릴리스

조치 필요 (4)

• securityhigh무제한 로캘 캐시로 발생하는 비인증 서비스 거부 수정

  무제한 로캘 캐시를 이용해 인증 없이 서비스 거부를 일으킬 수 있던 문제를 수정했습니다. 이는 CVE-2026-79651에 해당합니다.

• securityhighPathMatcher의 매트릭스 매개변수 제거 우회 수정

  PathMatcher에서 퍼센트 인코딩된 세미콜론이 매트릭스 매개변수 제거를 우회하던 문제를 수정했습니다. 이는 CVE-2026-74909에 해당합니다.

• securityhighimpersonation 역할의 realm 관리자 가장 권한 수정

  impersonation 역할로 realm 관리자를 가장할 수 있던 권한 상승 문제를 수정했습니다. 이는 CVE-2026-17526에 해당합니다.

• securitymedium사용자 이름 탈취에 따른 계정 잠금 수정

  사용자 이름 탈취로 계정이 잠길 수 있던 문제를 수정했습니다. 이는 CVE-2026-19607에 해당합니다.

조치 필요 (6)

• securityModule Federation 의존성 업데이트

  Module Federation 의존성을 알려진 보안 취약점이 없는 버전으로 업데이트했습니다.

• securityYarn 도구 의존성 업데이트

  Yarn 도구 의존성을 알려진 보안 취약점이 없는 버전으로 업데이트했습니다.

• securityModule Federation 보안 문제 수정

  Module Federation 의존성을 알려진 보안 취약점이 없는 버전으로 업데이트해 관련 문제를 수정했습니다.

• securityOpenAPI 생성 도구 업데이트

  OpenAPI 생성 도구를 알려진 보안 취약점이 없도록 업데이트했습니다.

• securityOpenAPI 생성 도구 보안 업데이트

  OpenAPI 생성 도구를 알려진 보안 취약점이 없도록 업데이트했습니다.

• breaking로케일 비의존 유니코드 대소문자 처리

  환경마다 문자열을 일관되게 처리하도록 로케일의 영향을 받지 않는 유니코드 대소문자 변환을 사용합니다.

조치 필요 (2)

• securityhighCVE-2026-15809 우회 취약점 수정

  HOME 환경 변수에 줄바꿈 문자를 넣어 /etc/passwd에 값을 주입하면서 CVE-2022-4318 수정 사항을 우회할 수 있던 문제를 CVE-2026-15809 수정으로 해결했습니다.

• securityhighGo 도구 모음 업데이트 및 보안 취약점 수정

  Go toolchain을 1.26.4로 올려 CVE-2026-27145, CVE-2026-42504, CVE-2026-42507을 수정했습니다.

조치 필요 (1)

• breakingsearchdepth 값 범위 제한

  searchdepth를 최대 10000으로 제한하고 음수 값을 거부합니다.

조치 필요 (5)

• breakingAddScraper 제거

  pkg/scraperhelper/controller에서 사용 중단 예정 함수 AddScraper를 제거했습니다.

• breakingZapOptions 제거

  pkg/service에서 사용 중단 예정 옵션 ZapOptions를 제거했습니다.

• breakingWithForceUnmarshaler 제거

  pkg/xconfmap에서 사용 중단 예정 함수 WithForceUnmarshaler를 제거했습니다.

• breakingDefaultMetricsBuilderConfig 제거

  cmd/mdatagen에서 사용 중단 예정 함수 DefaultMetricsBuilderConfig를 제거했습니다.

• breakingLoggingOptions 제거

  pkg/service에서 사용 중단 예정 설정 옵션 LoggingOptions를 제거했습니다.

조치 필요 (6)

• securityACME 서버 응답 본문 크기 제한

  ACME 서버 응답 본문 크기를 16 MiB로 제한해 본문 크기가 끝없이 커지는 서비스 거부 공격을 막습니다.

• securityHTTP-01 자체 점검 응답 내용 기록 차단

  ACME HTTP-01 자체 점검에서 가져온 응답 본문을 Challenge.status.reason에 더 이상 기록하지 않습니다. 리디렉션으로 접근할 수 있는 내부 응답 내용이 노출되지 않도록 수정했습니다.

