릴리즈

Longhorn v1.11.3은 볼륨 동작, 백업, 인스턴스 관리 전반에 걸친 10여 건의 안정성 문제를 해결한 버그픽스 롤업입니다. CSI external provisioner가 v6.3.0으로 올라가, v1.10.x 또는 v1.11.0에서 업그레이드하려면 Kubernetes v1.34 이상이 선행되어야 합니다.

• breakingv1.10.x 또는 v1.11.0에서 업그레이드 시 Kubernetes v1.34+ 필요

  CSI external provisioner가 v6.3.0으로 올라가면서 Kubernetes v1.34 이상이 필요합니다. Longhorn v1.10.x 또는 v1.11.0에서 업그레이드할 경우, Longhorn을 먼저 올리기 전에 클러스터의 Kubernetes 버전을 v1.34+로 맞춰야 합니다.

Dragonfly v2.5.0은 Hugging Face/ModelScope 모델 다운로드, P2P 인젝터 웹훅, 다운로드 블록리스트, 전면적인 속도 제한을 추가하는 기능 릴리스이며, 더 이상 사용되지 않던 V1 프리히트 API 엔드포인트 제거와 헬스체크의 /healthy 통합이라는 주요 변경도 포함합니다. 다수의 버그 수정과 Nydus 서브프로젝트 개선도 함께 담겼습니다.

• breakingV1 프리히트 API 엔드포인트 제거

  v2.5.0부터 조건 없이 적용됩니다: 더 이상 사용되지 않던 V1 프리히트 API 엔드포인트가 제거되었습니다. 이 경로를 호출하던 자동화나 연동은 업그레이드 전에 현재 프리히트 API로 옮겨야 합니다.

• breaking헬스체크 /healthy로 통합

  v2.5.0부터 조건 없이 적용됩니다: 헬스체크가 /healthy 엔드포인트 하나로 통합되었습니다. 기존 헬스체크 경로를 참조하던 로드밸런서, 쿠버네티스 프로브, 모니터링 설정을 수정해야 합니다.

• enhancement긴급 다운로드 블록리스트

  현재 Manager 콘솔에서 사용 가능합니다: 특정 다운로드를 긴급 차단할 수 있는 블록리스트를 설정할 수 있습니다. 차단된 gRPC 요청은 PermissionDenied, HTTP 프록시 요청은 FORBIDDEN을 반환하며 장애 대응에 활용할 수 있습니다.

• enhancementgRPC 및 클라이언트 전반 속도 제한

  현재 Manager/Scheduler gRPC 서버와 클라이언트 전반에 적용됩니다: 대역폭, 업/다운로드 요청, 적응형 제한을 포함한 속도 제한이 추가되었습니다. 배포 전에 제한값을 검토해 정상 트래픽이 의도치 않게 제한되지 않도록 확인하세요.

Rook v1.20.1은 Ceph 연산자 안정성에 중점을 둔 패치 릴리스입니다. Ceph CSI 드라이버 호환성, OSD 메이저 버전 관리, CSI-addons 기본 비활성화로 예기치 않은 동작을 줄였습니다.

• breakingCSI-addons 기본 비활성화 — 클러스터 종속성 확인 필수

  v1.20.1에서 CSI-addons(스냅샷, 클론, 확장 기능)이 기본적으로 비활성화됩니다. 워크로드가 이 기능에 의존 중이면 Ceph 클러스터 spec에서 명시적으로 활성화해야 합니다. 활성화하지 않으면 RWX 볼륨 스냅샷과 클론이 실패합니다. 업그레이드 전에 Helm 값과 연산자 설정을 검토하고 필요시 addons를 활성화하세요.

• enhancement노드 라벨로 OSD 디바이스 클래스 할당 — 수동 맵핑 대체

  각 노드마다 디바이스 클래스를 하드코딩하는 대신 Kubernetes 노드 라벨(예: `disk-type: ssd`)을 사용하여 OSD를 자동으로 분류할 수 있습니다. 혼합 하드웨어 클러스터 확장이 간단해집니다. 노드 라벨을 적용한 후 Ceph 클러스터 spec에서 참조하여 노드별 설정 편차를 피하세요.

• enhancementCeph 메이저 업그레이드 후 require-osd-release 자동 설정

  Ceph 메이저 버전 업그레이드(예: Quincy에서 Reef로) 후 Rook이 `require-osd-release`를 자동으로 설정하여 구 OSD가 클러스터 준비 전에 다시 합류하는 것을 방지합니다. 업그레이드 전에 모든 OSD를 함께 업데이트할 수 있는지 확인하세요. 일부 OSD를 구 버전으로 고정했다면 고정을 해제할 때까지 합류가 차단됩니다.

Rook v1.20은 CSI 드라이버 관리를 Ceph CSI 오퍼레이터로 이관하는 breaking change를 포함하며, 암호화 OSD 자동 리사이즈, Vault Agent SSE-S3 지원, 동시 클러스터 조정 안정화도 함께 제공됩니다.

