릴리스

조치 필요 (1)

• security계정 탈취 전 단계 공격 문제 수정

  계정 탈취 전 단계의 공격으로 이어질 수 있는 문제를 수정했습니다.

조치 필요 (1)

• security취약한 서드파티 의존성 업그레이드

  TiKV 8.5의 취약한 서드파티 의존성을 업그레이드하고, 업스트림과 필요한 호환성 수정 사항을 맞췄습니다.

영향 확인 (5)

• securitycert-manager-edit 권한에서 내부 리소스 조작 제거

  cert-manager-edit 집계 ClusterRole을 사용한다면 이 변경이 적용됩니다.

• breakingAPI에서 ObjectReference 제거

  API에서 ObjectReference를 사용한다면 이 변경이 적용됩니다.

• breakingPrometheus 모니터링 관련 Helm 값 제거

  prometheus.servicemonitor.targetPort, prometheus.servicemonitor.path 또는 prometheus.podmonitor.path를 설정한다면 이 변경이 적용됩니다.

• 릴리스 페이지에 2건 더

조치 필요 (1)

• securitycriticalCVE-2026-33186 권한 우회 취약점 수정

  thanos-community/grpc-go 포크를 갱신해 잘못된 :path 헤더를 이용한 권한 우회 취약점 CVE-2026-33186을 수정했습니다.

영향 확인 (1)

• breakingprotobuf 최소 지원 버전 상향

  Python을 사용하는 경우에 적용됩니다.

영향 확인 (4)

• breakingBootstrap 서비스 제거

  설정에서 Bootstrap 서비스를 사용한다면 적용됩니다.

• breakingdynamicZones 설정 제거

  설정에서 dynamicZones를 사용한다면 적용됩니다.

• breakingdoFinalize 기본값 변경

  ZoneDelegation 마무리 처리에 doFinalize를 사용한다면 적용됩니다.

• 릴리스 페이지에 1건 더

영향 확인 (1)

• breakinggRPC Python 릴리스 1.82.0의 PyPI 제거

  gRPC Python release 1.82.0을 사용하는 경우에 적용됩니다.

조치 필요 (1)

• security블롭 마운트와 토큰 검증 강화

  블롭 마운트 원본 프로젝트를 검증하고, iat가 없는 토큰을 거부하도록 보안 검증이 강화됩니다.

조치 필요 (2)

• securitycriticalUI sanitize-html 업데이트로 사이트 간 스크립팅 취약점 수정

  UI에서 sanitize-html을 업데이트해 사이트 간 스크립팅 취약점 CVE-2026-44990을 수정했습니다.

• breaking서드파티 라이선스 제공 방식 변경

  서드파티 npm 의존성 라이선스를 Prometheus 바이너리에 포함하고 /assets/third-party-licenses.txt에서 제공하도록 바꿨습니다. 릴리스 tarball과 컨테이너 이미지에 함께 배포하던 npm_licenses.tar.bz2 아카이브는 더 이상 사용하지 않습니다.

조치 필요 (1)

• securityhighquinn-proto 보안 수정

  RUSTSEC-2026-0185에 해당하는 quinn-proto 수정이 반영됐습니다.

영향 확인 (1)

• breaking더 이상 유지되지 않는 Flux API 두 가지 삭제

  CRD에서 image.toolkit.fluxcd.io/v1beta2 또는 notification.toolkit.fluxcd.io/v1beta2 API를 사용하는 경우에 해당합니다.

영향 확인 (1)

• breakingSecurityException CRD 제거

  SecurityException CRD를 사용하는 경우에 적용됩니다.

영향 확인 (3)

• securityLeaf 연결의 Nats-Trace-Dest 권한 검사 우회 수정

  Leaf 연결을 사용하는 경우에 해당합니다.

• security부분 CONNECT 패킷으로 인한 사전 인증 메모리 고갈 수정

  MQTT를 사용하는 경우에 해당합니다.

• breaking모니터링 엔드포인트의 JSONP 콜백 지원 제거

  JSONP 콜백 지원을 사용하는 경우에 해당합니다.

영향 확인 (1)

• breakingJSONP 콜백 지원 제거

  JSONP 콜백 지원을 사용하는 경우에 적용됩니다.

영향 확인 (3)

• breakingKafka 4.1.x 지원 종료

  Kafka 4.1.x를 사용하면 이 변경이 적용됩니다.

• breakingTLS 인증 및 truststore 형식 변경

  KafkaBridge 또는 KafkaMirrorMaker2에서 TLS 인증이나 TLS truststore를 사용하면 이 변경이 적용됩니다.

