릴리스

영향 확인 (1)

• breakingcanary-v2 제거

  canary-v2를 설정한 경우에 적용됩니다.

조치 필요 (1)

• securitymediumgolang.org/x/image 의존성 업데이트

  golang.org/x/image을 v0.39.0으로 업데이트해 GO-2026-4962를 해결했습니다.

영향 확인 (1)

• securityRBAC 권한 우회 수정

  RBAC을 사용하는 경우에 적용됩니다.

영향 확인 (1)

• breaking지원되는 Kubernetes 최소 버전 상향

  클러스터에서 1.31보다 오래된 Kubernetes를 실행하는 경우 적용됩니다.

영향 확인 (1)

• breaking보존 메시지 제목의 ASCII DEL 문자 제한

  보존 메시지를 사용하는 경우에 적용됩니다.

조치 필요 (3)

• security민감 정보의 일반 텍스트 로그 기록 수정

  민감한 정보가 일반 텍스트로 로그에 기록될 가능성을 수정했습니다. 코드 검사 경고 2992에 대응하는 변경입니다.

• securityGetBackups 경로 순회 수정

  파일 백업 저장소의 GetBackups RPC에서 경로 순회가 발생할 수 있는 문제를 수정했습니다.

• breaking한정되지 않은 * 사용 제한

  vtgate가 SELECT 목록에서 쉼표 뒤에 오는 한정되지 않은 *를 거부합니다.

영향 확인 (1)

• breaking샌드박스 메타데이터의 Container 필드 제거

  API 명세에서 Container를 사용하는 경우에 적용됩니다.

영향 확인 (1)

• security카탈로그 패키지의 보안 수정

  @backstage/plugin-catalog-backend-module-unprocessed, @backstage/plugin-catalog-unprocessed-entities-common version, @backstage/plugin-catalog-unprocessed-entities 중 하나라도 사용한다면 이 변경 사항이 적용됩니다.

조치 필요 (3)

• securityhighPyJWT의 CVE-2026-32597 수정

  PyJWT에서 CVE-2026-32597과 관련된 crit 헤더 검증 문제를 수정했습니다.

• securityhighpyasn1의 CVE-2026-30922 수정

  pyasn1의 CVE-2026-30922 취약점으로 발생하는 서비스 거부 문제를 수정했습니다.

• breakingMaxReplicas 필수 지정

  MaxReplicas를 필수 int32 값으로 변경했습니다.

조치 필요 (4)

• securityhighCVE-2026-32280 완화를 위한 중간 인증서 제한

  중간 인증서 수를 제한해 CVE-2026-32280을 완화했습니다.

• securityhighGo toolchain 1.26.2 업그레이드

  CVE-2026-32283을 수정하기 위해 Go toolchain을 1.26.2로 업그레이드했습니다.

• securitymediumgo-tuf/v2 v2.4.1 업데이트

  CVE-2026-24686을 수정하기 위해 go-tuf/v2를 v2.4.1로 올렸습니다.

• securitystdlib CVE 수정

  stdlib CVE를 수정했습니다.

영향 확인 (2)

• breaking생성된 Collector 소스의 replace 경로 기본값 변경

  생성된 Collector 소스를 사용하는 경우 적용됩니다.

• breakingConfig.Protocols 필드 구조 변경

  Config.Protocols를 사용하는 경우 적용됩니다.

영향 확인 (1)

• breakingMCP 서버 기본 비활성화

  MCP_SERVER_ENABLED를 설정하지 않은 경우에 적용됩니다.

조치 필요 (2)

• breakingUseConnectBuildWithBuildah 기본 활성화

  UseConnectBuildWithBuildah 기능 게이트가 베타 단계로 전환되며 기본값으로 활성화됩니다.

• breakingHTTP Bridge의 /metrics 엔드포인트 위치 변경

  /metrics 엔드포인트가 일반 HTTP 인터페이스에서 제거됩니다. 기본 포트가 8080인 일반 인터페이스 대신 HTTP 관리 인터페이스의 8081 포트에서 사용할 수 있습니다.

영향 확인 (2)

• securityaws_iid 신원 문서 검증 오류 수정

  aws_iid 서버 노드 증명 플러그인을 사용하는 경우에 적용됩니다.

• security조인 토큰 동시 증명 처리 수정

  적용 대상이 릴리스 노트에 명시되지 않았습니다.

