릴리스

조치 필요 (1)

• breakingJWT 크기 1MB 제한

  JWT 크기 제한이 이제 1MB로 설정됩니다.

조치 필요 (2)

• securitycriticalgoogle.golang.org/grpc를 v1.79.3으로 업데이트

  google.golang.org/grpc가 v1.79.3으로 업데이트되었습니다. 이 버전은 CVE-2026-33186과 GHSA-p77j-4mvh-x3m3에 대응하지만, Contour는 해당 취약점의 영향을 받지 않습니다.

• securityEnvoy를 v1.35.9로 업데이트

  보안 취약점을 해결한 v1.35.9로 Envoy 버전이 올라갔습니다.

조치 필요 (2)

• securitycriticalgoogle.golang.org/grpc v1.79.3 업데이트

  google.golang.org/grpc를 v1.79.3으로 업데이트했습니다. 이 버전은 CVE-2026-33186 및 GHSA-p77j-4mvh-x3m3와 관련된 보안 권고를 반영하지만, 해당 취약점은 Contour에 영향을 주지 않습니다.

• securityEnvoy v1.34.13 업데이트

  보안 취약점을 해결하고 안정성을 높이기 위해 Envoy를 v1.34.13으로 업데이트했습니다.

조치 필요 (2)

• securitycriticalgoogle.golang.org/grpc 버전 업데이트

  google.golang.org/grpc가 v1.79.3으로 업데이트됩니다. 이 버전은 CVE-2026-33186 및 GHSA-p77j-4mvh-x3m3에 대응하며, Contour는 해당 취약점의 영향을 받지 않습니다.

• securityEnvoy 버전 업데이트

  Envoy가 v1.34.13으로 업데이트됩니다.

영향 확인 (2)

• breakingHelm 저장소의 OCI 전환

  Helm을 사용하는 경우에 적용됩니다.

• breaking공급업체 중립 API 그룹과 사용자 제어 마이그레이션 도입

  k8gb.absa.oss/v1beta1을 사용하는 경우에 적용됩니다.

조치 필요 (1)

• breakingPod 보안 적용 기본값 변경

  Pod 보안 적용 기본값이 baseline으로 변경됩니다.

영향 확인 (1)

• breaking카탈로그 엔터티 페이지 레이아웃 헤더 비활성화

  새 프런트엔드 시스템에서 카탈로그 엔터티 페이지를 사용하는 경우에 적용됩니다.

조치 필요 (2)

• security프로젝트 생성 전 발급된 bearer tokens 거부

  프로젝트 생성 전에 발급된 bearer tokens를 거부하도록 보안 결함을 수정했습니다.

• breakingwebhook event check의 9443 포트 제거

  webhook event check에서 Harbor IP의 9443 포트를 제거했습니다.

조치 필요 (3)

• securityhighGo 툴체인 1.25.8 업데이트

  저장소의 모든 모듈과 Docker 이미지에서 Go 툴체인을 1.24.13에서 1.25.8로 업데이트했습니다.

• securitymediumhtml/template URL 이스케이프 누락 수정

  html/template에서 meta content attribute의 action URL을 이스케이프하지 않던 문제를 수정했습니다. 조작된 URL을 통한 XSS 가능성이 줄어듭니다.

• securitylowos의 FileInfo 경계 이탈 수정

  os의 FileInfo가 Root 경계를 벗어날 수 있던 문제를 수정했습니다. 이로 인해 의도한 디렉터리 밖의 파일에 접근할 가능성이 있었습니다.

영향 확인 (14)

• breaking새 앱의 기본 프런트엔드 시스템 변경

  적용 대상이 릴리스 노트에 명시되지 않았습니다.

• breakingcreate-app 플래그 이름 변경

  create-app에서 --next 플래그를 사용하는 경우에 적용됩니다.

• breaking사용 중단 예정 타입과 옵션 제거

  사용 중단 예정 타입과 옵션을 사용하는 경우에 적용됩니다.

• 릴리스 페이지에 11건 더

영향 확인 (1)

• breaking네이티브가 아닌 아키텍처의 기본 하이퍼바이저로 QEMU 사용

  네이티브가 아닌 아키텍처에서 QEMU가 실행되는 경우에 적용됩니다.

