릴리즈

etcd v3.6.9은 유지보수 릴리스입니다. 공개된 릴리스 노트에 변경 사항이 기재되어 있지 않으므로, 업그레이드 전 반드시 전체 CHANGELOG를 확인해야 합니다.

• breaking업그레이드 전 CHANGELOG 직접 확인 — 릴리스 노트만으로는 부족

  v3.6.9 릴리스 노트에는 변경 내역이 전혀 없습니다. etcd 클러스터를 업그레이드하기 전에 CHANGELOG-3.6.md를 직접 열어 현재 버전 이후 항목을 꼼꼼히 확인하세요. 3.6 시리즈에는 브레이킹 체인지가 포함될 수 있고, etcd는 상태 저장 시스템이라 이 단계를 건너뛰면 실제 장애로 이어질 수 있습니다.

• enhancementquay.io에서 이미지를 받는다면 버전 일치 여부 검증 필요

  etcd의 기본 레지스트리는 gcr.io/etcd-development/etcd입니다. 파이프라인이 quay.io/coreos/etcd를 사용한다면, 해당 이미지가 gcr.io 이미지와 다이제스트 수준에서 일치하는지 확인하세요. 보조 레지스트리는 업데이트가 늦을 수 있습니다. 태그만 핀닝하는 것으로는 부족하고, 다이제스트로 고정해야 버전 불일치를 막을 수 있습니다.

etcd v3.5.28은 3.5 시리즈의 패치 릴리스입니다. 릴리스 노트 내용이 빈약하므로, 업그레이드 전 반드시 전체 CHANGELOG를 확인해야 합니다.

• breaking릴리스 노트가 불완전하므로 CHANGELOG를 직접 확인할 것

  v3.5.28 릴리스 노트에는 실제 변경 내용이 전혀 없습니다. etcd 클러스터를 업그레이드하기 전, 반드시 저장소의 CHANGELOG-3.5.md를 열어 현재 버전 이후 항목을 직접 검토하세요. etcd는 상태 저장 시스템인 만큼 이 단계를 건너뛰는 건 실질적인 위험입니다.

• enhancement컨테이너 이미지는 기본 레지스트리에서 받을 것

  gcr.io/etcd-development/etcd가 공식 이미지 소스입니다. quay.io/coreos/etcd는 보조 레지스트리로 업데이트가 늦을 수 있습니다. 현재 quay.io에서 이미지를 받고 있다면, 운영 환경 배포 전 이미지 다이제스트가 기본 레지스트리와 일치하는지 반드시 검증하세요.

etcd v3.4.42는 3.4 브랜치의 유지보수 릴리스입니다. 릴리스 노트 자체에는 변경 내용이 거의 없으므로, 업그레이드 전에 전체 CHANGELOG를 반드시 확인하세요.

• breaking패치 릴리스라도 업그레이드 가이드 확인 필수

  릴리스 노트에 명시적으로 Breaking Change 가능성이 언급되어 있습니다. 3.4.x 패치 버전이라 가능성은 낮지만, 스냅샷이나 WAL 처리 관련 변경이 포함될 수 있습니다. 프로덕션 클러스터에 적용하기 전에 해당 버전의 업그레이드 가이드를 반드시 검토하세요.

• enhancement업그레이드 전 전체 CHANGELOG 직접 확인

  공개된 릴리스 노트에는 변경 내용이 사실상 없습니다. 어떤 버그 픽스나 패치가 포함됐는지 파악하려면 etcd 저장소에서 CHANGELOG-3.4.md를 직접 확인하세요. 합의 저장소를 내용도 모른 채 업그레이드하는 건 피해야 합니다.

v1.35.3은 kubeadm 버그 수정 2건과 DRA 퇴출 상태 메시지 정리 1건으로 구성된 소규모 패치입니다. 위험도가 낮아 안심하고 적용할 수 있습니다.

• enhancementetcd learner 엔드포인트 버그 수정을 위해 kubeadm 업그레이드 권장

  etcd learner 멤버 수정이 이번 패치에서 운영상 가장 중요한 변경 사항입니다. kubeadm으로 관리하는 클러스터에서 노드 조인이나 멤버 승격 중 etcd 클라이언트 연결 문제를 겪은 적 있다면 이 패치가 근본 원인을 해결합니다. 설정 변경 없이 kubeadm 바이너리만 업데이트하면 되므로, 다음 유지보수 창에 적용하는 것을 권장합니다.