• breaking업그레이드 전에 CSI 설정 마이그레이션 경로를 먼저 정리하세요

  기존 클러스터는 업그레이드 후에도 이전 CSI 설정이 그대로 유지되지만, 이후 변경은 반드시 Ceph-CSI OperatorConfig와 Driver CR로 처리해야 합니다. Helm 사용자는 ceph-csi-drivers 차트가 오퍼레이터 설정을 담당하고, 커스텀 이미지는 rook-ceph 차트 values에 남습니다. 업그레이드 전에 현재 CSI 커스터마이징 항목을 미리 정리해두지 않으면, 나중에 설정 변경이 필요할 때 당황하게 됩니다.

• enhancement커스텀 CRUSH 룰이 있다면 업그레이드 전에 반드시 확인하세요

  이제 mgr 시작 시 미사용 CRUSH 룰이 자동으로 삭제됩니다. 페일오버나 수동 배치용으로 의도적으로 남겨둔 CRUSH 룰이 있다면, 업그레이드 전에 오퍼레이터 configmap에 ROOK_DELETE_UNUSED_CRUSH_RULES=false를 설정하세요. 필요한 순간에 CRUSH 룰이 사라져 있는 상황은 최악의 타이밍에 터집니다.

• enhancement다중 CephCluster 운영 환경이라면 동시 조정 기능을 활성화하세요

  ROOK_RECONCILE_CONCURRENT_CLUSTERS가 stable로 승격됐습니다. 단일 오퍼레이터로 여러 CephCluster를 관리하는 환경에서는 이 설정을 켜면 조정 병목이 해소됩니다. 기존에는 느린 클러스터 하나가 전체 조정을 막는 문제가 있었는데, 멀티테넌트나 멀티클러스터 구성에서 특히 체감 차이가 큽니다.

Longhorn v1.12.0은 V2 Data Engine을 GA로 승격하고, 듀얼스택·IPv6 지원을 추가하며, 연쇄 볼륨 분리를 유발하던 instance-manager 패닉과 복제본 스케줄링 버그를 수정했습니다.

• breaking업그레이드 전 V2 Backing Image 볼륨 반드시 마이그레이션

  Backing Image로 생성된 V2 볼륨은 인플레이스 업그레이드가 불가합니다. v1.12.0으로 업그레이드하기 전, 해당 볼륨을 백업하고 삭제한 뒤 백업에서 복원하세요. 복원된 볼륨은 backing image 의존성이 없습니다. 이 과정을 건너뛰면 업그레이드 후 볼륨 연결이 실패합니다. 향후 VM 디스크 이미지 임포트는 CDI를 사용하세요.

• breakingV2 볼륨은 패치 업그레이드 전 반드시 분리 필요

  V2 볼륨은 v1.12.x 패치 릴리스 간 라이브 업그레이드를 지원하지 않습니다. 패치 업그레이드 적용 전 모든 V2 볼륨을 분리할 유지보수 시간을 확보하세요. v1.12에서 v1.13으로의 마이너 버전 라이브 업그레이드는 계획 중이지만 아직 지원되지 않습니다.

• breaking암호화 볼륨 라이브 마이그레이션 전 엔진 이미지 업그레이드 필요

  암호화 볼륨의 LUKS2 헤더 사전 할당 수정으로 제약이 생겼습니다. 암호화된 마이그레이터블 볼륨의 라이브 마이그레이션은 CLI API 버전 12 이상의 엔진 이미지가 필요합니다. 라이브 마이그레이션 시도 전 엔진 이미지를 v1.12.0 이상으로 업그레이드하세요.

• enhancement기존 V2 배포의 SPDK CPU 할당량 검토 권장

  기본 CPU 마스크가 1코어에서 2코어로 변경됐습니다. 수동으로 단일 코어를 설정해 V2 볼륨을 운영 중인 클러스터는 코어 수 증가를 검토하세요. 단일 코어 환경에서 고부하 I/O가 발생하면 RPC 기아와 운영 불안정이 생깁니다. ARM64에서 NVMe 백엔드 노드 디스크를 쓰는 경우, I/O 멈춤 버그가 해결될 때까지 멀티코어 SPDK 설정을 피하고 AIO 백엔드 디스크를 사용하세요.

• enhancement듀얼스택 활성화 전 노드 IP 패밀리 순서 반드시 확인

  듀얼스택 Kubernetes 클러스터를 지원하지만, 모든 노드의 IP 패밀리 순서가 동일해야 합니다(전체 IPv4 우선 또는 전체 IPv6 우선). 활성화 전 노드 네트워크 설정을 점검하세요. 노드 간 순서가 혼재하면 복제본-엔진 간 연결 장애가 발생하는데, 오류 메시지만 봐서는 원인을 파악하기 어렵습니다.