• breakingentity-operator healthcheck 포트 이름 변경

  entity-operator healthcheck 포트를 사용하면 이 변경이 적용됩니다.

영향 확인 (1)

• breakingUser-Agent 헤더 형식 변경

  서버 측 로그 필터나 WAF 규칙에서 이전 문자열을 완전히 일치하도록 설정한 경우에 적용됩니다.

영향 확인 (2)

• breakingin_monitor_agent의 기본 정보 표시 방식 변경

  in_monitor_agent가 실행되는 경우에 적용됩니다.

• breakingin_debug_agent의 기본 요청 허용 범위 변경

  in_debug_agent가 실행되는 경우에 적용됩니다.

조치 필요 (1)

• breaking/healthy 엔드포인트로 헬스 체크 통합

  헬스 체크를 /healthy 엔드포인트로 통합했습니다.

조치 필요 (12)

• securityhighCVE-2026-47220 충돌 버그 수정

  CVE-2026-47220와 관련된 충돌 버그를 수정했습니다.

• securityhighCVE-2026-48044 메모리 고갈 취약점 수정

  CVE-2026-48044와 관련된 메모리 고갈 취약점을 수정했습니다.

• securityhighJSON 중첩 깊이 제한

  envoy.reloadable_features.limit_json_parser_nesting_depth와 관련해 JSON 중첩 깊이를 1000으로 제한했습니다.

• securitymediumCVE-2026-47692 버그 수정

  CVE-2026-47692와 관련된 버그를 수정했습니다.

• securitymediumCVE-2026-47205 메모리 재사용 충돌 수정

  CVE-2026-47205와 관련된 메모리 해제 후 재사용으로 인한 충돌을 수정했습니다.

• securitymedium필터 해제 후 비동기 토큰 콜백 호출 수정

  필터가 해제된 뒤 비동기 토큰 변경 콜백이 호출되던 버그를 수정했습니다.

• securitymedium주체 대체 이름 검증 수정

  Envoy가 주체 대체 이름(SAN)을 검증하지 못하던 문제를 수정했습니다.

• securitymediumCVE-2026-47204 충돌 및 메모리 재사용 수정

  CVE-2026-47204와 관련된 충돌 및 메모리 해제 후 재사용 문제를 수정했습니다.

• securitymedium쿼리 이름 길이 검사 수정

  쿼리 이름 길이에 대한 정상성 검사를 수정했습니다.

• securitymedium패딩 오라클 문제 해결

  패딩 오라클 문제를 해결했습니다.

• securityGHSA-p7c7-7c47-pwch 서비스 거부 취약점 수정

  GHSA-p7c7-7c47-pwch와 관련된 서비스 거부 취약점을 수정했습니다.

• breaking메시지 로그 수준 변경

  메시지를 warn 수준으로 기록합니다.

조치 필요 (16)

• securityhighcom_github_wasmtime 업데이트

  wasm에서 com_github_wasmtime을 업데이트해 CVE-2026-47261을 해결했습니다.

• securityhighREQUESTED_SERVER_NAME 충돌 수정

  REQUESTED_SERVER_NAME 처리에서 발생하던 충돌을 수정했습니다. 관련 권고는 CVE-2026-47220 및 GHSA-j9wh-4qfm-wf2v입니다.

• securityhighzstd RLE 압축 폭탄 처리 수정

  zstd RLE 압축 폭탄 문제를 수정했습니다. 관련 권고는 CVE-2026-48044 및 GHSA-m3p9-47wh-88wg입니다.

• securityhigh중첩 JSON 소멸 시 스택 넘침 수정

  중첩 수준이 높은 JSON을 소멸할 때 스택이 넘치던 문제를 수정했습니다. 관련 권고는 CVE-2026-48042 및 GHSA-f24p-rxw2-g6pv입니다.

• securityhighHTTP/3에서 HTTP/1로 이어지는 요청 밀반입 수정

  0이 아닌 Content-Length를 가진 헤더 전용 요청으로 HTTP/3에서 HTTP/1 요청 밀반입이 가능하던 문제를 수정했습니다. 관련 권고는 CVE-2026-48743 및 GHSA-8phg-2h2q-jgxf입니다.

• securitymedium경로별 Authz 처리 충돌 수정

  경로별 Authz 처리에서 발생하던 충돌을 수정했습니다. 관련 권고는 CVE-2026-47205 및 GHSA-mvh9-767w-x47j입니다.