조치 필요 (1)

• securityhighCVE-2025-47913 대응을 위한 암호화 모듈 교체

  CVE-2025-47913에 대응하도록 golang/x/crypto 모듈을 openshift/golang-crypto 패치 모듈로 가리키는 replace 지시문을 추가했습니다.

조치 필요 (13)

• securitycriticalh11 잘못된 본문 처리 수정

  형식이 잘못된 본문을 허용하던 h11 문제인 CVE-2025-43859를 수정했습니다.

• securityhighstarlette 버전 고정

  starlette 버전을 0.49.1로 고정해 CVE-2025-62727을 수정했습니다.

• securityhighlightgbm 버전 업데이트

  lightgbm 버전을 4.6.0으로 업데이트해 CVE-2024-43598을 수정했습니다.

• securityhigh압축 해제 링크 수 제한 문제 수정

  압축 해제 과정에서 링크 수가 제한 없이 늘어나는 CVE-2025-66418 문제를 수정했습니다.

• securityhighexpr-lang/expr 업데이트

  expr-lang/expr를 v1.17.7로 업데이트해 CVE-2025-68156을 수정했습니다.

• securityhighcryptography subgroup attack 수정

  cryptography의 subgroup attack과 관련된 CVE-2026-26007을 수정했습니다.

• securityhighpython-multipart 임의 파일 쓰기 수정

  python-multipart의 임의 파일 쓰기 문제인 CVE-2026-24486을 수정했습니다.

• securitymedium여러 CVE 수정

  CVE-2025-22872, CVE-2025-47914, CVE-2025-58181을 수정했습니다.

• securityhttps.go 경로 탐색 방지

  https.go에서 경로 탐색이 발생하지 않도록 수정했습니다.

• security여러 CVE 관련 문제 수정

  여러 CVE 관련 문제를 수정했습니다.

• securityAIOHTTP 자동 압축 해제 문제 수정

  AIOHTTP의 HTTP 파서에서 auto_decompress 기능을 악용한 zip bomb 문제를 수정했습니다.

• securityextractTarFiles 경로 탐색 수정

  extractTarFiles에서 발생하는 경로 탐색 취약점을 수정했습니다.

• breakingminio를 seaweedfs로 교체

  minio를 seaweedfs로 교체했습니다.

조치 필요 (2)

• securityhighgo 도구 체인 버전 업데이트

  표준 라이브러리 취약점 GO-2026-4603 및 GO-2026-4601에 대응하도록 go 도구 체인 버전을 1.25.8로 업데이트했습니다.

• breaking튜플 문자열 검증 조건 강화

  튜플 문자열에 유니코드 제어 문자나 널 바이트가 하나라도 있으면 튜플 검증이 실패합니다.

조치 필요 (8)

• securityhighGRPC Netty Shaded 업데이트

  GRPC Netty Shaded를 업데이트해 CVE-2025-55163을 해결했습니다.

• securitymediumZookeeper 업데이트

  Zookeeper를 업데이트해 CVE-2024-47554를 해결했습니다.

• securitymediumNimbus Jose JWT 10.0.2 업데이트

  Nimbus Jose JWT를 10.0.2로 업데이트해 CVE-2025-53864를 해결했습니다.

• securitymediumNetty 4.1.130.Final 업데이트

  Netty를 4.1.130.Final로 업데이트해 CVE-2025-67735를 해결했습니다.

• securitymediumApache Log4J 2.25.3 업데이트

  Apache Log4J를 2.25.3으로 업데이트해 CVE-2025-68161을 해결했습니다.

• securitymediumVertx 4.5.24 업데이트

  Vertx를 4.5.24로 업데이트해 CVE-2026-1002를 해결했습니다.

• securitymediumJackson 업데이트

  Jackson을 업데이트해 GHSA-72hv-8253-57qq를 해결했습니다.

• securityVert.x와 Netty 업데이트

  Vert.x와 Netty를 업데이트해 0.45.x 브랜치의 CVE를 수정했습니다.

영향 확인 (1)

• breakingLinkerd Viz의 기본 파드 수집 범위 조정

  Linkerd Viz를 사용하는 경우에 적용됩니다.