Rook v1.18.11은 liveness probe 안정성, OSD 디스크 처리, CSI priority class 할당을 개선합니다. 주요 breaking change는 없지만 CSI 컴포넌트 수정으로 포드 스케줄링이 바뀔 수 있습니다.

• breakingCSI priority class 이름 수정

  CSI provisioner와 plugin priority class 이름이 이전 v1.18.x 릴리스에서 바뀌어 있었습니다(PR #17361). CSI priority class를 커스텀으로 설정했다면 업그레이드 후 PVC와 plugin pod를 확인하세요. 이제 올바른 priority class가 올바른 컴포넌트에 적용되므로 스토리지 워크로드의 스케줄링 동작이 바뀔 수 있습니다.

• enhancementLiveness probe 스크립트 형식 개선

  Rook v1.18.11은 liveness probe 스크립트에서 줄바꿈을 제거했습니다(PR #17420). Ceph 클러스터의 liveness probe가 불안정하거나 포드가 자주 재시작된다면 즉시 업그레이드하세요. 공백 문제가 probe 출력 파싱을 방해할 수 있습니다. breaking change는 없지만 운영 중 노이즈를 제거할 수 있습니다.

• enhancement강제 OSD 설치를 위한 디스크 zapping

  디스크 zapping 기능(PR #17533)을 통해 강제 OSD 설치 시 디바이스를 명시적으로 제어할 수 있습니다. 기존 노드에 스토리지를 추가하거나 실패한 OSD 슬롯을 복구 중이라면 v1.18.11로 업데이트한 후 OSD 검색 워크플로우를 검토하세요. 이제 이전에 사용된 디스크에 수동 개입 없이 강제 설치할 수 있습니다.

Harbor v2.14.4는 세션 관리 버그, 스캐너 API 오류, DockerHub 토큰 인증 문제를 수정한 패치 릴리스로, Go 1.25.9 업그레이드와 보안 의존성 패치가 포함됩니다.

• securitygo-jose 및 OTel SDK 보안 패치 포함 — 즉시 업그레이드 권장

  go-jose/go-jose와 go.opentelemetry.io/otel/sdk 패키지가 명시적으로 업데이트됐는데, 이런 경우 대부분 CVE 대응입니다. 외부 트래픽에 노출된 Harbor 인스턴스나 민감한 레지스트리 자격증명을 다루는 환경이라면 우선 적용하세요. v2.14.3에서 v2.14.4는 패치 버전 업그레이드라 호환성 위험이 낮습니다.

• breaking세션 동작 변경 — 운영 배포 전 SSO 및 장기 세션 테스트 필수

  백그라운드 탭을 열어둔 상태에서 세션이 자동 유지되던 동작이 이번 수정으로 사라집니다. 설정된 세션 타임아웃대로 만료되므로, Harbor config의 세션 만료 시간을 재확인하고 사용자에게 변경된 동작을 사전 공지한 뒤 운영 환경에 적용하세요.

• enhancementDockerHub 복제가 실패 중이라면 이 패치로 해결됩니다

  DockerHub API 변경 이후 복제 실패가 발생했다면 /v2/auth/token 엔드포인트 수정으로 해결됩니다. 업그레이드 후 DockerHub 복제 규칙을 수동으로 실행해 복제 작업 로그를 확인하세요. 자격증명 없이 배포 인스턴스를 편집할 때 발생하던 버그도 함께 수정됐으니 관련 설정도 재검증하세요.

Vitess v24.0.1은 VTGate 쿼리 플래너의 DML 서브쿼리 버그 수정, 문제가 있던 VTOrc 플래그 되돌리기, VTTablet 불안정 테스트 해결에 집중한 패치 릴리스입니다.

• breakingVTOrc --cells-to-watch 플래그 설정에서 제거하세요

  #19354에서 추가된 'cells to watch' 플래그가 이번 릴리스에서 완전히 롤백됐습니다. v24.0.0 업그레이드 후 VTOrc 설정이나 시작 스크립트에 해당 플래그를 추가했다면, v24.0.1로 올리기 전에 반드시 제거해야 합니다. 그렇지 않으면 VTOrc가 알 수 없는 플래그 오류로 기동에 실패합니다.

• enhancementVTGate를 통해 DML 서브쿼리를 쓴다면 즉시 업그레이드하세요

  DML 문(INSERT/UPDATE/DELETE) 안의 IN/NOT IN 서브쿼리에서 플래너 버그가 있었습니다. 병합된 서브쿼리가 ListArg 플레이스홀더로 정상 치환되지 않아 잘못된 쿼리 결과가 나올 수 있었는데, 이번 패치로 수정됐습니다. VTGate를 통해 서브쿼리가 포함된 DML을 실행하는 환경이라면 빠른 업그레이드를 권장합니다.

v23.0.4는 VTOrc·VTGate·ERS의 패닉 및 데드락, VReplication과 라우팅 규칙의 무결성 버그를 집중적으로 수정한 패치 릴리스입니다.

