릴리스

영향 확인 (4)

• security공백만 있는 권한으로 인한 JWT 검증 중단 수정

  JWT 검증을 사용하는 경우 적용됩니다.

  공백만 있는 권한이 있어도 JWT 검증 과정에서 서버가 중단되지 않습니다.

• securityverify_and_map의 빈 비밀번호 인증 우회 차단

  TLS verify_and_map을 구성한 경우 적용됩니다.

  TLS verify_and_map이 빈 비밀번호를 사용하는 사용자를 인증하던 우회 문제가 수정되었습니다.

• securityMQTT의 $MQTT.> 구독 권한 우회 차단

  MQTT를 사용하는 경우 적용됩니다.

  MQTT 클라이언트는 이제 $MQTT.> subject를 구독할 수 없어 잠재적인 권한 우회가 차단됩니다.

• 릴리스 페이지에 1건 더

조치 필요 (1)

• breaking디스크 동시성 세마포어 기본 용량 증가

  디스크 동시성 세마포어가 CPU에 따라 계산하던 이전 값에서 4096개 슬롯으로 늘어났습니다. 관련 변경 사항은 #8336에 해당합니다.

영향 확인 (3)

• securityLeaf 연결의 Nats-Trace-Dest 권한 검사 우회 수정

  Leaf 연결을 사용하는 경우에 해당합니다.

  Leaf 연결이 Nats-Trace-Dest 게시 권한 검사를 더 이상 우회하지 않습니다.

• security부분 CONNECT 패킷으로 인한 사전 인증 메모리 고갈 수정

  MQTT를 사용하는 경우에 해당합니다.

  일부 CONNECT 패킷만으로 사전 인증 메모리가 고갈되지 않습니다.

• breaking모니터링 엔드포인트의 JSONP 콜백 지원 제거

  JSONP 콜백 지원을 사용하는 경우에 해당합니다.

  모니터링 엔드포인트에서 JSONP 콜백 지원이 제거되었습니다.

영향 확인 (1)

• breakingJSONP 콜백 지원 제거

  JSONP 콜백 지원을 사용하는 경우에 적용됩니다.

  JSONP 콜백 지원이 모니터링 엔드포인트에서 제거되었습니다.

영향 확인 (3)

• breaking암호 스위트 기본 동작 변경

  allow_insecure_cipher_suites를 활성화한 경우에 적용됩니다.

  crypto/tls의 새 암호 스위트가 자동으로 추가됩니다. 안전하지 않은 암호 스위트는 기본적으로 비활성화되며, allow_insecure_cipher_suites를 활성화하면 사용할 수 있습니다.

• breakingJetStream 요청 엄격 모드 기본 활성화

  JetStream을 사용하는 경우에 적용됩니다.

  잘못된 JetStream 요청에 서버가 로그만 남기지 않고 클라이언트에 오류도 반환합니다. strict mode가 기본으로 활성화되면서 잘못된 요청은 기본적으로 거부됩니다.

• breaking새 기능 사용 시 다운그레이드 호환성 제한

  새로운 v2.12 기능을 사용하는 경우에 적용됩니다.

  다운그레이드는 v2.11.9 이상 버전으로만 진행해야 합니다. 서버는 새 v2.12 기능의 사용 여부를 인식하고, 해당 기능을 사용하는 스트림이나 소비자를 지원되지 않음 또는 오프라인 상태로 안전하게 전환해 데이터와 서버를 보호합니다.

영향 확인 (1)

• breaking보존 메시지 제목의 ASCII DEL 문자 제한

  보존 메시지를 사용하는 경우에 적용됩니다.

  보존 메시지의 subject에는 ASCII DEL 문자(0x7F)를 넣을 수 없습니다.

조치 필요 (1)

• security/connz 모니터링 엔드포인트의 bearer JWT 노출 차단

  /connz 모니터링 엔드포인트가 bearer JWT를 더 이상 노출하지 않습니다.

영향 확인 (2)

• security/connz 모니터링 엔드포인트의 베어러 JWT 노출 차단

  /connz 모니터링 엔드포인트를 사용하는 경우에 적용됩니다.

  /connz 모니터링 엔드포인트에서 베어러 JWT가 더 이상 노출되지 않습니다.

• security명령줄 인수로 전달한 라우트와 클러스터 URL 비밀값 마스킹

  라우트와 클러스터 URL 비밀값을 명령줄 인수로 전달하는 경우에 적용됩니다.

  명령줄 인수로 전달한 라우트와 클러스터 URL 비밀값을 모니터링 과정에서 가립니다.

영향 확인 (3)

• security큐 구독의 ACL deny 우회 수정

  큐 구독을 사용하고 큐가 아닌 ACL deny 패턴을 설정한 경우에 적용됩니다.

  큐 구독이 큐가 아닌 ACL deny 패턴을 잘못 우회하지 않도록 수정되었습니다.

• breakingno_auth_user 사용 범위 제한

  no_auth_user를 설정한 경우에 적용됩니다.

  no_auth_user는 이제 클라이언트 연결에만 사용할 수 있습니다.

• breaking요청형 리프 연결의 중복 INFO 업데이트 제한

  요청형 리프 연결을 사용하는 경우에 적용됩니다.

  중복된 INFO 권한 업데이트는 요청형 리프 연결에서만 허용됩니다.

영향 확인 (2)

• breakingno_auth_user 적용 범위 제한

  no_auth_user를 설정한 경우 적용됩니다.

  no_auth_user의 적용 대상이 클라이언트 연결로 제한됩니다.

• breaking중복 INFO 권한 업데이트 허용 범위 조정

  요청형 리프 연결을 사용하는 경우 적용됩니다.

  중복된 INFO 권한 업데이트는 요청형 리프 연결에서만 허용됩니다.

조치 필요 (1)

• breakingJWT 크기 1MB 제한

  JWT 크기 제한을 1MB로 설정했습니다.

조치 필요 (1)

• breakingJWT 크기 1MB 제한

  JWT 크기 제한이 이제 1MB로 설정됩니다.

영향 확인 (3)

• securityCVE-2026-29785 수정

  leafnode compression이 활성화된 경우에 적용됩니다.

  leafnode compression이 활성화된 시스템에 영향을 주는 CVE-2026-29785를 수정했습니다.

• securityCVE-2026-27889 수정

  WebSockets가 활성화된 경우에 적용됩니다.

  WebSockets가 활성화된 시스템에 영향을 주는 CVE-2026-27889를 수정했습니다.

• breakingmax_conns에 0 설정 지원

  서버 설정에서 max_conns를 지정하는 경우에 적용됩니다.

  서버 설정의 max_conns를 0으로 지정하면 들어오는 모든 클라이언트 연결을 거부합니다.

영향 확인 (2)

• securityhighCVE-2026-29785 수정

  CVE-2026-29785가 존재하고 leafnode compression이 활성화된 경우 적용됩니다.

  leafnode compression이 활성화된 시스템에 영향을 주는 CVE-2026-29785를 수정했습니다.

• securityhighCVE-2026-27889 수정

  CVE-2026-27889가 존재하고 WebSockets가 활성화된 경우 적용됩니다.

  WebSockets가 활성화된 시스템에 영향을 주는 CVE-2026-27889를 수정했습니다.