• enhancement피어 마운트 환경에서 kubeadm reset 안정성 향상

  /var/lib/kubelet에 피어 마운트가 구성된 환경(특정 컨테이너 런타임 또는 중첩 마운트 설정)에서 reset 자동화가 실패한 경험이 있다면 이 수정이 적용됩니다. EINVAL 오류가 reset 과정을 막지 않으므로, 원인 불명의 reset 실패를 겪고 있는 경우 업그레이드할 만합니다.

v1.34.6은 etcd learner 엔드포인트 문제와 클러스터 리셋 시 kubelet 언마운트 오류를 수정하는 소규모 패치 릴리스입니다.

• enhancementetcd 멤버 추가 작업이 있다면 즉시 업그레이드 검토

  etcd learner는 아직 투표권이 없는 상태인데, 이 시점에 클라이언트 엔드포인트에 포함되면 프로모션 완료 전까지 요청 실패가 발생할 수 있습니다. etcd 노드 추가 중 간헐적 클라이언트 오류를 겪었다면 이 패치가 해결책입니다. 그렇지 않다면 일반 패치 주기에 맞춰 적용하면 됩니다.

• enhancementkubeadm reset 실패 경험이 있다면 이 패치를 우선 적용

  /var/lib/kubelet 하위 바인드 마운트를 정리하지 못해 reset이 중간에 멈추는 문제가 수정됐습니다. 마운트 네임스페이스가 겹치거나 특정 파일시스템 설정을 쓰는 노드에서 주로 발생합니다. 리셋 실패 후 수동 정리를 반복했다면, 이 패치로 해당 번거로움을 없앨 수 있습니다.

v1.33.10은 ValidatingAdmissionPolicy의 kube-controller-manager 크래시 버그와 kubeadm 운영 버그 두 건을 수정한 소규모 패치입니다. 의존성 변경은 없습니다.

• breaking개방형 스키마 VAP 사용 중이라면 즉시 패치 필요

  `additionalProperties: true`를 사용하는 ValidatingAdmissionPolicy가 존재하면 kube-controller-manager가 nil 포인터 예외로 완전히 다운됩니다. 우아한 성능 저하가 아닌 즉각적인 크래시입니다. v1.33.x를 사용 중이라면 현재 배포된 VAP 정책을 점검하고, 개방형 스키마 정책을 추가하기 전에 반드시 v1.33.10으로 업그레이드하세요.

• enhancementHA 클러스터 컨트롤 플레인 확장 전 업그레이드 권장

  etcd는 신규 멤버를 learner로 먼저 등록한 뒤 승격시키는데, 이전 버전 kubeadm은 learner를 클라이언트 엔드포인트 풀에 포함시켜 조인 과정에서 간헐적 etcd 클라이언트 오류를 유발했습니다. kubeadm으로 관리되는 HA 클러스터에서 컨트롤 플레인 노드를 추가할 계획이 있다면, 작업 전에 이 패치를 적용하세요.

• enhancement노드 자동화 해제 스크립트에서 kubeadm reset 안정성 개선

  /var/lib/kubelet이 bind 마운트된 노드에서 `kubeadm reset`을 실행하면 EINVAL 오류로 정리 작업이 중간에 실패했습니다. 이제 peer 마운트에서 예상되는 EINVAL을 무시하므로 reset이 깔끔하게 완료됩니다. 노드 폐기를 스크립트로 자동화하는 환경이라면 이 패치의 효과를 바로 체감할 수 있습니다.

Lima v2.1.0은 macOS·FreeBSD 게스트를 실험적으로 지원하고, 게스트 홈 디렉터리 경로를 변경하며 디스크 파일 구조를 통합했습니다. 업그레이드 전 마이그레이션 고려가 필요합니다.

• breaking디스크 파일 통합으로 다운그레이드 불가

  v2.1에서 한 번 실행된 인스턴스는 v2.0·v1.x와 호환되지 않습니다. 업그레이드 전에 중요한 VM 인스턴스를 스냅샷하거나 백업하세요. CI 파이프라인이나 팀 공유 환경에서 Lima 버전을 고정해 쓰고 있다면, 모든 사용자가 동시에 업그레이드해야 합니다. 인스턴스별 롤백은 불가능합니다.

• breaking`/home/${USER}.linux` 하드코딩 경로 점검 필요

  게스트 홈 디렉터리가 `/home/${USER}.guest`로 바뀌었습니다. 심볼릭 링크 덕분에 대부분은 그냥 동작하겠지만, `.linux` 경로를 직접 참조하는 스크립트·dotfile·바인드 마운트 설정은 따로 확인해야 합니다. 특히 심볼릭 링크를 따라가지 않는 컨테이너 볼륨 설정이 있다면 지금 수정하세요.

