릴리스

조치 필요 (7)

• securityhigh중간 인증서 수 제한

  중간 인증서 수를 제한해 CVE-2026-32280 완화 조치를 적용했습니다.

• securityhighgo toolchain 1.26.3 업데이트

  go toolchain을 1.26.3으로 올려 CVE-2026-39836을 해결했습니다.

• securityCRDs와 문서 재생성

  GHSA-79gf-7frw-68m9 API가 상향된 뒤 CRDs와 문서를 다시 생성했습니다.

• security보안 의존성 버전 업데이트

  golang.org/x/crypto를 v0.53.0으로, x/net을 v0.56.0으로 올려 보안 CVE를 해결했습니다.

• securityORAS와 sigstore CodeQL 취약점 패치

  ORAS와 sigstore의 CodeQL 취약점에 대한 패치를 반영했습니다.

• securityCodeQL 보안 취약점 수정

  공개된 CodeQL 보안 취약점을 해결했습니다.

• securitycel-go v0.30.0 업데이트

  cel-go를 v0.30.0으로 올려 CVE-2026-GHSA-gcjh-h69q-9w9g를 해결했습니다.

조치 필요 (3)

• securitydependencies 취약점 일괄 수정

  dependencies에서 발견된 취약점을 일괄 수정했습니다.

• breakingRego 평가를 RegoV1로 전환

  Rego 평가를 RegoV1로 전환하고 v0 호환 심을 제거했습니다.

• breaking접속 범위를 loopback 전용으로 제한

  접속 범위를 loopback으로만 제한했습니다( #2639).

조치 필요 (3)

• securityhighGHSA-fxhp-mv3v-67qp 대응 의존성 업데이트

  oras.land/oras-go/v2가 2.6.1에서 2.6.2로 업데이트되었으며, GHSA-fxhp-mv3v-67qp에 대응합니다.

• breakingHTTP 서버 ReadHeaderTimeout 기본값 조정

  모든 HTTP 서버의 ReadHeaderTimeout 기본값이 32s로 설정됩니다.

• breaking이름이 겹치는 부분 집합 및 -object 규칙 거부

  ast가 부분 집합 규칙과 -object 규칙이 같은 이름을 공유하는 경우를 거부합니다.

영향 확인 (6)

• breakingKBS client 인증 자격 증명 변경

  KBS client를 사용하는 경우에 적용됩니다.

• breakingCAA docker provider 제거

  CAA docker provider를 사용하는 경우에 적용됩니다.

• breakingFedora 기반 mkosi 빌드 CAA podvm 이미지 제거

  Fedora 기반 mkosi 빌드 CAA podvm 이미지를 사용하는 경우에 적용됩니다.

• 릴리스 페이지에 3건 더

영향 확인 (1)

• breaking내장 VAP 번들을 기본으로 사용하는 deploy-library

  deploy-library를 사용하는 경우에 적용됩니다.

조치 필요 (2)

• securityDocker 의존성의 Moby 의존성 이전

  CVE를 해결하기 위해 github.com/docker/docker 의존성을 github.com/moby/moby에 해당하는 의존성으로 이전했습니다. (#7078)

• breaking에이전트 상태 확인 호출의 RPC 메트릭 제거

  에이전트 상태 확인 루프의 루프백 호출에서는 더 이상 RPC 메트릭을 내보내지 않습니다. 메트릭 잡음도 줄어듭니다. (#6929)

조치 필요 (1)

• security계정 탈취 전 단계 공격 문제 수정

  계정 탈취 전 단계의 공격으로 이어질 수 있는 문제를 수정했습니다.

영향 확인 (5)

• securitycert-manager-edit 권한에서 내부 리소스 조작 제거

  cert-manager-edit 집계 ClusterRole을 사용한다면 이 변경이 적용됩니다.

• breakingAPI에서 ObjectReference 제거

  API에서 ObjectReference를 사용한다면 이 변경이 적용됩니다.

• breakingPrometheus 모니터링 관련 Helm 값 제거

  prometheus.servicemonitor.targetPort, prometheus.servicemonitor.path 또는 prometheus.podmonitor.path를 설정한다면 이 변경이 적용됩니다.

• 릴리스 페이지에 2건 더

영향 확인 (1)

• breakingSecurityException CRD 제거

  SecurityException CRD를 사용하는 경우에 적용됩니다.

영향 확인 (1)

• breakingUser-Agent 헤더 형식 변경

  서버 측 로그 필터나 WAF 규칙에서 이전 문자열을 완전히 일치하도록 설정한 경우에 적용됩니다.

조치 필요 (2)

• securityhighlodash 코드 삽입 취약점 수정

  CVE-2026-4800에 해당하는 lodash의 코드 삽입 취약점을 수정했습니다.

• securitymediumNetty HTTP/1.0 스머글링 정제 우회 수정

  CVE-2026-42581에 해당하는 Netty의 HTTP/1.0 TE+CL 공존으로 인한 스머글링 정제 우회 문제를 수정했습니다.