영향 확인 (1)

• breakingDevice CRD 상태를 DeviceStatus CRD로 분리

  Device CRD를 사용하는 경우에 적용됩니다.

조치 필요 (2)

• securityhighGo v1.25.5 업데이트

  Go를 v1.25.5로 업데이트해 CVE-2025-61727과 CVE-2025-61729를 수정했습니다.

• breakingIssuer 참조 kind와 group 기본값 복원

  issuer 참조의 kind와 group에 적용되는 기본값을 0.19.0 이전 동작으로 되돌렸습니다.

영향 확인 (1)

• breaking클러스터 버전 라벨 형식 변경

  argocd.argoproj.io/auto-label-cluster-info와 argocd.argoproj.io/kubernetes-version을 설정한 경우에 적용됩니다.

영향 확인 (3)

• securityCVE-2026-29785 수정

  leafnode compression이 활성화된 경우에 적용됩니다.

• securityCVE-2026-27889 수정

  WebSockets가 활성화된 경우에 적용됩니다.

• breakingmax_conns에 0 설정 지원

  서버 설정에서 max_conns를 지정하는 경우에 적용됩니다.

조치 필요 (1)

• breakingpriorities 자료형 변경

  priorities의 자료형을 string에서 int32로 변경했습니다.

조치 필요 (1)

• breakingGo 1.25.7 요구 사항 적용

  코드베이스 전체에서 Go 버전을 일관되게 맞추고 Go 1.25.7을 요구합니다.

조치 필요 (2)

• securityhigh공개 보안 취약점 수정

  CVE-2026-27133 및 CVE-2026-27134와 관련된 공개 보안 취약점을 수정했습니다. 관련 권고 식별자는 GHSA-2qwx-rq6j-8r6j와 GHSA-6x85-j2f7-4xc5입니다.

• breakingServerSideApplyPhase1 기본 활성화

  ServerSideApplyPhase1 기능 게이트가 베타 단계로 올라갔으며, 이제 기본값이 활성화로 설정됩니다.

영향 확인 (4)

• breaking리소스 선택자의 namespace 검증 추가

  PropagationPolicy 또는 OverridePolicy를 사용하는 경우에 적용됩니다.

• breakingWorkloadAffinity의 중복 GroupByLabelKey 설정 제한

  WorkloadAffinity에 GroupByLabelKey를 설정하는 경우에 적용됩니다.

• breaking기본 Kubernetes 및 ETCD 이미지 업데이트

  적용 대상이 릴리스 노트에 명시되지 않았습니다.

• 릴리스 페이지에 1건 더

조치 필요 (9)

• security암호화 의존성 버전 갱신

  x/(net/sync/crypto)를 업데이트하고 dvsekhvalnov/jose2go 버전을 고정했습니다.

• securityGo 취약점 수정

  Go의 취약점을 수정했습니다.

• securityUID 검사 대상 제한

  UID 검사가 root만 확인하도록 바뀌었습니다.

• securityHTTP 경로 일치 수정과 invocation auto-registration 지원

  HTTP 경로 일치에서 발생하던 cardinality leak을 수정하고 invocation auto-registration을 지원합니다.

• securitygolang.org/x/crypto 업데이트

  golang.org/x/crypto를 업데이트했습니다.

• securitygithub.com/docker/docker 업데이트

  github.com/docker/docker를 업데이트했습니다.

• security보안 취약점 수정

  보안 취약점 수정이 반영되었습니다.

• securitygithub.com/coreos/go-oidc/v3 업데이트

  github.com/coreos/go-oidc/v3를 업데이트했습니다.

• securityNATS 취약점 수정

  NATS 취약점을 수정했습니다.

조치 필요 (1)

• securityhighGHSA-9h8m-3fm2-qjrq 대응 의존성 수정

  go.opentelemetry.io deps를 수정해 GHSA-9h8m-3fm2-qjrq에 대응했습니다.

영향 확인 (1)

• breaking/alerts 페이지의 펼쳐진 알림 주석 기본 숨김

  UI에서 /alerts 페이지를 사용하는 경우에 적용됩니다.

영향 확인 (1)

• breaking프로브 host 필드 값 제한

  프로브 설정에서 host 필드를 사용하는 경우에 적용됩니다.