• securityGo 1.26.6으로 업데이트

  Go를 1.26.6으로 올렸습니다. 여기에는 go 명령과 crypto/tls, encoding/asn1, encoding/xml, html/template, net, net/http, net/url 패키지의 보안 수정이 포함됩니다.

• securitygoogle.golang.org/grpc v1.83.2로 업데이트

  보고된 보안 취약점을 수정하기 위해 google.golang.org/grpc를 v1.83.2로 올렸습니다.

• securitygolang.org/x/crypto v0.56.0으로 업데이트

  보고된 보안 취약점을 수정하기 위해 golang.org/x/crypto를 v0.56.0으로 올렸습니다.

• breaking변환된 AdmissionReview 요청 검증 적용

  적용 대상이 릴리스 노트에 명시되지 않았습니다.

  v1이 아닌 API 버전의 요청도 동등한 형태로 변환된 뒤 검증합니다. 이전에는 이런 요청에서 검증이 건너뛰어질 수 있었습니다.

조치 필요 (2)

• securitycriticalGo와 x/net 업데이트

  Go를 1.26.6으로 올리고 x/net을 업데이트해 CVE-2026-39821을 해결했습니다.

• securityhighGo 보안 업데이트

  CVE-2026-56853을 해결하도록 Go를 업데이트했습니다.

조치 필요 (3)

• securitycriticalgolang.org/x/net v0.55.0 갱신

  golang.org/x/net을 v0.55.0으로 올려 GO-2026-5026에 대응했습니다.

• securitymediumgo.opentelemetry.io/otel v1.44.0 갱신

  go.opentelemetry.io/otel을 v1.44.0으로 올려 GO-2026-5158에 대응했습니다.

• breaking파일별 압축 해제 크기 제한 제거

  파일별 압축 해제 크기 제한을 제거했습니다.

조치 필요 (2)

• securityCVE-2026-53495 취약점 수정

  CVE-2026-53495 취약점이 수정되었습니다.

• securityGHSA-rp3h-jf77-q9p4 취약점 수정

  GHSA-rp3h-jf77-q9p4 보안 취약점이 수정되었습니다.

조치 필요 (2)

• securityCVE-2026-53495 보안 취약점 수정

  CVE-2026-53495 및 GHSA-7jxh-36q5-gcqv로 공개된 보안 취약점을 수정했습니다.

• securityGHSA-rp3h-jf77-q9p4 보안 취약점 수정

  GHSA-rp3h-jf77-q9p4로 공개된 보안 취약점을 수정했습니다.

영향 확인 (3)

• breakingaccounts의 Status를 State로 변경

  Status를 설정한 경우에 적용됩니다.

• breakingAzure Functions 인증 방식 변경

  SCM basic auth를 사용하는 경우에 적용됩니다.

• breakingcloud-run label 변경에서 비스키마 필드 제외

  cloud-run을 사용하는 경우에 적용됩니다.

영향 확인 (2)

• breaking/debug/vrlog VRLog 기능 제거

  /debug/vrlog를 사용하는 경우에 적용됩니다.

• deprecated--vreplication-enable-http-log 플래그의 deprecated 전환

  --vreplication-enable-http-log를 설정한 경우에 적용됩니다.

조치 필요 (2)

• breaking스트리밍 재귀 CTE 경로의 재귀 깊이 제한 적용

  스트리밍 재귀 CTE 경로에 재귀 깊이 제한을 적용합니다.

• breaking스트리밍 CALL 경로의 저장 프로시저 안전성 검사 적용

  스트리밍 CALL 경로에 저장 프로시저 안전성 검사를 적용합니다.

영향 확인 (3)

• breaking사용 중단 필드와 keepalive 섹션의 동시 설정 제한

  적용 대상이 릴리스 노트에 명시되지 않았습니다.

• breakinggo 1.25.0 지원 중단

  go에 의존하는 경우 적용됩니다.

• breaking리소스 생성 API 반환 시그니처 변경

  telemetry.Factory.CreateResource 또는 telemetry.CreateResourceFunc를 사용하는 경우 적용됩니다.

조치 필요 (2)

• securityGo 의존성의 Dependabot 보안 취약점 수정

  Go 의존성에 포함된 Dependabot 보안 취약점을 수정했습니다.

• securitygosec SAST 결과 수정

  gosec의 SAST 결과에 포함된 문제를 수정했습니다.