• securityGo 1.25.9 업그레이드 — 커스텀 빌드 환경 확인 필요

  이번 릴리스 사이클에서 Go 런타임이 1.25.8에서 1.25.9로 올라갔습니다. 소스 빌드나 커스텀 이미지를 유지하고 있다면 go1.25.9로 재빌드해서 Go 패치 레벨의 런타임 수정사항을 반영하세요.

• breakingERS 또는 세미싱크 복제를 사용 중이라면 즉시 업그레이드 필요

  ERS 관련 버그 세 건이 한꺼번에 수정됐습니다. errant GTID 감지 중 nil 포인터 패닉, 취소 로직 오류, 그리고 ERS 실패 후 레플리카 IO 스레드가 재시작되지 않는 문제입니다. 어느 하나라도 발생하면 페일오버 후 클러스터가 비정상 상태로 남을 수 있습니다. VTOrc로 세미싱크를 운영 중이라면 ReplicationStopped + PrimarySemiSyncBlocked 데드락 수정도 동일하게 중요합니다. 복구 자체가 완전히 멈출 수 있거든요. 늦어도 다음 유지보수 창 전에 업그레이드하세요.

• enhancement멀티 키스페이스 환경에서 라우팅 규칙 동작 재검증 권장

  VTGate가 스키마 트래커 업데이트 후 라우팅 규칙을 재빌드하지 않고, 라우팅 규칙 AST 재작성 시 타깃 키스페이스를 유실하는 버그가 수정됐습니다. 두 버그 모두 쿼리는 성공처럼 보이지만 실제로는 엉뚱한 키스페이스로 라우팅될 수 있습니다. 멀티 키스페이스에서 라우팅 규칙을 쓰고 있다면 업그레이드 후 트래픽 경로를 반드시 검증하세요.

Longhorn v1.11.2는 컴퓨트/스토리지 분리 아키텍처에서의 CSI 스케줄링 오류, 레플리카 무한 루프, longhorn-manager 메모리 증가 문제를 수정한 안정성 패치입니다.

• breaking컴퓨트/스토리지 분리 클러스터라면 CSI 스케줄링 설정 확인 필수

  컴퓨트 노드와 스토리지 노드를 분리 운영 중이고 WaitForFirstConsumer PVC를 사용한다면, 컴퓨트 노드가 CSI 용량을 0으로 보고하면서 Pod가 Pending 상태로 멈추는 문제가 발생했을 수 있습니다. v1.11.2로 업그레이드 후 새로 추가된 CSIStorageCapacity 설정을 조정해 비스토리지 노드에서 용량 리포팅이 발생하지 않도록 하고, 기존에 Pending 상태였던 PVC가 정상 스케줄링되는지 확인하세요.

• breakingAuto-Balance 사용 중이라면 이번 패치 우선 적용 권장

  Replica Auto-Balance가 무한 스케줄링 루프에 진입하는 버그가 수정됐습니다. 이 문제는 CPU를 과도하게 소모하고 볼륨 운영을 불안정하게 만들 수 있습니다. Auto-Balance를 활성화한 클러스터라면 이번 릴리스를 우선 적용하세요. 업그레이드 후 별도 설정 변경은 필요 없습니다.

• enhancement대규모 클러스터라면 longhorn-manager 메모리 개선 효과 확인

  인포머 캐싱 최적화로 longhorn-manager Pod의 메모리 사용량이 줄었습니다. 노드와 볼륨이 많은 환경일수록 체감 효과가 큽니다. 업그레이드 외에 추가 설정은 필요 없지만, 업그레이드 전후 메모리 사용량을 비교해두면 개선 효과를 수치로 확인할 수 있습니다.

Vitess v24는 구조화 JSON 로깅을 기본 채택하고, 샤드 키스페이스에서 윈도우 함수 푸시다운을 지원하며, 백업 MANIFEST 명령 주입 취약점을 차단합니다. 총 460개 PR이 병합됐습니다.

• security백업 MANIFEST 명령 주입 취약점 기본 차단

  v24 이전에는 백업 스토리지 쓰기 권한을 가진 공격자가 MANIFEST 파일을 수정해 VTTablet 복구 시 임의 셸 명령을 실행할 수 있었습니다. v24부터 --external-decompressor-use-manifest 플래그 없이는 MANIFEST의 압축 해제 명령이 무시됩니다. v23 이하를 운영 중이라면 백업 스토리지 접근 제어를 보안 경계로 간주하고 쓰기 권한 보유자를 즉시 감사하세요.

• breaking백업 복구 설정에서 MANIFEST 압축 해제 동작 확인 필요

  --external-decompressor 플래그 없이 MANIFEST에 저장된 명령으로 압축 해제에 의존하던 환경이라면, v24에서 복구 시 압축 해제가 묵시적으로 건너뛰어져 복구 자체가 실패할 수 있습니다. 기존 동작을 유지하려면 VTTablet 설정에 --external-decompressor-use-manifest를 추가하세요. 다만 보안 고려가 필요합니다 — 백업 스토리지 쓰기 권한이 있는 공격자가 임의 명령을 실행할 수 있는 경로가 됩니다. --external-decompressor로 명시적으로 전달하는 방식으로 전환하는 것이 더 안전합니다.

