릴리스

조치 필요 (2)

• securitycriticalgolang.org/x/net 및 OpenTelemetry 의존성 갱신

  golang.org/x/net을 v0.55.0으로, OpenTelemetry를 v1.43.0으로 올려 보고된 보안 권고에 대응했습니다. 관련 식별자는 GO-2026-5026, GO-2026-4918, GO-2026-4985입니다.

• securityUI 의존성을 수정된 버전으로 갱신

  UI 의존성인 react-router-dom, vitest, vite, postcss를 보안 권고가 해결된 버전으로 갱신했습니다.

영향 확인 (3)

• securitymediumMySQL backend 스키마 마이그레이션 008 추가

  MySQL backend를 사용하면 적용됩니다.

• security사전 공유 키 인증의 일정 시간 비교 적용

  사전 공유 키 인증을 사용하면 적용됩니다.

• securityOIDC 발급자와 대상 설정 검증 강화

  authn.method를 oidc로 설정한 경우 적용됩니다.

영향 확인 (3)

• security선택자가 없는 ipBlock 규칙의 네임스페이스 우회 수정

  ipBlock을 설정한 경우에 해당합니다.

• breakingloadBalancer.standalone Helm 옵션 제거

  loadBalancer.standalone을 설정한 경우에 해당합니다.

• breakingl2podAnnouncements.interface Helm 값 제거

  l2podAnnouncements.interface를 설정하고 L2 파드 알림을 활성화한 경우에 해당합니다.

조치 필요 (1)

• securityhighazure-core>=1.38.0 버전 고정

  azure-core>=1.38.0으로 버전을 고정해 CVE-2026-21226에 대응했습니다.

조치 필요 (8)

• securitymediumgolang.org/x/image 보안 업데이트

  GO-2026-4962에 대응하기 위해 golang.org/x/image를 v0.39.0으로 올렸습니다.

• securitydurabletask-go 및 pgx 보안 업데이트

  durabletask-go를 v0.12.1로 올리고 pgx를 업데이트해 취약점을 해결했습니다.

• breakingWorkflowsRemoteActivityReminder 기본 활성화

  WorkflowsRemoteActivityReminder가 기본으로 활성화됩니다. 앱 간 워크플로 활동 결과는 기본적으로 스케줄러 알림으로 전달됩니다.

• breakingHotReload 기본 활성화

  HotReload가 기본으로 활성화되며, 컴포넌트, 구독, MCPServers, Configurations, HTTPEndpoints, Resiliencies, WorkflowAccessPolicies가 기본적으로 자동 다시 로드됩니다.

• breaking사이드카 프로브 기본 동작 변경

  사이드카 프로브 기본값이 바뀌었습니다. 라이브니스 프로브는 kubelet이 다시 시작하기 전까지 약 230초 동안 지연을 견디며, 레디니스 프로브는 더 빠르게 반응합니다.

• breakingHotReload 기본 활성화

  HotReload가 기본적으로 켜집니다.

• breaking라이브니스 및 레디니스 프로브 기본값 조정

  라이브니스 프로브의 허용 범위를 넓히고 레디니스 프로브의 기본값을 더 엄격하게 조정했습니다.

• breaking사이드카 프로브 기본값 변경

  사이드카 프로브 기본값이 바뀌었습니다. 라이브니스는 kubelet이 다시 시작하기 전까지 약 230초를 허용하고, 레디니스는 컨트롤 플레인에서 약 3초, daprd에서 약 5초로 더 엄격해졌습니다.

영향 확인 (3)

• securityAlertmanager 및 Store Gateway 상태 페이지의 저장형 XSS 수정

  Alertmanager 또는 Store Gateway를 실행하는 경우에 적용됩니다.

• security네이티브 히스토그램 protobuf 크기 제한

  네이티브 히스토그램을 사용하는 경우에 적용됩니다.

