릴리스

조치 필요 (1)

• securityhighGo 1.26.6 빌드 및 CVE 수정 반영

  Go 1.26.6으로 빌드해 CVE-2026-56865, CVE-2026-56864, CVE-2026-33818 수정 사항을 반영했습니다.

영향 확인 (3)

• breakingCreateContainer의 복원 기본값 비활성화

  CreateContainer를 사용하는 경우 적용됩니다.

• breakingWindows의 ScrubLogs 기본값 적용

  Windows에서 실행하는 경우 적용됩니다.

• breakingCRIU 미설치 시 체크포인트 복원 비활성화

  CRIU가 설치되지 않은 경우 적용됩니다.

영향 확인 (3)

• breakingCreateContainer 체크포인트 복원 기본값 비활성화

  enable_experimental_restore_via_create을 설정한 경우 적용됩니다.

• breakingCRI 호스트 네트워크 사용자 네임스페이스 기능 기본 활성화

  CRI를 실행하는 경우 적용됩니다.

• breakingWindows 로그 스크러빙 기본 활성화

  Windows를 실행하는 경우 적용됩니다.

조치 필요 (3)

• securityhighgoogle.golang.org/grpc 1.82.1 업데이트

  google.golang.org/grpc를 1.82.1로 업데이트해 GHSA-hrxh-6v49-42gf에 대응했습니다.

• breakingsnapshotLimitByte 기본값 조정

  snapshotLimitByte에 적정한 기본값을 설정했습니다.

• breaking클라이언트 http.Server의 헤더 읽기 제한 설정

  클라이언트 http.Server에 ReadHeaderTimeout을 설정했습니다.

조치 필요 (5)

• securitycriticalgolang.org/x/net 업데이트

  golang.org/x/net을 0.54.0에서 0.55.0으로 업데이트해 CVE-2026-25681, CVE-2026-27136, CVE-2026-39821, CVE-2026-42502, CVE-2026-25680, CVE-2026-42506에 대응했습니다.

• securityhigh키 범위를 벗어난 watch 응답 권한 수정

  한 키에 읽기 권한만 부여받은 사용자가 해당 키부터 시작하는 모든 키의 watch 응답을 받을 수 있던 권한 문제를 수정했습니다. 관련 권고는 GHSA-xg4h-6gfc-h4m8입니다.

• securityhightlsListener의 TLS 핸드셰이크 시간 제한 설정

  tlsListener에 tlsHandshakeTimeout을 설정했습니다. 관련 권고는 GHSA-6vch-q96h-7gc3입니다.

• securityhighgoogle.golang.org/grpc 업데이트

  google.golang.org/grpc를 1.82.1로 업데이트해 GHSA-hrxh-6v49-42gf에 대응했습니다.

• breakingsnapshotLimitByte 기본값 설정

  snapshotLimitByte에 합리적인 기본값을 설정했습니다.

영향 확인 (3)

• breaking기본 VM 드라이버를 wsl2에서 qemu로 변경

  VM 드라이버를 따로 설정하지 않은 경우에 적용됩니다.

• breakingsocket_vmnet 접근 그룹 제한 변경

  socket_vmnet을 사용하는 경우에 적용됩니다.

• breakingalmalinux-kitten을 experimental/로 이동

  almalinux-kitten을 사용하는 경우에 적용됩니다.

조치 필요 (1)

• breakingGo TLS 기본값 적용

  core의 TLS 기본값이 Go 기본값으로 바뀌었습니다.

영향 확인 (2)

• breaking실행 중이 아닌 샌드박스에서 CreateContainer 거부

  CreateContainer를 사용하고 샌드박스가 실행 중이 아닐 때 적용됩니다.

• breaking플랫폼별 erofs 기본 mkfs 블록 크기 통일

  여러 플랫폼에서 erofs를 사용하는 경우 적용됩니다.

조치 필요 (1)

• breakingCreateContainer 요청 조건 강화

  CreateContainer는 샌드박스가 실행 중이 아닐 때 거부됩니다.

영향 확인 (4)

• breakingBootstrap 서비스 제거

  설정에서 Bootstrap 서비스를 사용한다면 적용됩니다.

• breakingdynamicZones 설정 제거

  설정에서 dynamicZones를 사용한다면 적용됩니다.

• breakingdoFinalize 기본값 변경

  ZoneDelegation 마무리 처리에 doFinalize를 사용한다면 적용됩니다.

• 릴리스 페이지에 1건 더

영향 확인 (5)

• securitycriticalcontainerd 보안 취약점 수정

  containerd를 사용하는 경우에 적용됩니다.

• securityhighQEMU 게스트 에이전트 소켓 권한 상승 취약점 수정

  게스트 에이전트 소켓을 사용하는 QEMU VM을 실행하는 경우에 적용됩니다.

• breaking비Linux 게스트의 containerd.user 기본값 변경

  Linux가 아닌 게스트를 실행하는 경우에 적용됩니다.

• 릴리스 페이지에 2건 더

조치 필요 (2)

• securitycritical보안 취약점 수정

  CVE-2026-50195, CVE-2026-53488, CVE-2026-53492, CVE-2026-53489, CVE-2026-47262 관련 보안 취약점을 수정했습니다.

• breakingopenUserFile의 사용자 데이터베이스 파일 읽기 제한

  openUserFile에서 사용자 데이터베이스 파일 읽기를 제한합니다. 이전에 허용되던 일부 입력이 거부될 수 있습니다.