• breakingVTOrc API 엔드포인트와 메트릭 참조 즉시 교체

  /api/replication-analysis는 v24에서 404를 반환합니다. 해당 URL을 호출하는 모니터링 스크립트, Grafana 대시보드, 알림 규칙이 있다면 프로덕션 배포 전에 /api/detection-analysis로 전환하세요 (파라미터와 응답 형식 동일). DiscoverInstanceTimings를 사용하는 대시보드도 DiscoveryInstanceTimings로 교체해야 합니다.

• enhancementOpenTelemetry 트레이싱 마이그레이션은 지금 하세요

  opentracing-jaeger와 opentracing-datadog는 v24에서 지원 중단 경고가 나오고 v25에서 완전히 제거됩니다. 마이그레이션 자체는 간단합니다. --tracer opentracing-jaeger를 --tracer opentelemetry로, --jaeger-agent-host host:port를 --otel-endpoint host:4317로 바꾸면 됩니다. Jaeger v1.35 이상은 기본적으로 4317 포트에서 OTLP를 수신하고, Datadog는 Agent의 OTLP 수집 엔드포인트를 사용하면 됩니다. 이번 업그레이드 주기에 처리하는 편이 낫습니다.

• enhancementVTOrc에 --cell 플래그 지금 추가하세요

  v24에서는 선택 사항이지만 v25부터 필수가 됩니다. 멀티셀 환경이라면 지금 추가하는 것이 좋습니다. 기동 시 토폴로지 검증으로 설정 오류를 조기에 잡을 수 있고, 향후 VTOrc의 크로스셀 복구 로직도 이 플래그를 기반으로 동작할 예정입니다. 다운타임 없이 플래그 하나로 v25 강제 변경을 미리 피할 수 있습니다.

Rook v1.19.5는 CSI 우선순위 클래스 스왑 버그, OSD CRUSH 장치 클래스 미적용, MON 드레인 안정성 등 주요 운영 버그를 수정한 패치 릴리스입니다.

• breaking업그레이드 후 CSI 우선순위 클래스 배정 반드시 확인

  프로비저너와 플러그인 컴포넌트에 우선순위 클래스가 반대로 적용되어 왔습니다. 커스텀 우선순위 클래스를 사용 중이라면 업그레이드 후 CSI 파드에 실제로 어떤 우선순위가 적용되는지 확인하고, Helm values 파일도 의도에 맞게 재검토하세요. 스토리지 I/O 지연에 민감한 워크로드를 운영 중인 환경은 특히 주의가 필요합니다.

• enhancementOSD 재탐색 후 CRUSH 장치 클래스 누락 문제 해결

  노드 교체나 OSD 재생성 후 장치 클래스(hdd/ssd/nvme)가 재적용되지 않아 OSD가 잘못된 CRUSH 버킷에 배치되는 문제가 있었습니다. 장치 클래스 기반 풀이나 배치 룰을 사용 중이라면 업그레이드 후 OSD 트리를 점검해 클래스 배정이 올바른지 확인하세요.

• enhancementROOK_UNREACHABLE_NODE_TOLERATION_SECONDS를 Helm values로 관리

  기존에는 오퍼레이터 디플로이먼트를 직접 수정해야 했던 설정입니다. 이제 Helm values에서 공식적으로 지원되므로, 기존에 post-install 패치나 커스텀 매니페스트로 우회했다면 해당 설정을 values 파일로 이전하고 임시 방편을 정리하세요.

Rook v1.19.4는 CephObjectStoreUser 권한 설정 버그 수정, 멀티 클러스터 RBAC 누락 패치, OSD 강제 설치 시 디스크 zap 지원을 포함한 패치 릴리스입니다.

• breaking멀티 클러스터 환경: RBAC 수정 즉시 적용 필요

  보조 클러스터에서 ceph-mgr RBAC 역할이 누락되면 권한 오류가 조용히 발생해 진단하기 어렵습니다. 멀티 클러스터 구성을 운영 중이라면 v1.19.4로 즉시 업그레이드한 뒤 ceph-mgr 동작 상태를 확인하세요. 미루지 마세요.

• enhancementOSD 강제 교체 시 디스크 zap 자동화

  기존에는 장애 OSD 교체 시 디스크를 수동으로 정리해야 했는데, 이제 오퍼레이터가 직접 처리합니다. OSD 교체 절차를 스크립트로 자동화해 둔 경우, 관련 런북을 검토해 중복 작업을 제거하세요.