• securitymedium단일 gRPC 메시지의 ext_proc 응답 처리 수정

  하나의 gRPC 메시지에 담긴 ext_proc 응답 처리 문제를 수정했습니다. 관련 권고는 CVE-2026-47207 및 GHSA-68cv-hq5f-g6xv입니다.

• securitymedium라우터 내부 리디렉션 충돌 수정

  라우터 내부 리디렉션에서 발생하던 충돌을 수정했습니다. 관련 권고는 CVE-2026-47221 및 GHSA-rcff-gw58-pjpr입니다.

• securitymediumOAuth2 코드 검증자 패딩 오라클 수정

  OAuth2 코드 검증자의 패딩 오라클 문제를 수정했습니다. 관련 권고는 CVE-2026-47775 및 GHSA-396h-jpq4-vc7p입니다.

• securitymediumgrpc_stats 필터 세그멘테이션 오류 수정

  direct_response 경로로 향하는 Connect 프로토콜 요청에서 grpc_stats 필터가 세그멘테이션 오류를 일으키던 문제를 수정했습니다. 관련 권고는 CVE-2026-47204 및 GHSA-3jxh-8p6x-7pf6입니다.

• securitymediumPROXY Protocol v2 헤더 생성기 데이터 유출 문제 수정

  PROXY Protocol v2 헤더 생성기가 "skipped" TLV를 내보내 업스트림 애플리케이션 스트림으로 공격자가 제어하는 65KB 데이터가 넘어가던 문제를 수정했습니다. 관련 권고는 CVE-2026-47692 및 GHSA-wh36-hm39-mm3r입니다.

• securitymediumTLS SAN 잘림 인증 우회 수정

  TLS SAN 잘림 과정에서 삽입된 NUL로 인증 우회가 가능하던 문제를 수정했습니다. 관련 권고는 CVE-2026-47778 및 GHSA-f8x4-rw5x-f3r7입니다.

• securitymediumOAuth2 필터의 지연된 비동기 토큰 완료 처리 수정

  스트림이 종료된 뒤 OAuth2 필터의 비동기 토큰 완료가 발생해 UAF 또는 충돌 위험을 일으키던 문제를 수정했습니다. 관련 권고는 CVE-2026-48090 및 GHSA-3cj2-c63f-q26f입니다.

• securitymediumDNS UDP 필터 비정상 종료 수정

  DNS UDP 필터에서 프로세스가 비정상적으로 종료되던 문제를 수정했습니다. 관련 권고는 CVE-2026-48497 및 GHSA-j6g2-wf95-q66q입니다.

• securitymediumTcpStatsdSink 힙 버퍼 넘침 수정

  TcpStatsdSink에서 힙 버퍼가 넘치던 문제를 수정했습니다. 관련 권고는 CVE-2026-48706 및 GHSA-7q3f-gwg7-j8g4입니다.

• securityQPACK 차단 디코딩을 이용한 HTTP/3 서비스 거부 수정

  QPACK 디코딩이 차단되는 상황을 이용한 HTTP/3 스택 서비스 거부 문제를 수정했습니다. 관련 권고는 GHSA-p7c7-7c47-pwch입니다.

조치 필요 (1)

• securityhighwasm com_github_wasmtime 의존성 갱신

  CVE-2026-47261을 해결하기 위해 wasm의 com_github_wasmtime 의존성을 올렸습니다.

조치 필요 (1)

• securityhigh중첩된 JSON 소멸 시 스택 오버플로 수정

  깊게 중첩된 JSON을 소멸할 때 발생하던 스택 오버플로를 수정했습니다. 관련 권고는 CVE-2026-48042와 GHSA-f24p-rxw2-g6pv입니다.

조치 필요 (1)

• securityhigh중첩 JSON 소멸 시 스택 오버플로 수정

  중첩이 깊은 JSON을 소멸할 때 스택 오버플로가 발생하는 문제를 수정했습니다. 관련 권고는 CVE-2026-48042와 GHSA-f24p-rxw2-g6pv입니다.

영향 확인 (9)

• breakingconfighttp.framedSnappy 기능 게이트 제거

  confightp.framedSnappy를 사용하는 경우에 해당합니다.

• breakingconfigoptional.AddEnabledField 기능 게이트 제거

  configoptional.AddEnabledField를 사용하는 경우에 해당합니다.

• breakingconfmap.newExpandedValueSanitizer 기능 게이트 제거

  confmap.newExpandedValueSanitizer를 사용하는 경우에 해당합니다.

