릴리스

영향 확인 (1)

• breakingLinkerd Viz의 기본 파드 수집 범위 조정

  Linkerd Viz를 사용하는 경우에 적용됩니다.

영향 확인 (1)

• breakingDevice CRD 상태를 DeviceStatus CRD로 분리

  Device CRD를 사용하는 경우에 적용됩니다.

조치 필요 (3)

• securitymedium범위 지정 IPv6 주소 처리 충돌 수정

  범위가 지정된 IPv6 주소로 getAddressWithPort()를 호출할 때 충돌하던 문제를 수정했습니다. 이 수정은 CVE-2026-26310 및 GHSA-3cw6-2j68-868p와 관련됩니다.

• securitymedium문자열 null 종료 문자 쓰기 오류 수정

  문자열의 null 종료 문자를 손상시킬 수 있던 하나 차이 쓰기 오류를 수정했습니다. 이 수정은 CVE-2026-26309 및 GHSA-56cj-wgg3-x943와 관련됩니다.

• securitymedium하위 연결 초기화 뒤 decode* 메서드 차단

  하위 연결이 초기화된 뒤 decode* 메서드가 실행되지 않도록 차단했습니다. 이 수정은 CVE-2026-26311 및 GHSA-84xm-r438-86px와 관련됩니다.

조치 필요 (3)

• securitymedium범위 지정 IPv6 주소 처리 충돌 수정

  CVE-2026-26310 (GHSA-3cw6-2j68-868p)와 관련해 범위가 지정된 IPv6 주소로 getAddressWithPort()를 호출할 때 발생하던 충돌을 수정했습니다.

• securitymedium문자열 null 종결자 손상 수정

  CVE-2026-26309 (GHSA-56cj-wgg3-x943)와 관련해 문자열의 null 종결자를 손상시킬 수 있던 off-by-one 쓰기를 수정했습니다.

• securitymedium하위 연결 재설정 후 decode* 실행 차단

  CVE-2026-26311 (GHSA-84xm-r438-86px)와 관련해 하위 연결이 재설정된 뒤 decode* 메서드가 실행되지 않도록 수정했습니다.

조치 필요 (1)

• securitymediumJSON 오프바이원 쓰기 수정

  CVE-2026-26309에서 JSON 오프바이원 쓰기가 발생하던 문제를 수정했습니다.

조치 필요 (7)

• securityhigh다중 값 헤더를 이용한 RBAC 우회 수정

  CVE-2026-26308에서 다중 값 헤더를 이용한 RBAC 우회 문제를 수정했습니다.

• securityhighJWKS 확인자 오류에 따른 인증 우회 수정

  CVE-2026-31837 및 GHSA-v75c-crr9-733c와 관련해 JWKS 확인자 오류로 알려진 기본 키를 사용한 인증 우회가 가능하던 문제를 수정했습니다.

• securitymedium다운스트림 리셋 이후 HTTP 디코드 메서드 처리 수정

  CVE-2026-26311과 관련해 다운스트림 리셋 이후 HTTP 디코드 메서드가 차단되도록 수정했습니다.

• securitymedium범위 지정 IPv6 주소 처리 중 충돌 수정

  범위가 지정된 IPv6 주소에서 getAddressWithPort()가 충돌하던 문제를 CVE-2026-26310 수정 사항에 반영했습니다.

• securitymediumJSON 오프바이원 쓰기 수정

  JSON 오프바이원 쓰기 오류를 수정했습니다. 이 문제는 CVE-2026-26309에 해당합니다.

• securitymediumRatelimit 응답 단계 충돌 수정

  ratelimit 응답 단계에서 충돌하던 문제를 CVE-2026-26330 수정 사항에 반영했습니다.

• securitymedium디버그 엔드포인트의 네임스페이스 간 프록시 데이터 접근 수정

  CVE-2026-31838 및 GHSA-974c-2wxh-g4ww와 관련해 디버그 엔드포인트를 통한 네임스페이스 간 프록시 데이터 접근 문제를 수정했습니다.