• enhancementRGW 서비스 레이블로 트래픽 라우팅 세밀화

  CephObjectStore RGW 서비스에 커스텀 레이블을 붙일 수 있어 서비스 메시, 로드 밸런서, 네트워크 정책 타겟팅이 정밀해집니다. 오브젝트 스토어를 여러 개 운영하거나 트래픽 제어가 필요한 환경이라면 적극 활용할 만합니다.

TiKV v8.5.6은 컬럼 수준 권한 관리, 다차원 슬로우 쿼리 규칙, FK 체크 공유 잠금 지원과 함께 crossbeam skiplist 메모리 누수, 비관적 트랜잭션 데이터 불일치 등 주요 버그 13건을 수정했습니다.

• security컬럼 수준 권한으로 민감 데이터 격리 — 기존 권한 설정을 재검토하세요

  TiDB가 MySQL 호환 컬럼 수준 GRANT/REVOKE를 지원합니다. 지금까지 뷰(View) 기반으로 특정 컬럼(PII, 금융 데이터 등) 접근을 제한했다면 이제 권한 레이어에서 직접 제어할 수 있습니다. 민감 컬럼이 포함된 테이블을 감사하고 최소 권한 원칙에 따라 컬럼 수준 GRANT를 적용하세요. 기존 권한 감사 결과가 컬럼 수준 제어를 반영하지 못했을 수 있으므로 사용자 권한 목록을 전면 재검토할 필요가 있습니다.

• breaking통계 Version 1 지금 바로 마이그레이션 — 다음 릴리스에서 제거됩니다

  이번 릴리스에서 tidb_analyze_version=1이 공식 deprecated 처리됐고, 향후 버전에서 제거됩니다. 모든 인스턴스에서 SHOW VARIABLES LIKE 'tidb_analyze_version'으로 현황을 확인하세요. v1을 사용 중인 경우 v2로 전환하고 해당 테이블에 ANALYZE를 다시 실행해야 합니다. Version 2는 히스토그램 정확도가 더 높고 앞으로 유일하게 지원되는 방식입니다. 제거 시점에 쫓기기 전에 미리 전환하는 게 낫습니다.

• enhancementFK 체크 공유 잠금 활성화로 쓰기 집중 워크로드 경합 해소

  소수의 부모 테이블 행을 참조하는 자식 테이블에 고동시 INSERT/UPDATE가 발생한다면 현재 배타적 잠금 경합이 심할 겁니다. tidb_foreign_key_check_in_shared_lock=ON으로 설정하고 스테이징에서 벤치마크해 보세요. 부모 테이블에 공유 잠금을 사용하면 FK 체크가 서로를 블록하지 않습니다. 잠금 의미 구조가 바뀌는 만큼 운영 적용 전 반드시 검증이 필요합니다. 비관적 트랜잭션 환경이라면 prewrite 재시도 불일치 버그(#11187) 수정도 포함됐으므로 TiKV 노드 패치 버전을 확인하세요.

Rook v1.19.3은 CSI 배포 방식 변경, EC 풀 관리 개선, OSD 암호화 수정, RGW IPv6 버그 수정 등 실무에 직접 영향을 미치는 패치들을 담고 있습니다.

• breakingCSI 배포 방식이 ceph-csi-operator로 전환 — 기존 커스터마이징 확인 필수

  이번 변경으로 Ceph-CSI/NVMe-oF 배포가 ceph-csi-operator를 통해 관리됩니다. ceph-csi-operator는 자체 CRD와 reconcile 루프를 갖기 때문에, 기존에 CSI DaemonSet이나 Deployment에 직접 적용한 커스텀 설정이 업그레이드 후 덮어써질 수 있습니다. 업그레이드 전에 CSI 관련 설정을 검토하고, 필요한 커스터마이징은 operator 방식에 맞게 재적용 계획을 세우세요.

• enhancement암호화 OSD 운영 중이라면 lockbox 키 로테이션 수정 즉시 적용을

  암호화 OSD의 lockbox 키 로테이션 버그는 시간이 지남에 따라 암호화 상태가 불일치할 수 있는 문제였습니다. 암호화 OSD를 사용 중이라면 v1.19.3으로 업그레이드한 뒤 키 로테이션이 정상 동작하는지 확인하세요. OSD 교체나 키 로테이션 작업 중 이상 동작을 경험했다면 더욱 서둘러 적용할 필요가 있습니다.

• enhancementIPv6 환경의 RGW 사용자라면 시크릿 재생성 필요

  오브젝트 스토어 사용자 시크릿에 IPv6 주소가 잘못된 형식으로 저장되는 버그가 수정되었습니다. IPv6 전용 또는 dual-stack 환경에서 RGW를 운영 중이라면, 업그레이드 후 영향받는 오브젝트 스토어 사용자를 재생성하거나 reconcile하여 올바른 형식의 시크릿이 적용되도록 하세요.

Rook v1.18.10은 OSD 안정성 버그 수정, RBAC 권한 축소, Ceph 익스포터 및 NFS 운영 개선에 집중한 패치 릴리스입니다.