조치 필요 (3)

• security보안 권고 대응을 위한 의존성 갱신

  dependencies를 보안 권고 해결을 위해 갱신했습니다.

• securityEnvFrom 정리로 비밀 이름 노출 방지

  removeContainersData에서 EnvFrom을 비워 비밀 이름이 노출되지 않도록 수정했습니다.

• security컨테이너 데이터 제거 시 Env[].ValueFrom 정리

  removeContainersData와 removeEphemeralContainersData에서 Env[].ValueFrom을 비우도록 수정했습니다.

영향 확인 (1)

• breakingjson-diff 필터 제거

  json-diff 필터를 aws.iam-access-key 정책에서 사용하는 경우에 적용됩니다.

조치 필요 (1)

• breakinggRPC server support 제거

  gRPC server support가 제거되었습니다.

조치 필요 (6)

• securityhighHTTP/2 CONTINUATION 프레임 플러딩 서비스 거부 수정

  CVE-2026-33871과 관련된 HTTP/2 CONTINUATION 프레임 플러딩으로 인한 서비스 거부 취약점을 수정했습니다.

• securityhigh청크 확장 파싱을 이용한 HTTP 요청 밀수 수정

  CVE-2026-33870에 해당하는 RFC 위반과 청크 확장 인용 문자열 파싱을 이용한 HTTP 요청 밀수 취약점을 수정했습니다.

• securityhighbouncycastle 관련 취약점 수정

  bouncycastle와 관련된 CVE-2026-0636, CVE-2026-3505, CVE-2026-5598을 수정했습니다.

• securityhigh리디렉션 URI 검증 우회 수정

  리디렉션 URI 검증을 우회할 수 있던 CVE-2026-7504를 수정했습니다.

• securitymediumbcpkix 모듈의 취약한 암호 알고리즘 사용 수정

  CVE-2026-5588과 관련된 Bouncy Castle Crypto Package For Java의 bcpkix 모듈 내 취약하거나 위험한 암호 알고리즘 사용 문제를 수정했습니다.

• security권한 및 정책 호출 순서에 따른 클라이언트 ID 노출 수정

  권한 및 정책 호출 순서 때문에 클라이언트 ID가 노출되던 문제를 수정했습니다.

조치 필요 (1)

• securitymediumGHSA-qp9x-wp8f-qgjj 보안 문제 수정

  GHSA-qp9x-wp8f-qgjj 보안 문제를 수정했습니다.

영향 확인 (3)

• breakingprotobuf content type 제거

  protobuf content type을 사용하는 경우에 적용됩니다.

• breakingsidecar 요구 사항 제거

  sidecar를 사용하는 경우에 적용됩니다.

• breaking--output 플래그 제거

  --output을 설정하는 경우에 적용됩니다.

조치 필요 (4)

• securityhighCVE-2026-32280 완화를 위한 중간 인증서 제한

  중간 인증서 수를 제한해 CVE-2026-32280을 완화했습니다.

• securityhighGo toolchain 1.26.2 업그레이드

  CVE-2026-32283을 수정하기 위해 Go toolchain을 1.26.2로 업그레이드했습니다.

• securitymediumgo-tuf/v2 v2.4.1 업데이트

  CVE-2026-24686을 수정하기 위해 go-tuf/v2를 v2.4.1로 올렸습니다.

• securitystdlib CVE 수정

  stdlib CVE를 수정했습니다.

조치 필요 (12)

• securitycriticalCVE-2025-68121 수정

  CVE-2025-68121을 수정했습니다.

• securitycriticalCVE-2026-33186 수정

  CVE-2026-33186을 수정했습니다.

• securityhighCVE-2026-24051 수정

  CVE-2026-24051을 수정했습니다.

• securityhighgithub.com/docker/cli 업데이트

  github.com/docker/cli 의존성을 업데이트해 CVE-2025-15558을 해결했습니다.

• securityhighCVE-2025-66564 수정

  CVE-2025-66564를 해결했습니다.

• securitymediumsigstore/rekor v1.5.1 업데이트

  sigstore/rekor를 v1.5.1로 업데이트해 CVE-2026-23831을 해결했습니다.

• securitymediumgo-tuf/v2 v2.3.1 업데이트

  go-tuf/v2를 v2.3.1로 업데이트해 CVE-2026-23992를 해결했습니다.

• securitymediumCVE-2026-22772 수정

  CVE-2026-22772를 수정했습니다.

• securitymediumgo-tuf/v2 v2.4.1 업데이트

  go-tuf/v2를 v2.4.1로 업데이트해 CVE-2026-24686을 해결했습니다.

• securitylowCVE-2026-1229 수정

  릴리스 1.16에서 CVE-2026-1229를 수정했습니다.

• securitylowCVE-2026-26958 수정

  CVE-2026-26958을 수정했습니다.

• securitystdlib CVE 수정

  stdlib 관련 CVE를 수정했습니다.

조치 필요 (6)

• securitycriticalCVE-2026-33186 수정

  CVE-2026-33186 취약점을 수정했습니다.

• securityhighCVE-2026-24051 수정

  CVE-2026-24051 취약점을 수정했습니다.