영향 확인 (1)

• breakingDoH3 HTTP/3 요청 헤더 크기 제한

  DoH3를 사용하는 경우 적용됩니다.

영향 확인 (1)

• breakingQEMU 2MB OVMF 이미지 제거

  적용 대상이 릴리스 노트에 명시되지 않았습니다.

조치 필요 (1)

• securityhighCVE-2026-46680 보안 문제 수정

  CVE-2026-46680 보안 문제를 수정했습니다.

조치 필요 (1)

• securityhighCVE-2026-46680 보안 수정

  CVE-2026-46680 관련 보안 결함 수정이 포함됩니다.

조치 필요 (2)

• securityhighspdystream 의존성 업데이트

  spdystream 의존성을 업데이트해 CVE-2026-35469를 수정했습니다.

• breakingCRI-O CNI 모니터링 변경 되돌림

  노드의 기본 런타임 설정을 표시하던 CRI-O CNI 모니터링 변경을 되돌렸습니다. 이 변경으로 노드 부트스트래핑 회귀가 발생했습니다.

조치 필요 (1)

• breakingOCI hook 조정 담당자 취합 및 플러그인 이름의 쉼표 제한

  OCI hook 조정 담당자를 모으고, 플러그인 이름에는 쉼표를 사용할 수 없게 됩니다.

영향 확인 (1)

• breaking샌드박스 메타데이터의 Container 필드 제거

  API 명세에서 Container를 사용하는 경우에 적용됩니다.

조치 필요 (11)

• breakingStrictIPCIDRValidation 기본 활성화

  kube-apiserver의 StrictIPCIDRValidation 기능 게이트가 기본적으로 활성화됩니다.

• breaking디버그 프로필 기본값 변경

  디버그 프로필 기본값이 legacy에서 general로 바뀌었습니다.

• breakingWatchCacheInitializationPostStartHook 기본 활성화

  WatchCacheInitializationPostStartHook 기능 게이트가 기본적으로 활성화됩니다.

• breakingKubeletPSI 정식 단계 승격

  KubeletPSI 기능이 정식 단계로 승격되고 기본적으로 활성화됩니다.

• breakingRelaxedServiceNameValidation 베타 승격

  RelaxedServiceNameValidation 기능 게이트가 베타 단계로 승격되고 기본적으로 활성화됩니다.

• breakingRestartAllContainersOnContainerExits 베타 승격

  RestartAllContainersOnContainerExits 기능 게이트가 베타 단계로 승격되고 기본적으로 활성화됩니다.

• breaking중단된 작업 관련 기능 게이트 기본 활성화

  MutablePodResourcesForSuspendedJobs와 MutableSchedulingDirectivesForSuspendedJobs 기능 게이트가 기본적으로 활성화됩니다.

• breakinginformer 저장소 갱신 순서 변경

  기본 informer가 목록 또는 재목록의 모든 객체로 저장소 상태를 먼저 갱신한 뒤, 삭제·추가·변경된 개별 항목에 대해 OnDelete, OnAdd, OnUpdate 핸들러를 호출합니다.

• breakinginformer watch 이벤트 처리 방식 변경

  이미 대기 중인 이벤트를 처리하는 동안 informer가 새 watch 이벤트를 큐에 추가할 수 있습니다.

• breaking클라이언트 인증 기관 순환 기본 활성화

  해당 기능이 기본적으로 활성화되며 ClientsAllowCARotation 기능 게이트로 끌 수 있습니다.

• breaking클라이언트 TLS 캐시 정리 기본 활성화

  해당 기능이 기본적으로 활성화되며 ClientsAllowTLSCacheGC 기능 게이트로 제어할 수 있습니다.

조치 필요 (1)

• securitycriticalGo 1.26.2 기반 빌드와 취약점 수정

  Go 1.26.2로 빌드하며, CVE-2026-32282, CVE-2026-32289, CVE-2026-33810, CVE-2026-27144, CVE-2026-27143, CVE-2026-32288, CVE-2026-32283, CVE-2026-27140, CVE-2026-32936, CVE-2026-33190, CVE-2026-33489, CVE-2026-32934, CVE-2026-35579에 대한 보안 수정이 포함됩니다.

영향 확인 (1)

• breakingMaxUnavailableStatefulSet 기본 비활성화

  MaxUnavailableStatefulSet을 활성화하지 않은 경우에 적용됩니다.

영향 확인 (2)

• breakingHelm 저장소의 OCI 전환

  Helm을 사용하는 경우에 적용됩니다.

• breaking공급업체 중립 API 그룹과 사용자 제어 마이그레이션 도입

  k8gb.absa.oss/v1beta1을 사용하는 경우에 적용됩니다.

영향 확인 (1)

• breaking네이티브가 아닌 아키텍처의 기본 하이퍼바이저로 QEMU 사용

  네이티브가 아닌 아키텍처에서 QEMU가 실행되는 경우에 적용됩니다.

영향 확인 (1)

• breakingSchedulerAsyncAPICalls 기능 게이트 비활성화

  SchedulerAsyncAPICalls 기능 게이트를 사용하는 경우에 적용됩니다.

조치 필요 (1)

• breaking메모리 TLS 설정 전달 로그인 옵션 제거

  pkg/registry에서 메모리로 TLS 설정을 전달하던 로그인 옵션을 되돌렸습니다.

조치 필요 (1)

• breaking정규식 길이 제한 추가

  core에 정규식 길이 제한이 추가되었습니다.