조치 필요 (3)

• securitymedium하위 연결 재설정 후 HTTP 디코드 처리 수정

  CVE-2026-26311에 대응해 하위 연결이 재설정된 뒤 HTTP 디코드 메서드가 차단되던 문제가 수정됐습니다.

• securitymedium범위 지정 IPv6 주소 처리 충돌 수정

  CVE-2026-26310에 대응해 범위가 지정된 IPv6 주소를 getAddressWithPort()에서 처리할 때 발생하던 충돌이 수정됐습니다.

• securitymediumJSON 오프바이원 쓰기 수정

  CVE-2026-26309에 대응해 JSON 쓰기에서 발생하던 오프바이원 오류가 수정됐습니다.

조치 필요 (2)

• securityhighGo v1.25.5 업데이트

  Go를 v1.25.5로 업데이트해 CVE-2025-61727과 CVE-2025-61729를 수정했습니다.

• breakingIssuer 참조 kind와 group 기본값 복원

  issuer 참조의 kind와 group에 적용되는 기본값을 0.19.0 이전 동작으로 되돌렸습니다.

영향 확인 (1)

• breaking클러스터 버전 라벨 형식 변경

  argocd.argoproj.io/auto-label-cluster-info와 argocd.argoproj.io/kubernetes-version을 설정한 경우에 적용됩니다.

영향 확인 (3)

• securityCVE-2026-29785 수정

  leafnode compression이 활성화된 경우에 적용됩니다.

• securityCVE-2026-27889 수정

  WebSockets가 활성화된 경우에 적용됩니다.

• breakingmax_conns에 0 설정 지원

  서버 설정에서 max_conns를 지정하는 경우에 적용됩니다.

영향 확인 (2)

• securityhighCVE-2026-29785 수정

  CVE-2026-29785가 존재하고 leafnode compression이 활성화된 경우 적용됩니다.

• securityhighCVE-2026-27889 수정

  CVE-2026-27889가 존재하고 WebSockets가 활성화된 경우 적용됩니다.

조치 필요 (1)

• breakingpriorities 자료형 변경

  priorities의 자료형을 string에서 int32로 변경했습니다.

조치 필요 (1)

• breakingGo 1.25.7 요구 사항 적용

  코드베이스 전체에서 Go 버전을 일관되게 맞추고 Go 1.25.7을 요구합니다.

조치 필요 (1)

• securityhigh빌드의 Go 1.26.1 업데이트

  빌드가 Go 1.26.1로 업데이트되며 CVE-2026-27137, CVE-2026-27138, CVE-2026-27139, CVE-2026-25679, CVE-2026-27142를 해결하는 보안 수정이 포함됩니다.

조치 필요 (2)

• securityhigh공개 보안 취약점 수정

  CVE-2026-27133 및 CVE-2026-27134와 관련된 공개 보안 취약점을 수정했습니다. 관련 권고 식별자는 GHSA-2qwx-rq6j-8r6j와 GHSA-6x85-j2f7-4xc5입니다.

• breakingServerSideApplyPhase1 기본 활성화

  ServerSideApplyPhase1 기능 게이트가 베타 단계로 올라갔으며, 이제 기본값이 활성화로 설정됩니다.

영향 확인 (4)

• securityhighCVE-2026-3047 SAML 브로커 비활성 클라이언트 인증 우회 수정

  SAML broker를 사용하고 disabled SAML client를 설정한 경우에 적용됩니다.

• securityhighCVE-2026-3009 비활성 아이덴티티 제공자 제한 적용 수정

  Disabled Identity Provider를 설정한 경우에 적용됩니다.

• securityhighCVE-2026-2603 비활성 SAML IdP 브로커 로그인 차단 수정

  Disabled SAML IdP를 설정한 경우에 적용됩니다.

• 릴리스 페이지에 1건 더

영향 확인 (1)

• security세 패키지의 보안 수정

  @backstage/plugin-techdocs-node, @backstage/integration 또는 @backstage/plugin-scaffolder-backend를 사용하는 경우에 적용됩니다.

영향 확인 (2)

• securityhttp_challenge의 SSRF 취약점 수정

  http_challenge를 사용하는 경우에 적용됩니다.

