, 기능 게이트 기본값 변경과 Go 1. 및 hnslib 업데이트가 포함됩니다. 공개된 보안 권고는 없습니다.
영향 확인 (1)
breakingSchedulerAsyncAPICalls 기능 게이트 비활성화
SchedulerAsyncAPICalls 기능 게이트를 사용하는 경우에 적용됩니다.
이번 릴리스는 Go 관련 보안 취약점을 수정하고 프록시 연결 풀 성능을 개선합니다. forward 플러그인에 max_idle_conns 매개변수가 추가되며, 나머지 구현 세부 사항과 제목은 운영자 관점에서 별도 영향이 없습니다.
조치 필요 (1)
securityhighCVE-2025-68119 취약점 수정
CVE-2025-68119 보안 취약점을 수정했습니다.
영향 확인 (1)
securitycriticalGo 버전 관련 보안 취약점 수정
적용 대상이 릴리스 노트에 명시되지 않았습니다.