• breakingParseProtoReader 및 OTLP 수집 경로의 압축 해제 크기 제한

  OTLP 수집 경로를 사용하는 경우에 적용됩니다.

조치 필요 (1)

• securityhighnghttp2 취약점 패치 적용

  nghttp2에 CVE-2026-27135 패치를 적용했습니다.

조치 필요 (2)

• securityhighlodash 코드 삽입 취약점 수정

  CVE-2026-4800에 해당하는 lodash의 코드 삽입 취약점을 수정했습니다.

• securitymediumNetty HTTP/1.0 스머글링 정제 우회 수정

  CVE-2026-42581에 해당하는 Netty의 HTTP/1.0 TE+CL 공존으로 인한 스머글링 정제 우회 문제를 수정했습니다.

조치 필요 (1)

• securityhighnghttp2 보안 패치 적용

  nghttp2의 CVE-2026-27135 패치를 적용했습니다.

조치 필요 (1)

• securityhighnghttp2 보안 패치 반영

  http2에 nghttp2의 CVE-2026-27135 패치를 반영했습니다.

조치 필요 (1)

• securityhighnghttp2 보안 패치 적용

  http2에 CVE-2026-27135에 대한 nghttp2 패치를 적용했습니다.

영향 확인 (7)

• security리디렉션 시 인증 헤더 제거

  적용 대상이 릴리스 노트에 명시되지 않았습니다.

• breaking63자를 초과하는 ScaledObject 이름 거부

  ScaledObject 이름이 63자를 넘는 경우에 적용됩니다.

• breaking양수가 아닌 unprocessedEventThreshold 거부

  양수가 아닌 unprocessedEventThreshold를 설정한 경우에 적용됩니다.

• 릴리스 페이지에 4건 더

조치 필요 (3)

• security보안 권고 대응을 위한 의존성 갱신

  dependencies를 보안 권고 해결을 위해 갱신했습니다.

• securityEnvFrom 정리로 비밀 이름 노출 방지

  removeContainersData에서 EnvFrom을 비워 비밀 이름이 노출되지 않도록 수정했습니다.

• security컨테이너 데이터 제거 시 Env[].ValueFrom 정리

  removeContainersData와 removeEphemeralContainersData에서 Env[].ValueFrom을 비우도록 수정했습니다.

영향 확인 (1)

• securitySentry OIDC 디스커버리의 전달 호스트 검증 제한

  Sentry OIDC를 사용하는 경우에 적용됩니다.

영향 확인 (1)

• securityAzure IMDS 노드 증명 문서 검증 오류 수정

  azure_imds 서버 노드 증명 플러그인을 사용하는 경우에 적용됩니다.

영향 확인 (1)

• securityazure_imds 노드 어테스테이션 인증서 검증 수정

  azure_imds 서버 노드 어테스터 플러그인을 사용하는 경우에 적용됩니다.

조치 필요 (1)

• securitycriticalgolang.org/x/net 업데이트

  golang.org/x/net을 v0.55.0으로 업데이트했습니다. 이 변경은 CVE-2026-39821과 관련됩니다.

조치 필요 (1)

• breaking동시 fgprof 프로파일 실행 제한

  동시에 실행되는 fgprof 프로파일을 API에서 거부합니다.

영향 확인 (1)

• securitymediumredoc/dompurify 의존성 v3.4.0 업데이트

  redoc/dompurify를 /ui에서 사용하는 경우에 적용됩니다.

조치 필요 (1)

• breakinggRPC server support 제거

  gRPC server support가 제거되었습니다.

조치 필요 (1)

• securitygolang.org/x/crypto 모듈 업데이트

  golang.org/x/crypto 모듈을 v0.52.0으로 업데이트했습니다.

조치 필요 (6)

• securitygo.opentelemetry.io/otel 버전 상향

  보안 업데이트로 go.opentelemetry.io/otel 버전이 v1.41.0으로 올라갔습니다.