영향 확인 (1)

• securityaws_iid 서버 노드 어테스터의 신원 문서 검증 수정

  aws_iid 서버 노드 어테스터 플러그인을 사용하는 경우에 적용됩니다.

영향 확인 (2)

• security/connz 모니터링 엔드포인트의 베어러 JWT 노출 차단

  /connz 모니터링 엔드포인트를 사용하는 경우에 적용됩니다.

• security명령줄 인수로 전달한 라우트와 클러스터 URL 비밀값 마스킹

  라우트와 클러스터 URL 비밀값을 명령줄 인수로 전달하는 경우에 적용됩니다.

영향 확인 (3)

• securityhighAzureAD remote write의 OAuth 비밀값 노출 수정

  AzureAD remote write를 사용하는 경우에 적용됩니다.

• securityhighRemote-read의 과도한 디코드 길이 요청 처리 수정

  Remote-read를 사용하는 경우에 적용됩니다.

• securitymedium기존 UI heatmap chart의 저장형 XSS 수정

  old UI heatmap chart를 사용하는 경우에 적용됩니다.

영향 확인 (4)

• securityhighOAuth client_secret 평문 노출 수정

  AzureAD remote write를 사용하는 경우 적용됩니다.

• securityhighRemote-read 압축 요청 길이 검증 강화

  Remote-read를 사용하는 경우 적용됩니다.

• securitymediumUI 히트맵 차트의 저장형 XSS 수정

  UI를 사용하는 경우 적용됩니다.

• 릴리스 페이지에 1건 더

조치 필요 (18)

• securitycriticalLinux CVE-2026-31411 보안 수정

  Linux 보안 업데이트에 CVE-2026-31411이 포함되었습니다.

• securityhighcurl 보안 업데이트

  curl 보안 수정이 반영되었습니다.

• securityhighexpat 보안 업데이트

  expat 보안 수정이 반영되었습니다.

• securityhighgnupg 보안 업데이트

  gnupg 보안 수정이 반영되었습니다.

• securityhighgo 보안 업데이트

  go 보안 수정이 반영되었습니다.

• securityhighintel-microcode 보안 업데이트

  intel-microcode 보안 수정이 반영되었습니다.

• securityhighlibxslt 보안 업데이트

  libxslt 보안 수정이 반영되었습니다.

• securityhighnvidia-drivers 보안 업데이트

  nvidia-drivers 보안 수정이 반영되었습니다.

• securityhighopenssl 보안 업데이트

  openssl 보안 수정이 반영되었습니다.

• securityhighpam 보안 업데이트

  pam 보안 수정이 반영되었습니다.

• securitymediumbinutils 보안 업데이트

  binutils 보안 수정이 반영되었습니다.

• securitymediumcoreutils 보안 업데이트

  coreutils 보안 수정이 반영되었습니다.

• securitymediumlibpcre2 보안 업데이트

  libpcre2 보안 수정이 반영되었습니다.

• securitymediumnet-tools 보안 업데이트

  net-tools 보안 수정이 반영되었습니다.

• securitylowopenssh 보안 업데이트

  openssh 보안 수정이 반영되었습니다.

• securitylibxml2 갱신

  libxml2가 libxml2-20250908로 갱신되었습니다.

• breakingOpenSSH 설정 기본값 사용

  sshd 설정에서 Ciphers, MACs, KexAlgorithms 항목을 제거해 OpenSSH 상류 기본값을 사용합니다.

• breaking첫 번째 initrd의 커널 모듈 축소

  첫 번째 initrd에서 사용할 수 있는 커널 모듈 집합이 줄었습니다.

조치 필요 (1)

• breaking버킷 인덱스 기본 활성화

  블록 저장소의 버킷 인덱스가 기본적으로 활성화됩니다. 운영 환경에서는 -blocks-storage.bucket-store.bucket-index.enabled=false로 버킷 인덱스를 끄는 설정이 권장되지 않습니다.

조치 필요 (1)

• securityhighnghttp2의 CVE-2026-27135 보안 패치 적용

  nghttp2에 CVE-2026-27135 패치가 적용되었습니다.

조치 필요 (12)

• securitycriticalCVE-2025-68121 수정

  CVE-2025-68121을 수정했습니다.

• securitycriticalCVE-2026-33186 수정

  CVE-2026-33186을 수정했습니다.

• securityhighCVE-2026-24051 수정

  CVE-2026-24051을 수정했습니다.