• security업그레이드 후 Rook RBAC 확인 필요 — nodes/proxy 권한 삭제됨

  오퍼레이터의 nodes/proxy RBAC 권한이 제거됐습니다. Rook 오퍼레이터 ServiceAccount에 해당 권한이 있다고 가정하는 커스텀 모니터링 도구나 파이프라인이 있다면 업그레이드 후 조용히 깨질 수 있습니다. 프로덕션 적용 전에 오퍼레이터 ServiceAccount를 사용하는 도구와 대시보드를 먼저 점검하세요.

• breaking암호화 OSD 사용 클러스터는 업그레이드 후 키 로테이션 검증 필요

  암호화 OSD의 lockbox 키 로테이션 로직이 변경됐습니다. 비프로덕션 환경에서 먼저 업그레이드한 뒤 키 로테이션이 정상 동작하는지 직접 확인하세요. CephX 키 초기화 시 실패해도 기존 키를 보존하는 동작 변경도 에러 복구 시나리오에 영향을 줄 수 있으므로, 기존에 문서화된 장애 복구 절차도 함께 재검증하는 것이 좋습니다.

• enhancementCephNFS에서 커스텀 이미지 지정 가능 — 매니페스트 업데이트 고려

  spec.server.image와 spec.server.imagePullPolicy 필드가 새로 생겨서 CephNFS 리소스별로 NFS Ganesha 이미지를 직접 지정할 수 있습니다. 규정 준수 목적으로 이미지를 고정하거나 패치된 이미지를 테스트해야 할 때 유용합니다. 기존에 우회 방법을 쓰고 있었다면 CephNFS 매니페스트를 정리할 좋은 시점입니다.

Harbor v2.15.0은 프록시 캐시 연결 제한, 엔드포인트별 CA 인증서, Cosign v3 지원과 함께 베어러 토큰 보안 취약점 수정 및 Trivy 공급망 사고 대응 업데이트를 포함합니다.

• security즉시 업그레이드 필요: Trivy 공급망 사고 및 베어러 토큰 우회 취약점

  이번 릴리스에 보안 이슈 두 건이 포함되어 있습니다. Trivy 공급망 사고로 인해 v0.69.3으로 긴급 업데이트됐으므로, 다음 스캔 실행 전에 반드시 적용해야 합니다. 베어러 토큰 수정은 프로젝트 생성 이전에 발급된 토큰을 거부하는 인가 우회 패치입니다. 두 이슈 모두 정기 유지보수를 기다리지 말고 빠르게 업그레이드하는 것을 권장합니다.

• breakingGCR 복제 어댑터 제거 — 업그레이드 전 기존 복제 규칙 마이그레이션 필수

  Google Container Registry 어댑터가 완전히 제거됐습니다. GCR을 대상으로 하는 복제 규칙이 있다면 업그레이드 후 조용히 실패하게 됩니다. v2.15.0 업그레이드 전에 해당 규칙을 Artifact Registry(GAR) 엔드포인트로 전환하세요. GCR을 바라보는 프록시 캐시 프로젝트도 동일하게 재구성이 필요합니다.

• enhancement프록시 캐시 업스트림 연결 수 제한으로 레이트 리밋 충돌 방지

  새로운 `max_upstream_conn` 파라미터로 프록시 캐시 프로젝트별 아웃바운드 연결 수를 조절할 수 있습니다. Docker Hub처럼 레이트 리밋이 있는 레지스트리나 자체 호스팅 레지스트리를 풀스루 캐시로 사용 중이라면, 업그레이드 후 UI나 API로 프로젝트별 연결 수를 적절히 설정하세요.

Longhorn v1.11.1은 인스턴스 매니저 파드의 심각한 메모리 누수와 S3 호환 스토리지 백업 실패 문제를 해결한 중요한 패치 릴리스로, v1.11.0 사용자에게는 긴급 업그레이드가 필요합니다.

• security백업 복원 기능 손상

  AWS SDK v2 인증 문제로 S3 호환 백업 대상(Storj, GCS)이 실패했습니다. 업그레이드 후 백업 및 복원 워크플로를 테스트하세요. 특히 비 AWS S3 엔드포인트를 사용하는 경우 큰 백업 전송이 성공적으로 완료되는지 확인하세요.

• breakingv1.11.0 사용자 긴급 업그레이드 필요

  인스턴스 매니저 파드에서 높은 메모리 사용량을 경험하는 v1.11.0 사용자는 즉시 업그레이드해야 합니다. 메모리 누수는 클러스터 불안정성과 파드 축출을 야기할 수 있습니다. 업그레이드 점검 시간을 계획하고 롤아웃 중 메모리 사용량을 모니터링하세요.

• enhancement토폴로지 인식으로 스케줄링 개선

  새로운 CSI 토폴로지 인식 nodeAffinity 제어로 더 나은 볼륨 배치가 가능합니다. 멀티존 배포와 특정 노드 스케줄링 요구사항에 맞춰 allowedTopologies와 strictTopology 설정을 활용하도록 스토리지 클래스 구성을 검토하세요.