• enhancementAI 에이전트 워크플로에는 `--sync` 플래그 적용

  Claude Code, Aider 같은 AI 코딩 에이전트를 Lima 셸 안에서 실행한다면, `limactl shell --sync`를 쓰면 에이전트가 호스트 파일을 실수로 수정하는 상황을 막을 수 있습니다. 에이전트를 구동하는 스크립트나 자동화 설정에 이 플래그를 기본으로 추가해 두는 걸 권장합니다.

• enhancementk3s 템플릿으로 멀티노드 클러스터 로컬 테스트 가능

  내장 k3s 템플릿이 멀티노드 클러스터를 지원하게 됐습니다. 그동안 이 한계 때문에 Rancher Desktop이나 커스텀 설정을 써왔다면, 이제 네이티브 템플릿으로 전환할 시점입니다. 로컬 Kubernetes 테스트 환경을 더 현실적으로 구성할 수 있습니다.

Helm v3.20.1은 차트 값 처리와 OCI 레지스트리 운영에서 배포 실패를 유발할 수 있는 두 가지 중요한 버그를 수정했습니다.

• enhancement값 처리 수정을 위해 즉시 업그레이드

  차트 배포를 중단시킬 수 있는 두 가지 버그가 해결되었습니다. nil 값 보존 수정으로 차트 기본값을 재정의할 때 예상치 못한 동작을 방지하고, OCI 태그+다이제스트 수정으로 두 식별자를 모두 사용하는 레지스트리에서 차트를 제대로 가져올 수 있게 됩니다. 업그레이드 후 기존 차트를 테스트해서 값 재정의가 예상대로 작동하는지 확인하세요.

• enhancementOCI 차트 참조 정상 동작 확인

  태그+다이제스트 참조(`registry/chart:v1.0@sha256:abc123` 형태)와 함께 OCI 레지스트리를 사용한다면, 이번 릴리스에서 이전의 'invalid byte' 오류가 수정되었습니다. 차트 불변성을 위해 태그+다이제스트 조합을 사용하기 전에 CI/CD 파이프라인을 이 버전으로 업데이트하세요.

Helm v4.1.3는 OCI 레지스트리, dry-run 작업, 값 처리에서 배포 실패나 예측 불가능한 동작을 일으키던 여러 중요한 버그를 수정했습니다.

• breakingOCI 레지스트리 워크플로우 즉시 업데이트

  컨테이너 이미지와 Helm 차트를 같은 태그로 저장하는 OCI 레지스트리를 사용한다면 즉시 업그레이드하세요. 이전 버그는 완전한 풀링 실패를 일으켰습니다. 업그레이드 후 차트 풀링을 테스트해서 레지스트리 설정과의 호환성을 확인하세요.

• enhancement오토스케일링 업그레이드 타임아웃 검토

  이제 업그레이드가 조기 실패하지 않고 클러스터 오토스케일러와 롤링 업데이트를 제대로 기다립니다. 배포 파이프라인을 검토하고 이 문제를 우회하려고 추가했던 인위적인 지연을 줄이는 것을 고려하세요. 초기 업그레이드를 면밀히 모니터링해서 개선된 동작을 확인하세요.

• enhancementgenerateName 사용 시 dry-run 작업 검증

  서버사이드 dry-run이 이제 generateName 필드를 올바르게 처리합니다. generateName을 사용하는 리소스에 대해 dry-run 검증을 피하고 있었다면 CI/CD 파이프라인에서 다시 활성화하세요. 배포 전 검증 범위가 개선됩니다.

containerd 2.2.2는 프로덕션 쿠버네티스 워크로드에 영향을 줄 수 있는 CRI 네트워킹 버그, 레지스트리 인증정보 유출, AppArmor 호환성 문제를 수정했습니다.

• security레지스트리 인증정보 노출 방지를 위한 업데이트

  레지스트리 인증정보가 에러 메시지와 파드 이벤트에 노출될 수 있었습니다. 인증이 필요한 프라이빗 레지스트리를 사용한다면 즉시 이 패치를 배포하세요. 해당 인증정보가 권한 없는 사용자가 접근할 수 있는 로그나 쿠버네티스 이벤트에 나타날 수 있기 때문입니다.

• breaking재시작 후 CNI 네트워크 정리 문제 해결

  containerd 재시작 후 CNI DEL 작업이 실행되지 않아 오래된 네트워크 구성이 남아있었습니다. 파드 네트워킹 안정성에 영향을 줍니다. 다음 유지보수 기간 전에 업데이트해서 네트워크 네임스페이스 누수와 잠재적인 IP 충돌을 방지하세요.