• securityhighCVE-2026-34986 수정

  CVE-2026-34986 취약점을 수정했습니다.

• securitylowCVE-2026-1229 수정

  CVE-2026-1229 취약점을 수정했습니다.

• securityCVES 2026-15558 수정

  1.17에서 CVES 2026-15558 취약점을 수정했습니다.

• securitygo 업데이트로 표준 라이브러리 CVE 수정

  go 버전을 올려 표준 라이브러리의 CVE를 수정했습니다.

조치 필요 (6)

• security비밀번호와 OTP 무차별 대입 방어 분리

  비밀번호와 OTP의 무차별 대입 방어가 분리되어 OTP 우회 공격을 기본적으로 막습니다.

• securityResourceAdminManager의 URL 생성 검증 보완

  ResourceAdminManager에서 매트릭스 매개변수 주입으로 검증되지 않은 URL을 생성할 수 있던 문제가 수정됩니다.

• security클라이언트 조회 안티 피싱 검사 보완

  클라이언트 조회 시 안티 피싱 검사가 빠져 있던 문제가 수정됩니다.

• breaking무중단 패치 릴리스 기본 활성화

  무중단 패치 릴리스가 지원 대상으로 승격되고 기본값으로 활성화됩니다.

• breaking--truststore-kubernetes-enabled 기본 활성화

  --truststore-kubernetes-enabled 동작이 기본값으로 활성화됩니다.

• breakingnot-before 검증 기본값 변경

  not-before 검증의 기본값이 0초에서 10초로 변경됩니다.

조치 필요 (1)

• securitymediumBatchCheck 정책 적용 오류 수정

  동일한 튜플에 여러 검사를 담은 BatchCheck 호출에서 정책이 잘못 적용될 수 있던 문제를 수정했습니다. 관련 보안 권고 식별자는 CVE-2026-34972입니다.

영향 확인 (5)

• breakingCDH의 Go 지원 제거

  CDH를 사용한다면 적용됩니다.

• breakingCanonical TDX Tech preview 지원 중단

  Canonical TDX Tech preview를 사용한다면 적용됩니다.

• breakingUbuntu 사용 버전 요건 변경

  Ubuntu 24.04.4 (linux-image-generic-hwe-24.04) 또는 25.10을 사용한다면 적용됩니다.

• 릴리스 페이지에 2건 더

영향 확인 (1)

• breaking사용자 정의 HTTPAuthPlugin 인증 처리 위치 변경

  HTTPAuthPlugin을 직접 구현해 사용하는 경우에 적용됩니다.

조치 필요 (2)

• securityhighgo 도구 체인 버전 업데이트

  표준 라이브러리 취약점 GO-2026-4603 및 GO-2026-4601에 대응하도록 go 도구 체인 버전을 1.25.8로 업데이트했습니다.

• breaking튜플 문자열 검증 조건 강화

  튜플 문자열에 유니코드 제어 문자나 널 바이트가 하나라도 있으면 튜플 검증이 실패합니다.

조치 필요 (2)

• securityhighGo v1.25.5 업데이트

  Go를 v1.25.5로 업데이트해 CVE-2025-61727과 CVE-2025-61729를 수정했습니다.

• breakingIssuer 참조 kind와 group 기본값 복원

  issuer 참조의 kind와 group에 적용되는 기본값을 0.19.0 이전 동작으로 되돌렸습니다.

조치 필요 (1)

• securityhighGHSA-9h8m-3fm2-qjrq 대응 의존성 수정

  go.opentelemetry.io deps를 수정해 GHSA-9h8m-3fm2-qjrq에 대응했습니다.

조치 필요 (1)

• securitycriticalgrpc-health-probe 버전 갱신

  grpc-health-probe가 v0.4.45로 업데이트되었습니다. 이 변경은 CVE-2025-68121에 대응합니다.

조치 필요 (1)

• securitycriticalCVE-2025-68121 보안 취약점 수정

  CVE-2025-68121 수정이 반영됐습니다.

조치 필요 (2)

• security보안 취약점 수정

  보안 취약점을 수정했습니다.

• securitykubectl image 업데이트

  kubectl image를 업데이트해 CVE를 수정했습니다.

영향 확인 (2)

• breaking릴리스 빌드의 소스 설정 경로 표시 제한

  디버그 빌드를 사용하는 경우에 적용됩니다.

• breakingDEB/RPM 패키지 서명 키 교체

  DEB/RPM 패키지를 사용하는 경우에 적용됩니다.

영향 확인 (2)

• breakingenclave-cc 기반 기밀 컴퓨팅 지원 제거

  enclave-cc를 사용 중인 경우에 해당합니다.

• breakingSecure Comms mode 지원 제거

  Secure Comms mode를 구성한 경우에 해당합니다.

영향 확인 (2)

• security무차별 대입 공격 탐지 설정 취약점 수정

  무차별 대입 공격 탐지 설정을 구성한 경우에 적용됩니다.

• breakingPostgreSQL 13.x 지원 제거

  PostgreSQL 13.x에 의존하는 경우에 적용됩니다.