• securityx509pop의 CPU 고갈 취약점 수정

  x509pop을 사용하는 경우에 적용됩니다.

영향 확인 (2)

• securityhttp_challenge 플러그인의 SSRF 공격 문제 수정

  http_challenge 서버 노드 증명 플러그인을 사용하는 경우에 적용됩니다.

• securityx509pop 플러그인의 CPU 과다 사용 문제 수정

  x509pop 서버 노드 증명 플러그인을 사용하는 경우에 적용됩니다.

영향 확인 (4)

• breaking리소스 선택자의 namespace 검증 추가

  PropagationPolicy 또는 OverridePolicy를 사용하는 경우에 적용됩니다.

• breakingWorkloadAffinity의 중복 GroupByLabelKey 설정 제한

  WorkloadAffinity에 GroupByLabelKey를 설정하는 경우에 적용됩니다.

• breaking기본 Kubernetes 및 ETCD 이미지 업데이트

  적용 대상이 릴리스 노트에 명시되지 않았습니다.

• 릴리스 페이지에 1건 더

조치 필요 (9)

• security암호화 의존성 버전 갱신

  x/(net/sync/crypto)를 업데이트하고 dvsekhvalnov/jose2go 버전을 고정했습니다.

• securityGo 취약점 수정

  Go의 취약점을 수정했습니다.

• securityUID 검사 대상 제한

  UID 검사가 root만 확인하도록 바뀌었습니다.

• securityHTTP 경로 일치 수정과 invocation auto-registration 지원

  HTTP 경로 일치에서 발생하던 cardinality leak을 수정하고 invocation auto-registration을 지원합니다.

• securitygolang.org/x/crypto 업데이트

  golang.org/x/crypto를 업데이트했습니다.

• securitygithub.com/docker/docker 업데이트

  github.com/docker/docker를 업데이트했습니다.

• security보안 취약점 수정

  보안 취약점 수정이 반영되었습니다.

• securitygithub.com/coreos/go-oidc/v3 업데이트

  github.com/coreos/go-oidc/v3를 업데이트했습니다.

• securityNATS 취약점 수정

  NATS 취약점을 수정했습니다.

영향 확인 (2)

• securitycritical백업 복원 경로 탈출 방지

  백업 저장소를 사용하는 경우에 적용됩니다.

• securityhigh백업 MANIFEST의 외부 압축 해제 명령 기본 사용 중단

  외부 압축 해제 명령을 사용하면서 --external-decompressor-use-manifest를 지정하지 않은 경우에 적용됩니다.

영향 확인 (2)

• security복원의 MANIFEST 기반 압축기 명령 로드 방식 변경

  --external-decompressor-use-manifest를 사용하는 경우에 적용됩니다.

• securitybackupengine의 백업 MANIFEST 경로 탐색 차단

  backupengine이 실행되는 경우에 적용됩니다.

조치 필요 (1)

• securityhighGHSA-9h8m-3fm2-qjrq 대응 의존성 수정

  go.opentelemetry.io deps를 수정해 GHSA-9h8m-3fm2-qjrq에 대응했습니다.

영향 확인 (1)

• breaking/alerts 페이지의 펼쳐진 알림 주석 기본 숨김

  UI에서 /alerts 페이지를 사용하는 경우에 적용됩니다.

영향 확인 (1)

• breaking프로브 host 필드 값 제한

  프로브 설정에서 host 필드를 사용하는 경우에 적용됩니다.

영향 확인 (1)

• breaking프로브 host 필드 제한

  host를 설정한 경우 적용됩니다.

영향 확인 (1)

• breakingnvmeof 기본 게이트웨이 토폴로지 분산 제약 조건 추가

  nvmeof를 사용하는 경우 적용됩니다.

영향 확인 (1)

• breakingv1beta2 및 v2beta2 API 제거

  CRDs에서 Flux API v1beta2 또는 v2beta2를 사용하면 이 변경이 적용됩니다.

조치 필요 (1)

• securitycriticalgrpc-health-probe 버전 갱신

  grpc-health-probe가 v0.4.45로 업데이트되었습니다. 이 변경은 CVE-2025-68121에 대응합니다.