• securityhighgithub.com/docker/cli 업데이트

  github.com/docker/cli 의존성을 업데이트해 CVE-2025-15558을 해결했습니다.

• securityhighCVE-2025-66564 수정

  CVE-2025-66564를 해결했습니다.

• securitymediumsigstore/rekor v1.5.1 업데이트

  sigstore/rekor를 v1.5.1로 업데이트해 CVE-2026-23831을 해결했습니다.

• securitymediumgo-tuf/v2 v2.3.1 업데이트

  go-tuf/v2를 v2.3.1로 업데이트해 CVE-2026-23992를 해결했습니다.

• securitymediumCVE-2026-22772 수정

  CVE-2026-22772를 수정했습니다.

• securitymediumgo-tuf/v2 v2.4.1 업데이트

  go-tuf/v2를 v2.4.1로 업데이트해 CVE-2026-24686을 해결했습니다.

• securitylowCVE-2026-1229 수정

  릴리스 1.16에서 CVE-2026-1229를 수정했습니다.

• securitylowCVE-2026-26958 수정

  CVE-2026-26958을 수정했습니다.

• securitystdlib CVE 수정

  stdlib 관련 CVE를 수정했습니다.

조치 필요 (6)

• securitycriticalCVE-2026-33186 수정

  CVE-2026-33186 취약점을 수정했습니다.

• securityhighCVE-2026-24051 수정

  CVE-2026-24051 취약점을 수정했습니다.

• securityhighCVE-2026-34986 수정

  CVE-2026-34986 취약점을 수정했습니다.

• securitylowCVE-2026-1229 수정

  CVE-2026-1229 취약점을 수정했습니다.

• securityCVES 2026-15558 수정

  1.17에서 CVES 2026-15558 취약점을 수정했습니다.

• securitygo 업데이트로 표준 라이브러리 CVE 수정

  go 버전을 올려 표준 라이브러리의 CVE를 수정했습니다.

조치 필요 (11)

• breakingStrictIPCIDRValidation 기본 활성화

  kube-apiserver의 StrictIPCIDRValidation 기능 게이트가 기본적으로 활성화됩니다.

• breaking디버그 프로필 기본값 변경

  디버그 프로필 기본값이 legacy에서 general로 바뀌었습니다.

• breakingWatchCacheInitializationPostStartHook 기본 활성화

  WatchCacheInitializationPostStartHook 기능 게이트가 기본적으로 활성화됩니다.

• breakingKubeletPSI 정식 단계 승격

  KubeletPSI 기능이 정식 단계로 승격되고 기본적으로 활성화됩니다.

• breakingRelaxedServiceNameValidation 베타 승격

  RelaxedServiceNameValidation 기능 게이트가 베타 단계로 승격되고 기본적으로 활성화됩니다.

• breakingRestartAllContainersOnContainerExits 베타 승격

  RestartAllContainersOnContainerExits 기능 게이트가 베타 단계로 승격되고 기본적으로 활성화됩니다.

• breaking중단된 작업 관련 기능 게이트 기본 활성화

  MutablePodResourcesForSuspendedJobs와 MutableSchedulingDirectivesForSuspendedJobs 기능 게이트가 기본적으로 활성화됩니다.

• breakinginformer 저장소 갱신 순서 변경

  기본 informer가 목록 또는 재목록의 모든 객체로 저장소 상태를 먼저 갱신한 뒤, 삭제·추가·변경된 개별 항목에 대해 OnDelete, OnAdd, OnUpdate 핸들러를 호출합니다.

• breakinginformer watch 이벤트 처리 방식 변경

  이미 대기 중인 이벤트를 처리하는 동안 informer가 새 watch 이벤트를 큐에 추가할 수 있습니다.

• breaking클라이언트 인증 기관 순환 기본 활성화

  해당 기능이 기본적으로 활성화되며 ClientsAllowCARotation 기능 게이트로 끌 수 있습니다.

• breaking클라이언트 TLS 캐시 정리 기본 활성화

  해당 기능이 기본적으로 활성화되며 ClientsAllowTLSCacheGC 기능 게이트로 제어할 수 있습니다.

조치 필요 (1)

• securitycriticalGo 1.26.2 기반 빌드와 취약점 수정

  Go 1.26.2로 빌드하며, CVE-2026-32282, CVE-2026-32289, CVE-2026-33810, CVE-2026-27144, CVE-2026-27143, CVE-2026-32288, CVE-2026-32283, CVE-2026-27140, CVE-2026-32936, CVE-2026-33190, CVE-2026-33489, CVE-2026-32934, CVE-2026-35579에 대한 보안 수정이 포함됩니다.