• 릴리스 페이지에 6건 더

영향 확인 (2)

• breakingKruise API 버전 업그레이드

  매니페스트에서 나열된 Kruise API를 v1alpha1로 사용하는 경우에 적용됩니다.

• breaking숫자 문자열 검증 규칙 변경

  maxUnavailable 또는 maxSurge에 숫자 문자열 값을 설정하는 경우에 적용됩니다.

영향 확인 (5)

• securitycriticalcontainerd 보안 취약점 수정

  containerd를 사용하는 경우에 적용됩니다.

• securityhighQEMU 게스트 에이전트 소켓 권한 상승 취약점 수정

  게스트 에이전트 소켓을 사용하는 QEMU VM을 실행하는 경우에 적용됩니다.

• breaking비Linux 게스트의 containerd.user 기본값 변경

  Linux가 아닌 게스트를 실행하는 경우에 적용됩니다.

• 릴리스 페이지에 2건 더

조치 필요 (2)

• securityhighCVE-2026-55225 취약점 수정

  CVE-2026-55225 취약점이 수정되었습니다.

• securitymediumCVE-2026-55226 취약점 수정

  CVE-2026-55226 취약점이 수정되었습니다.

조치 필요 (1)

• securitypostgres 크레이트 의존성 업데이트

  postgres 크레이트를 RUSTSEC-2026-0178, RUSTSEC-2026-1079, RUSTSEC-2026-0180에 대응하도록 업데이트했습니다.

영향 확인 (2)

• breaking오래된 MDS and RGW pdbs 삭제

  MDS and RGW pdbs를 설정한 경우에 적용됩니다.

• breakingcsi-addons 기본 비활성화

  csi-addons를 활성화한 경우에 적용됩니다.

영향 확인 (2)

• breakingCeph 기본 버전을 19.2.4로 변경

  Ceph를 사용하는 경우에 적용됩니다.

• breaking오래된 MDS 및 RGW PDB 삭제

  적용 대상이 릴리스 노트에 명시되지 않았습니다.

조치 필요 (2)

• securityinfinispan 버전 업그레이드

  알려진 취약점에 대응하기 위해 infinispan이 ^0.12.0에서 ^0.13.0으로 업그레이드됐습니다.

• breakingjson-schema 런타임 의존성 제거

  사용되지 않는 json-schema 런타임 의존성이 제거됐습니다.

영향 확인 (3)

• security선택자가 없는 ipBlock 규칙의 네임스페이스 우회 수정

  ipBlock을 설정한 경우에 해당합니다.

• breakingloadBalancer.standalone Helm 옵션 제거

  loadBalancer.standalone을 설정한 경우에 해당합니다.

• breakingl2podAnnouncements.interface Helm 값 제거

  l2podAnnouncements.interface를 설정하고 L2 파드 알림을 활성화한 경우에 해당합니다.

영향 확인 (1)

• breakingExternalWorkloads 엔드포인트를 동일 네임스페이스로 제한

  ExternalWorkloads를 사용하는 경우에 적용됩니다.

영향 확인 (1)

• breaking내부 컨테이너의 기본 리소스 요청과 제한 적용 중단

  default-container-resource-requirements를 설정하지 않은 경우에 적용됩니다.

영향 확인 (1)

• breakingTekton Resolvers의 해석 대상 제한

  Tekton Resolvers를 사용하는 경우에 적용됩니다.

조치 필요 (1)

• securitycriticalgoogle.golang.org/grpc 보안 업데이트

  google.golang.org/grpc를 1.77.0에서 1.79.3으로 업데이트했습니다. gRPC-Go의 :path 헤더에서 선행 슬래시가 누락될 때 발생하는 권한 우회 문제인 CVE-2026-33186을 수정합니다.

조치 필요 (1)

• securitycriticalgRPC 의존성의 CVE-2026-33186 수정

  google.golang.org/grpc에 CVE-2026-33186 수정 사항이 반영되었습니다.

조치 필요 (1)

• breaking파드 레이블 제거

  파드 레이블을 제거했습니다.

조치 필요 (2)

• breakingmodel-registry UI 기본 활성화

  model-registry의 UI가 기본으로 활성화됩니다.

• breakingdex 복제본 2개 실행

  dex가 sticky service 없이 복제본 2개로 실행됩니다.

조치 필요 (1)

• securityhighazure-core>=1.38.0 버전 고정

  azure-core>=1.38.0으로 버전을 고정해 CVE-2026-21226에 대응했습니다.