• enhancementAppArmor 호환성을 위한 업그레이드

  AppArmor 프로파일이 이제 최신 커널에서 유닉스 도메인 소켓과 올바르게 동작합니다. 최신 커널 버전을 실행하면서 AppArmor가 활성화된 상태에서 소켓 연결 문제를 겪고 있다면, 이 업데이트가 호환성 문제를 해결해줍니다.

CoreDNS v1.14.2는 ACL 우회 방지와 루프 감지 보안 강화 등 중요한 보안 수정사항을 포함하며, 로드 밸런서 뒤에서 클라이언트 IP를 보존할 수 있는 프록시 프로토콜 지원을 추가했습니다.

• securityACL 우회 취약점 수정을 위한 즉시 업그레이드 필요

  이번 릴리스는 rewrite 플러그인이 ACL 제한을 우회할 수 있는 CVE-2026-26017을 수정합니다. 접근 제어에 ACL 플러그인을 사용하는 팀은 이 업그레이드를 우선시하고, rewrite 규칙이 제한된 존을 의도치 않게 노출하지 않는지 확인해야 합니다.

• security다중 CVE 수정을 위한 Go 런타임 업데이트

  Go 1.26.1 업데이트는 런타임의 5개 CVE를 해결했습니다. CoreDNS 수정사항과 함께 기반 Go 보안 개선사항도 얻을 수 있도록 롤아웃을 계획하세요. 특히 CoreDNS 인스턴스가 인터넷에 노출되어 있다면 더욱 중요합니다.

• enhancement로드 밸런서 환경에서 proxyproto 플러그인 배포

  로드 밸런서 뒤에서 CoreDNS를 운영하며 로깅이나 ACL을 위해 실제 클라이언트 IP 가시성이 필요하다면 새로운 proxyproto 플러그인을 설정하세요. 클라이언트 IP 기반 정책이나 감사 추적이 필요한 환경에서 특히 유용합니다.

CRI-O v1.33.10은 고성능 훅의 IRQ SMP 어피니티 처리에서 발생하는 치명적인 버그를 수정했습니다. 이 버그는 컨테이너 삭제 지연 시나리오에서 컨테이너 간 IRQ 간섭을 일으킬 수 있었습니다.

• security고성능 훅 사용 시 즉시 업데이트 필요

  이 버그는 컨테이너 간 IRQ 처리를 방해해서 고성능 워크로드에서 성능 저하나 예상치 못한 동작을 일으킬 수 있습니다. 고성능 훅을 활성화한 CRI-O를 운영 중이라면(주로 HPC나 지연 시간에 민감한 환경) 컨테이너 정리 중 발생하는 IRQ SMP 어피니티 손상을 방지하기 위해 즉시 업그레이드하세요.

CRI-O v1.35.1은 사용자 네임스페이스에서 systemd 컨테이너 문제를 해결하고 API 서버용 TLS 설정 옵션을 추가했습니다.

• breaking사용자 네임스페이스 systemd 워크로드 테스트 필요

  v1.35.0에서 hostUsers: false 설정 시 systemd 컨테이너가 작동하지 않는 회귀 버그가 있었습니다. 이번 패치로 해결되었지만, v1.35.0을 사용 중이라면 즉시 업그레이드하고 사용자 네임스페이스 격리를 사용하는 systemd 워크로드가 정상 시작되는지 테스트해야 합니다.

• enhancement프로덕션 보안을 위한 TLS 설정 구성

  새로운 TLS 설정 옵션으로 스트리밍 및 메트릭 서버 보안을 강화할 수 있습니다. [crio.api] 섹션에 tls_min_version과 tls_cipher_suites를 추가하여 프로덕션 환경에서 TLS 1.3과 강력한 암호화 제품군을 강제할 수 있습니다.

• enhancementrunc v1.4.0 호환성 검증

  runc v1.4.0 업데이트로 성능 개선과 버그 수정이 이뤄졌습니다. 특히 cgroups v2나 체크포인트/복원 같은 고급 기능을 사용하는 컨테이너 워크로드는 새로운 런타임 버전과의 호환성을 테스트해봐야 합니다.

CRI-O v1.34.6은 기능 변경, 의존성 업데이트, 버그 수정이 전혀 없는 유지보수 릴리스로, v1.34.5에서 버전만 올린 것입니다.

• enhancement정책상 필요한 경우가 아니면 업그레이드 생략

  이 릴리스는 기능적 변경이 전혀 없습니다. 조직의 컴플라이언스 정책상 최신 패치 버전 사용이 필수가 아니라면 v1.34.5를 그대로 사용하세요. 실제 개선사항이 있는 릴리스를 위해 업그레이드 작업을 아껴두는 것이 좋겠습니다.