릴리스

조치 필요 (5)

• security취약한 의존성 업데이트

  보안 취약점이 있는 의존성을 업데이트했습니다.

• security취약한 의존성 갱신

  보안 취약점이 있는 의존성을 갱신했습니다.

• securitygithub.com/go-git/go-git/v5 버전 업데이트

  github.com/go-git/go-git/v5 모듈을 v5.19.2로 업데이트했습니다.

• securitygolang.org/x/mod 버전 업데이트

  golang.org/x/mod 모듈을 v0.40.0으로 업데이트했습니다.

• securityGo 버전 업데이트

  Go 버전을 1.25.13으로 올렸습니다.

조치 필요 (1)

• security의존성 보안 업데이트

  업스트림 CVE 수정 사항을 반영하도록 cel-go(#7760), golang.org/x/mod(#7742), sigstore-go(#7677), go-git(#7724)와 취약한 의존성 묶음을 업데이트했습니다. crossplane-runtime도 v2.2.4(#7766)로 올렸으며, 해당 버전에 포함된 보안 의존성 업데이트도 반영됩니다.

조치 필요 (4)

• securitygolang.org/x/mod 의존성 업데이트

  보안 관련 의존성인 golang.org/x/mod가 업데이트되었습니다.

• securitygithub.com/sigstore/sigstore-go v1.2.1 업데이트

  보안 관련 의존성 github.com/sigstore/sigstore-go가 v1.2.1로 업데이트되었습니다.

• securitygithub.com/google/cel-go v0.30.0 업데이트

  보안 관련 의존성 github.com/google/cel-go가 v0.30.0으로 업데이트되었습니다.

• securitycrossplane-runtime v2.3.4 업데이트

  crossplane-runtime이 v2.3.4로 업데이트되었습니다.

조치 필요 (3)

• securityTensorFlow 보안 버전 업그레이드

  tensorflow/tensorflow를 2.20.0rc0-gpu에서 2.21.0rc0-gpu로 보안 업그레이드했습니다.

• securityTensorFlow 보안 버전 추가 업그레이드

  tensorflow/tensorflow를 2.21.0rc0-gpu에서 2.21.0rc1-gpu로 보안 업그레이드했습니다.

• securityGo 보안 업그레이드

  보안 문제에 대응하도록 golang을 업그레이드했습니다.

영향 확인 (2)

• securityCeph 보안 권고에 따른 업그레이드 안내

  Ceph에 의존하는 경우 적용됩니다.

• breakingrook mgr module 비활성화

  rook mgr module을 활성화한 경우 적용됩니다.

조치 필요 (1)

• breakingRook 매니저 모듈 비활성화

  rook mgr module을 비활성화합니다.

조치 필요 (15)

• securityGo 버전과 Go 의존성의 보안 업데이트

  Crossplane이 빌드와 실행에 사용하는 Go 버전을 올려 표준 라이브러리의 CVE 수정 사항을 반영했습니다. 릴리스 주기 동안 Crossplane의 Go 의존성에도 보안 업데이트가 이어졌습니다.

• securityGo 1.25.10 업데이트

  표준 라이브러리 CVE 수정을 위해 Go를 1.25.10으로 업데이트했습니다.

• securitygolang.org/x/crypto v0.52.0 업데이트

  golang.org/x/crypto를 v0.52.0으로 업데이트했습니다.

• securitygolang.org/x/sys v0.44.0 업데이트

  golang.org/x/sys를 v0.44.0으로 업데이트했습니다.

• securitygolang.org/x/net v0.55.0 업데이트

  golang.org/x/net을 v0.55.0으로 업데이트했습니다.

• securitygithub.com/sigstore/cosign/v3 v3.0.6 업데이트

  github.com/sigstore/cosign/v3를 v3.0.6으로 업데이트했습니다.

• securitygithub.com/sigstore/rekor v1.5.2 업데이트

  github.com/sigstore/rekor를 v1.5.2로 업데이트했습니다.

• securitygithub.com/sigstore/timestamp-authority/v2 v2.1.0 업데이트

  github.com/sigstore/timestamp-authority/v2를 v2.1.0으로 업데이트했습니다.

• securitygithub.com/sigstore/sigstore-go v1.2.0 업데이트

  github.com/sigstore/sigstore-go를 v1.2.0으로 업데이트했습니다.

• securitygrpc, x/net, x/text 보안 업데이트

  grpc, x/net, x/text 의존성의 보안 업데이트를 한 번에 반영했습니다.

• securitygolang.org/x/net v0.56.0 업데이트

  golang.org/x/net을 v0.56.0으로 업데이트했습니다.

• securitygolang.org/x/text v0.39.0 업데이트

  golang.org/x/text를 v0.39.0으로 업데이트했습니다.

• security취약한 의존성 업데이트

  취약한 의존성을 업데이트했습니다.