Dragonfly v2.4.2는 gRPC 속도 제한과 스케줄러 클러스터 구성 기능을 추가하면서 보안 점수를 개선하고 여러 구성 불일치 문제를 수정했습니다.

• breaking필드명 변경에 따른 구성 파일 업데이트

  rateLimit 구성 필드가 bandwidthLimit으로 변경되었습니다. 구성 파일을 확인하고 새로운 명명 규칙을 사용하도록 모든 참조를 업데이트해서 구성 파싱 오류를 방지하세요.

• enhancement프로덕션 환경에서 gRPC 속도 제한 구성

  새로운 gRPC 속도 제한 기능은 리소스 고갈 공격으로부터 보호해줍니다. 현재 트래픽 패턴을 검토하고 Dragonfly 구성에서 적절한 속도 제한을 설정해서 부하 상황에서 서비스 성능 저하를 방지하세요.

• enhancement새로운 스케줄러 클러스터 관리 활용

  스케줄러 클러스터 해제 등록 지원으로 배포 스크립트에서 적절한 클러스터 생명주기 관리를 구현하세요. 이를 통해 클러스터 상태를 유지하고 고아 스케줄러가 성능에 영향을 주는 것을 방지할 수 있습니다.

백업 MANIFEST 파일 취약점과 관련된 두 개의 중요한 CVE를 해결한 보안 중심 릴리스로, 임의 명령 실행 및 경로 순회 공격을 방지합니다.

• securityCVE-2026-27965 및 CVE-2026-27969에 대한 즉시 업그레이드 필요

  두 개의 중요한 CVE로 인해 백업 저장소 쓰기 권한을 가진 공격자가 임의 명령을 실행하고 경로 순회 공격을 수행할 수 있습니다. 즉시 v22.0.4로 업그레이드하고 신뢰할 수 있는 주체만 쓰기 권한을 갖도록 백업 저장소 접근 제어를 검토하세요.

• security백업 저장소 접근 권한 감사 및 보안 강화

  이러한 취약점은 백업 저장소에 대한 쓰기 권한이 필요하므로, 백업 위치에 대한 쓰기 권한을 가진 주체를 검토하세요. 적절한 접근 제어를 구현하고 가능한 경우 변조를 방지하기 위해 불변 백업 저장소 사용을 고려하세요.

• breakingMANIFEST 기반 압축 해제기 사용 시 VTTablet 구성 업데이트

  MANIFEST 파일의 외부 압축 해제 명령이 기본적으로 무시됩니다. 복원 프로세스가 이 동작에 의존하는 경우 VTTablet 구성에 --external-decompressor-use-manifest 플래그를 추가하되, 이로 인해 보안 위험이 다시 발생할 수 있음을 이해하세요.

Vitess v23.0.3은 백업 복원 취약점과 관련된 두 개의 CVE를 해결하는 중요한 보안 릴리스이며, 외부 압축 해제기 처리에 중단 변경사항이 포함되어 있습니다.

• security백업 보안을 위한 즉시 업그레이드 필요

  이번 릴리스는 백업 스토리지에 쓰기 권한을 가진 공격자가 임의 명령어를 실행하거나 경로 탐색 공격을 수행할 수 있는 중요한 취약점(CVE-2026-27965, CVE-2026-27969)을 수정합니다. Vitess 백업을 사용하는 경우, 특히 백업 스토리지가 침해될 수 있는 환경에서는 즉시 업그레이드하시기 바랍니다. 백업 스토리지 액세스 제어를 검토하고 최근 백업 작업에서 의심스러운 활동이 있는지 감사하시기 바랍니다.

• breaking외부 압축 해제기를 위한 VTTablet 구성 업데이트 필요

  백업/복원 프로세스가 MANIFEST 파일에 정의된 외부 압축 해제기에 의존하는 경우, VTTablet 구성에 --external-decompressor-use-manifest 플래그를 추가해야 합니다. 이 플래그 없이는 MANIFEST에서 지정된 압축 해제기에 의존하는 복원이 실패할 수 있습니다. 백업 전략을 검토하고 더 나은 보안을 위해 MANIFEST 파일에 의존하는 대신 압축 해제기 명령어를 명시적으로 구성하시기 바랍니다.

• enhancement백업 보안 체계 강화

  이번 기회에 백업 보안 관행을 검토하고 강화하시기 바랍니다. 백업 스토리지에 엄격한 액세스 제어를 구현하고, 최소 권한을 가진 전용 서비스 계정을 사용하며, 백업 스토리지 암호화를 고려하시기 바랍니다. 새로운 보안 모델은 더 나은 격리를 제공하지만 백업 메타데이터를 신뢰하는 대신 압축 해제 도구의 명시적 구성이 필요합니다.