• securitygithub.com/in-toto/in-toto-golang 버전 상향

  보안 업데이트로 github.com/in-toto/in-toto-golang 버전이 v0.11.0으로 올라갔습니다.

• securitygithub.com/go-git/go-git/v5 버전 상향

  보안 업데이트로 github.com/go-git/go-git/v5 버전이 v5.19.0으로 올라갔습니다.

• securityGo 버전 1.25.10으로 상향

  표준 라이브러리 CVE를 수정하기 위해 Go 버전이 1.25.10으로 올라갔습니다.

• securitygithub.com/go-git/go-git/v5 버전 v5.19.1 적용

  보안 업데이트로 github.com/go-git/go-git/v5 버전이 v5.19.1으로 다시 올라갔습니다.

• securitygolang.org/x/crypto 버전 상향

  보안 업데이트로 golang.org/x/crypto 버전이 v0.52.0으로 올라갔습니다.

조치 필요 (2)

• securityModule Federation packages 보안 업데이트

  알려진 취약점에 대응하기 위해 Module Federation packages가 v2.3.3으로 업그레이드되었습니다.

• breaking@remixicon/react 버전 제한

  라이선스 변경에 따라 @remixicon/react 의존성이 4.9.0 미만 버전으로 제한됩니다.

조치 필요 (6)

• securityhighHTTP/2 CONTINUATION 프레임 플러딩 서비스 거부 수정

  CVE-2026-33871과 관련된 HTTP/2 CONTINUATION 프레임 플러딩으로 인한 서비스 거부 취약점을 수정했습니다.

• securityhigh청크 확장 파싱을 이용한 HTTP 요청 밀수 수정

  CVE-2026-33870에 해당하는 RFC 위반과 청크 확장 인용 문자열 파싱을 이용한 HTTP 요청 밀수 취약점을 수정했습니다.

• securityhighbouncycastle 관련 취약점 수정

  bouncycastle와 관련된 CVE-2026-0636, CVE-2026-3505, CVE-2026-5598을 수정했습니다.

• securityhigh리디렉션 URI 검증 우회 수정

  리디렉션 URI 검증을 우회할 수 있던 CVE-2026-7504를 수정했습니다.

• securitymediumbcpkix 모듈의 취약한 암호 알고리즘 사용 수정

  CVE-2026-5588과 관련된 Bouncy Castle Crypto Package For Java의 bcpkix 모듈 내 취약하거나 위험한 암호 알고리즘 사용 문제를 수정했습니다.

• security권한 및 정책 호출 순서에 따른 클라이언트 ID 노출 수정

  권한 및 정책 호출 순서 때문에 클라이언트 ID가 노출되던 문제를 수정했습니다.

조치 필요 (1)

• security네임스페이스 간 프록시 및 설정 덤프 접근 차단

  인증된 워크로드가 다른 네임스페이스의 프록시를 열거하고 설정 덤프를 가져갈 수 있던 문제를 수정했습니다. istio.io/debug/syncz와 istio.io/debug/config_dump에 관련된 접근이 영향을 받았습니다.

조치 필요 (1)

• securityXDS 디버그 엔드포인트의 네임스페이스 권한 검사 수정

  StatusGen이 제공하는 istio.io/debug/syncz와 istio.io/debug/config_dump에 동일 네임스페이스 권한 검사가 적용됩니다. 이제 시스템 호출자가 아닌 요청은 같은 네임스페이스의 대상만 조회할 수 있으며, 다른 네임스페이스 워크로드의 프록시 목록이나 구성 덤프를 열람할 수 없습니다.

조치 필요 (1)

• securityhighgo.opentelemetry.io/otel/sdk v1.40.0 업데이트

  GO-2026-4394에 대응하기 위해 go.opentelemetry.io/otel/sdk를 v1.40.0으로 업데이트했습니다.