• securitygithub.com/sigstore/sigstore-go v1.2.1 업데이트

  github.com/sigstore/sigstore-go를 v1.2.1으로 업데이트했습니다.

• securitygolang.org/x/mod v0.40.0 업데이트

  golang.org/x/mod를 v0.40.0으로 업데이트했습니다.

조치 필요 (1)

• security보안 업데이트를 반영한 의존성 갱신

  의존성 golang.org/x/text와 golang.org/x/net에 보안 업데이트를 반영했습니다.

조치 필요 (7)

• securityhigh중간 인증서 수 제한

  중간 인증서 수를 제한해 CVE-2026-32280 완화 조치를 적용했습니다.

• securityhighgo toolchain 1.26.3 업데이트

  go toolchain을 1.26.3으로 올려 CVE-2026-39836을 해결했습니다.

• securityCRDs와 문서 재생성

  GHSA-79gf-7frw-68m9 API가 상향된 뒤 CRDs와 문서를 다시 생성했습니다.

• security보안 의존성 버전 업데이트

  golang.org/x/crypto를 v0.53.0으로, x/net을 v0.56.0으로 올려 보안 CVE를 해결했습니다.

• securityORAS와 sigstore CodeQL 취약점 패치

  ORAS와 sigstore의 CodeQL 취약점에 대한 패치를 반영했습니다.

• securityCodeQL 보안 취약점 수정

  공개된 CodeQL 보안 취약점을 해결했습니다.

• securitycel-go v0.30.0 업데이트

  cel-go를 v0.30.0으로 올려 CVE-2026-GHSA-gcjh-h69q-9w9g를 해결했습니다.

조치 필요 (2)

• breakingService Account 토큰 마운트 기본 동작 변경

  Pod에 Service Account 토큰을 자동으로 마운트하지 않고, 볼륨을 사용해 마운트하도록 기본 동작이 바뀝니다.

• breakingServerSideApplyPhase1 기능 게이트 영구 활성화

  ServerSideApplyPhase1 기능 게이트가 GA 단계로 전환되고 영구적으로 활성화됩니다. 비활성화할 수 없습니다.

조치 필요 (1)

• securityRook 및 Ceph 권장 버전 안내

  CVE-2025–30156 대응을 위해 Rook 사용자는 Rook v1.20.5 또는 v1.19.9와 Ceph v20.2.4 또는 v19.2.6으로 가능한 한 빨리 업그레이드하도록 안내받았습니다.

영향 확인 (1)

• securityCeph CVE-2025–30156 보안 권고

  Ceph를 사용하는 경우에 적용됩니다.

조치 필요 (2)

• securitymediumjackson-databind 보안 수정

  jackson-databind를 2.21.5로 업그레이드해 CVE-2026-59888과 CVE-2026-59889를 수정했습니다.

• securitymediumOpenTelemetry Java SDK 메모리 할당 문제 수정

  OpenTelemetry Java SDK의 W3C Baggage 전파에서 메모리가 제한 없이 할당되던 CVE-2026-45292를 수정했습니다.

조치 필요 (1)

• securityhighGo 1.26.6 빌드 및 CVE 수정 반영

  Go 1.26.6으로 빌드해 CVE-2026-56865, CVE-2026-56864, CVE-2026-33818 수정 사항을 반영했습니다.

조치 필요 (2)

• breaking게시 전 TypeScript 설정 스키마 검증

  패키지 준비 단계에서 게시 전에 TypeScript 설정 스키마를 엄격하게 검증합니다.

• breaking연결 형식의 루트 형식 기준 변경

  연결 형식이 루트 연결 형식의 기준으로 이식 가능한 설정 스키마를 사용합니다.

영향 확인 (1)

• securityendpoint의 CIDR 정책 우회와 재시작 후 트래픽 드롭 수정

  적용 대상이 릴리스 노트에 명시되지 않았습니다.

조치 필요 (1)

• securitygoogle.golang.org/grpc 의존성 업데이트

  google.golang.org/grpc 의존성을 v1.82.1로 업데이트했습니다. 보안 수정으로 표시된 변경입니다.

조치 필요 (1)

• breakingPromQL 기간 표현식 기본 활성화

  기간 표현식이 기본으로 활성화됩니다. 이에 따라 promql-duration-expr 기능 플래그는 더 이상 동작을 변경하지 않습니다.

영향 확인 (2)

• breakingconfighttp.ServerConfig 필드 명명 방식 변경

  이 변경은 extension/zpages를 사용하는 경우에 적용됩니다.

• breakingconfigauth.Config 필드 명명 방식 변경

  이 변경은 configauth.Config를 사용하는 경우에 적용됩니다.

조치 필요 (1)

• securitycriticalGo 빌드 버전 1.26.6 적용

  이 릴리스는 Go 1.26.6으로 OPA를 빌드하며, HTTP handler와 crypto builtins가 사용하는 Go 표준 라이브러리의 취약점을 수정합니다.