영향 확인 (1)

• breakingGCR Receiver 시크릿의 audience 필드 요구

  GCR Receiver 시크릿의 audience 필드를 설정한 경우에 적용됩니다.

영향 확인 (2)

• securityhighHTTPProxy 쿠키 재작성 값의 코드 실행 취약점 수정

  HTTPProxy 리소스를 사용하는 경우에 적용됩니다.

• breaking필수 Envoy 버전 상향

  Envoy에 의존하는 경우에 적용됩니다.

영향 확인 (1)

• securityhighCookie Rewriting의 Lua 코드 주입 취약점 수정

  cookieRewritePolicies[].pathRewrite.value를 설정한 경우 적용됩니다.

영향 확인 (1)

• breaking기존 확장과 블루프린트의 설정 스키마 값 교체

  기존 확장과 블루프린트를 사용한다면 이 변경이 적용됩니다.

영향 확인 (1)

• breakingMaxUnavailableStatefulSet 기본 비활성화

  MaxUnavailableStatefulSet을 활성화하지 않은 경우에 적용됩니다.

조치 필요 (1)

• securityGo 버전 업데이트

  Go 버전이 1.25.8에서 1.25.9로 업데이트되었습니다.

조치 필요 (4)

• securityhighglob과 rollup 보안 업데이트

  glob을 v7/v8/v11에서 v13으로, rollup을 v4.27에서 v4.59 이상으로 올렸습니다. GHSA-mw96-cpmx-2vgc 경로 탐색 취약점도 수정했습니다.

• securityglob 의존성 보안 업데이트

  glob 의존성을 v7/v8/v11에서 v13으로 올려 이전 버전의 보안 취약점을 해결했습니다.

• securityrollup 경로 탐색 취약점 수정

  rollup을 v4.27에서 v4.59 이상으로 올려 고위험 경로 탐색 취약점 GHSA-mw96-cpmx-2vgc를 해결했습니다.

• securityOAuth 보호 리소스 URL 수정

  .well-known/oauth-protected-resource의 리소스 URL을 RFC 9728 7.3절에 맞게 수정했습니다. 동적 리소스 경로도 활성화됩니다.

조치 필요 (1)

• securityhighCVE-2026-35469 관련 spdystream 보안 업데이트

  CVE-2026-35469 및 GHSA-pc3f-x583-g7j2와 관련된 spdystream 보안 업데이트가 포함됩니다.

조치 필요 (2)

• securityhighCVE-2026-35469 보안 권고 추가

  CVE-2026-35469 및 GHSA-pc3f-x583-g7j2 보안 권고가 포함되었습니다.

• securityhighgithub.com/moby/spdystream 의존성 업데이트

  github.com/moby/spdystream을 v0.5.1로 업데이트했습니다.

조치 필요 (1)

• securityhighspdystream 보안 취약점 수정

  spdystream 관련 CVE-2026-35469 보안 취약점이 수정되었습니다.

영향 확인 (3)

• security큐 구독의 ACL deny 우회 수정

  큐 구독을 사용하고 큐가 아닌 ACL deny 패턴을 설정한 경우에 적용됩니다.

• breakingno_auth_user 사용 범위 제한

  no_auth_user를 설정한 경우에 적용됩니다.

• breaking요청형 리프 연결의 중복 INFO 업데이트 제한

  요청형 리프 연결을 사용하는 경우에 적용됩니다.

영향 확인 (2)

• breakingno_auth_user 적용 범위 제한

  no_auth_user를 설정한 경우 적용됩니다.

• breaking중복 INFO 권한 업데이트 허용 범위 조정

  요청형 리프 연결을 사용하는 경우 적용됩니다.

조치 필요 (1)

• breaking기본 태그 제거

  기본 태그가 제거되고 chart.yaml의 appVersion을 사용합니다.

영향 확인 (1)

• securitymedium웹 UI의 저장형 XSS 수정

  Prometheus 웹 UI를 사용하는 경우에 적용됩니다.

영향 확인 (1)

• securitymediumPrometheus web UI의 저장형 XSS 수정

  조작된 메트릭 이름이나 레이블 값이 Prometheus web UI에 전달될 수 있는 경우에 적용됩니다.