영향 확인 (1)

• securitymediumCVE-2026-44247 웹훅 서버 메모리 고갈 취약점 수정

  Volcano webhook server가 실행 중인 경우 적용됩니다.

영향 확인 (1)

• securitymediumVolcano 웹훅 서버의 요청 본문 크기 제한 없는 메모리 부족 문제 수정

  파드가 네트워크를 통해 Volcano 웹훅 엔드포인트에 접근할 수 있는 경우 적용됩니다.

영향 확인 (1)

• securitymediumCVE-2026-44247 웹훅 서버 메모리 부족 종료 취약점 수정

  Volcano 웹훅 서버가 실행되는 경우에 적용됩니다.

조치 필요 (1)

• securitymediumgolang.org/x/image 의존성 업데이트

  golang.org/x/image을 v0.39.0으로 업데이트해 GO-2026-4962를 해결했습니다.

영향 확인 (1)

• securityRBAC 권한 우회 수정

  RBAC을 사용하는 경우에 적용됩니다.

조치 필요 (3)

• security민감 정보의 일반 텍스트 로그 기록 수정

  민감한 정보가 일반 텍스트로 로그에 기록될 가능성을 수정했습니다. 코드 검사 경고 2992에 대응하는 변경입니다.

• securityGetBackups 경로 순회 수정

  파일 백업 저장소의 GetBackups RPC에서 경로 순회가 발생할 수 있는 문제를 수정했습니다.

• breaking한정되지 않은 * 사용 제한

  vtgate가 SELECT 목록에서 쉼표 뒤에 오는 한정되지 않은 *를 거부합니다.

영향 확인 (1)

• security카탈로그 패키지의 보안 수정

  @backstage/plugin-catalog-backend-module-unprocessed, @backstage/plugin-catalog-unprocessed-entities-common version, @backstage/plugin-catalog-unprocessed-entities 중 하나라도 사용한다면 이 변경 사항이 적용됩니다.

영향 확인 (2)

• securityaws_iid 신원 문서 검증 오류 수정

  aws_iid 서버 노드 증명 플러그인을 사용하는 경우에 적용됩니다.

• security조인 토큰 동시 증명 처리 수정

  적용 대상이 릴리스 노트에 명시되지 않았습니다.

영향 확인 (1)

• securityaws_iid 서버 노드 어테스터의 신원 문서 검증 수정

  aws_iid 서버 노드 어테스터 플러그인을 사용하는 경우에 적용됩니다.

영향 확인 (2)

• security/connz 모니터링 엔드포인트의 베어러 JWT 노출 차단

  /connz 모니터링 엔드포인트를 사용하는 경우에 적용됩니다.

• security명령줄 인수로 전달한 라우트와 클러스터 URL 비밀값 마스킹

  라우트와 클러스터 URL 비밀값을 명령줄 인수로 전달하는 경우에 적용됩니다.

영향 확인 (3)

• securityhighAzureAD remote write의 OAuth 비밀값 노출 수정

  AzureAD remote write를 사용하는 경우에 적용됩니다.

• securityhighRemote-read의 과도한 디코드 길이 요청 처리 수정

  Remote-read를 사용하는 경우에 적용됩니다.

• securitymedium기존 UI heatmap chart의 저장형 XSS 수정

  old UI heatmap chart를 사용하는 경우에 적용됩니다.

영향 확인 (4)

• securityhighOAuth client_secret 평문 노출 수정

  AzureAD remote write를 사용하는 경우 적용됩니다.

• securityhighRemote-read 압축 요청 길이 검증 강화

  Remote-read를 사용하는 경우 적용됩니다.

• securitymediumUI 히트맵 차트의 저장형 XSS 수정

  UI를 사용하는 경우 적용됩니다.

• 릴리스 페이지에 1건 더

조치 필요 (1)

• securityhighnghttp2의 CVE-2026-27135 보안 패치 적용

  nghttp2에 CVE-2026-27135 패치가 적용되었습니다.