영향 확인 (1)

• breaking프로브 host 필드 제한

  host를 설정한 경우 적용됩니다.

영향 확인 (1)

• breakingnvmeof 기본 게이트웨이 토폴로지 분산 제약 조건 추가

  nvmeof를 사용하는 경우 적용됩니다.

영향 확인 (1)

• breakingv1beta2 및 v2beta2 API 제거

  CRDs에서 Flux API v1beta2 또는 v2beta2를 사용하면 이 변경이 적용됩니다.

조치 필요 (1)

• securitycriticalgrpc-health-probe 버전 갱신

  grpc-health-probe가 v0.4.45로 업데이트되었습니다. 이 변경은 CVE-2025-68121에 대응합니다.

조치 필요 (1)

• securitycriticalCVE-2025-68121 보안 취약점 수정

  CVE-2025-68121 수정이 반영됐습니다.

조치 필요 (7)

• securitygolang.org/x/crypto v0.45.0 업데이트

  보안 수정으로 golang.org/x/crypto가 v0.45.0으로 업데이트되었습니다.

• securitygithub.com/go-chi/chi/v5 v5.2.4 업데이트

  보안 수정으로 github.com/go-chi/chi/v5가 v5.2.4로 업데이트되었습니다.

• securitygithub.com/sigstore/cosign/v3 v3.0.4 업데이트

  보안 수정으로 github.com/sigstore/cosign/v3가 v3.0.4로 업데이트되었습니다.

• securitygithub.com/theupdateframework/go-tuf/v2 v2.4.1 업데이트

  보안 수정으로 github.com/theupdateframework/go-tuf/v2가 v2.4.1로 업데이트되었습니다.

• securitygithub.com/sigstore/rekor v1.5.0 업데이트

  보안 수정으로 github.com/sigstore/rekor가 v1.5.0으로 업데이트되었습니다.

• securitygithub.com/sigstore/sigstore v1.10.4 업데이트

  보안 수정으로 github.com/sigstore/sigstore가 v1.10.4로 업데이트되었습니다.

• securitygithub.com/quic-go/quic-go v0.57.0 업데이트

  보안 수정으로 github.com/quic-go/quic-go가 v0.57.0으로 업데이트되었습니다.

영향 확인 (7)

• breakingcatalogProcessingExtensionPoint의 안정 내보내기 이동

  카탈로그에 사용자 정의 프로세서와 엔터티 제공자를 등록할 때 catalogProcessingExtensionPoint를 사용하는 경우에 적용됩니다.

• breakingAPI 재정의가 오류로 거부됨

  적용 대상이 릴리스 노트에 명시되지 않았습니다.

• breakingauth.experimentalDynamicClientRegistration.tokenExpiration 설정 제거

  auth.experimentalDynamicClientRegistration.tokenExpiration을 설정한 경우에 적용됩니다.

• 릴리스 페이지에 4건 더

조치 필요 (1)

• securityhighcgo 바이너리 코드 삽입 취약점 수정

  Go 주석과 C/C++ 주석을 다르게 해석하던 문제로 생성된 cgo 바이너리에 코드를 몰래 삽입할 수 있던 CVE-2025-61732 취약점을 수정했습니다.

조치 필요 (1)

• breakingistiod 메모리 제한 자동 설정

  istiod가 automemlimit 라이브러리를 사용해 GOMEMLIMIT을 메모리 제한의 90%로 자동 설정합니다. OOM 종료 위험을 낮추면서 성능을 유지합니다.

영향 확인 (1)

• breakingReceive 셔플 샤딩에 일관 해싱 적용

  Receive를 사용하는 경우에 적용됩니다.

영향 확인 (1)

• breakingSchedulerAsyncAPICalls 기능 게이트 비활성화

  SchedulerAsyncAPICalls 기능 게이트를 사용하는 경우에 적용됩니다.

조치 필요 (1)

• security리소스 주석의 줄바꿈 및 제어 문자 검증 수정

  리소스 주석 검증이 줄바꿈과 제어 문자를 거부하도록 수정했습니다. 템플릿 렌더링으로 Pod 사양에 컨테이너를 삽입하는 경로를 차단합니다. (Issue #58889)