조치 필요 (2)

• securitymediumCVE-2026-0707 인증 헤더 구문 분석 문제 수정

  Authorization Header 구문 분석으로 보안 통제가 우회될 수 있는 문제를 수정했습니다.

• securitylowCVE-2025-5416 환경 정보 노출 문제 수정

  keycloak-core에서 환경 정보가 노출되는 문제를 수정했습니다.

조치 필요 (1)

• securitycriticalCVE-2025-68121 보안 취약점 수정

  CVE-2025-68121 수정이 반영됐습니다.

조치 필요 (7)

• securitygolang.org/x/crypto v0.45.0 업데이트

  보안 수정으로 golang.org/x/crypto가 v0.45.0으로 업데이트되었습니다.

• securitygithub.com/go-chi/chi/v5 v5.2.4 업데이트

  보안 수정으로 github.com/go-chi/chi/v5가 v5.2.4로 업데이트되었습니다.

• securitygithub.com/sigstore/cosign/v3 v3.0.4 업데이트

  보안 수정으로 github.com/sigstore/cosign/v3가 v3.0.4로 업데이트되었습니다.

• securitygithub.com/theupdateframework/go-tuf/v2 v2.4.1 업데이트

  보안 수정으로 github.com/theupdateframework/go-tuf/v2가 v2.4.1로 업데이트되었습니다.

• securitygithub.com/sigstore/rekor v1.5.0 업데이트

  보안 수정으로 github.com/sigstore/rekor가 v1.5.0으로 업데이트되었습니다.

• securitygithub.com/sigstore/sigstore v1.10.4 업데이트

  보안 수정으로 github.com/sigstore/sigstore가 v1.10.4로 업데이트되었습니다.

• securitygithub.com/quic-go/quic-go v0.57.0 업데이트

  보안 수정으로 github.com/quic-go/quic-go가 v0.57.0으로 업데이트되었습니다.

영향 확인 (7)

• breakingcatalogProcessingExtensionPoint의 안정 내보내기 이동

  카탈로그에 사용자 정의 프로세서와 엔터티 제공자를 등록할 때 catalogProcessingExtensionPoint를 사용하는 경우에 적용됩니다.

• breakingAPI 재정의가 오류로 거부됨

  적용 대상이 릴리스 노트에 명시되지 않았습니다.

• breakingauth.experimentalDynamicClientRegistration.tokenExpiration 설정 제거

  auth.experimentalDynamicClientRegistration.tokenExpiration을 설정한 경우에 적용됩니다.

• 릴리스 페이지에 4건 더

조치 필요 (1)

• securityhighcgo 바이너리 코드 삽입 취약점 수정

  Go 주석과 C/C++ 주석을 다르게 해석하던 문제로 생성된 cgo 바이너리에 코드를 몰래 삽입할 수 있던 CVE-2025-61732 취약점을 수정했습니다.

조치 필요 (1)

• breakingistiod 메모리 제한 자동 설정

  istiod가 automemlimit 라이브러리를 사용해 GOMEMLIMIT을 메모리 제한의 90%로 자동 설정합니다. OOM 종료 위험을 낮추면서 성능을 유지합니다.

영향 확인 (1)

• breakingReceive 셔플 샤딩에 일관 해싱 적용

  Receive를 사용하는 경우에 적용됩니다.

영향 확인 (1)

• breakingSchedulerAsyncAPICalls 기능 게이트 비활성화

  SchedulerAsyncAPICalls 기능 게이트를 사용하는 경우에 적용됩니다.

조치 필요 (1)

• security리소스 주석의 줄바꿈 및 제어 문자 검증 수정

  리소스 주석 검증이 줄바꿈과 제어 문자를 거부하도록 수정했습니다. 템플릿 렌더링으로 Pod 사양에 컨테이너를 삽입하는 경로를 차단합니다. (Issue #58889)

영향 확인 (1)

• breakingtrace/metric storage의 backend type 단일 구성 제한

  trace 또는 metric storage를 둘 이상의 backend type으로 구성한 경우에 적용됩니다.