릴리스

조치 필요 (8)

• securityhighGRPC Netty Shaded 업데이트

  GRPC Netty Shaded를 업데이트해 CVE-2025-55163을 해결했습니다.

• securitymediumZookeeper 업데이트

  Zookeeper를 업데이트해 CVE-2024-47554를 해결했습니다.

• securitymediumNimbus Jose JWT 10.0.2 업데이트

  Nimbus Jose JWT를 10.0.2로 업데이트해 CVE-2025-53864를 해결했습니다.

• securitymediumNetty 4.1.130.Final 업데이트

  Netty를 4.1.130.Final로 업데이트해 CVE-2025-67735를 해결했습니다.

• securitymediumApache Log4J 2.25.3 업데이트

  Apache Log4J를 2.25.3으로 업데이트해 CVE-2025-68161을 해결했습니다.

• securitymediumVertx 4.5.24 업데이트

  Vertx를 4.5.24로 업데이트해 CVE-2026-1002를 해결했습니다.

• securitymediumJackson 업데이트

  Jackson을 업데이트해 GHSA-72hv-8253-57qq를 해결했습니다.

• securityVert.x와 Netty 업데이트

  Vert.x와 Netty를 업데이트해 0.45.x 브랜치의 CVE를 수정했습니다.

영향 확인 (1)

• breakingLinkerd Viz의 기본 파드 수집 범위 조정

  Linkerd Viz를 사용하는 경우에 적용됩니다.

영향 확인 (1)

• breakingDevice CRD 상태를 DeviceStatus CRD로 분리

  Device CRD를 사용하는 경우에 적용됩니다.

조치 필요 (2)

• securityhighGo v1.25.5 업데이트

  Go를 v1.25.5로 업데이트해 CVE-2025-61727과 CVE-2025-61729를 수정했습니다.

• breakingIssuer 참조 kind와 group 기본값 복원

  issuer 참조의 kind와 group에 적용되는 기본값을 0.19.0 이전 동작으로 되돌렸습니다.

영향 확인 (1)

• breaking클러스터 버전 라벨 형식 변경

  argocd.argoproj.io/auto-label-cluster-info와 argocd.argoproj.io/kubernetes-version을 설정한 경우에 적용됩니다.

영향 확인 (3)

• securityCVE-2026-29785 수정

  leafnode compression이 활성화된 경우에 적용됩니다.

• securityCVE-2026-27889 수정

  WebSockets가 활성화된 경우에 적용됩니다.

• breakingmax_conns에 0 설정 지원

  서버 설정에서 max_conns를 지정하는 경우에 적용됩니다.

조치 필요 (1)

• breakingpriorities 자료형 변경

  priorities의 자료형을 string에서 int32로 변경했습니다.

조치 필요 (1)

• breakingGo 1.25.7 요구 사항 적용

  코드베이스 전체에서 Go 버전을 일관되게 맞추고 Go 1.25.7을 요구합니다.

조치 필요 (2)

• securityhigh공개 보안 취약점 수정

  CVE-2026-27133 및 CVE-2026-27134와 관련된 공개 보안 취약점을 수정했습니다. 관련 권고 식별자는 GHSA-2qwx-rq6j-8r6j와 GHSA-6x85-j2f7-4xc5입니다.

• breakingServerSideApplyPhase1 기본 활성화

  ServerSideApplyPhase1 기능 게이트가 베타 단계로 올라갔으며, 이제 기본값이 활성화로 설정됩니다.

영향 확인 (4)

• breaking리소스 선택자의 namespace 검증 추가

  PropagationPolicy 또는 OverridePolicy를 사용하는 경우에 적용됩니다.

• breakingWorkloadAffinity의 중복 GroupByLabelKey 설정 제한

  WorkloadAffinity에 GroupByLabelKey를 설정하는 경우에 적용됩니다.

• breaking기본 Kubernetes 및 ETCD 이미지 업데이트

  적용 대상이 릴리스 노트에 명시되지 않았습니다.

• 릴리스 페이지에 1건 더

조치 필요 (9)

• security암호화 의존성 버전 갱신

  x/(net/sync/crypto)를 업데이트하고 dvsekhvalnov/jose2go 버전을 고정했습니다.

• securityGo 취약점 수정

  Go의 취약점을 수정했습니다.

• securityUID 검사 대상 제한

  UID 검사가 root만 확인하도록 바뀌었습니다.

• securityHTTP 경로 일치 수정과 invocation auto-registration 지원

  HTTP 경로 일치에서 발생하던 cardinality leak을 수정하고 invocation auto-registration을 지원합니다.

• securitygolang.org/x/crypto 업데이트

  golang.org/x/crypto를 업데이트했습니다.

• securitygithub.com/docker/docker 업데이트

  github.com/docker/docker를 업데이트했습니다.

• security보안 취약점 수정

  보안 취약점 수정이 반영되었습니다.

• securitygithub.com/coreos/go-oidc/v3 업데이트

  github.com/coreos/go-oidc/v3를 업데이트했습니다.

• securityNATS 취약점 수정

  NATS 취약점을 수정했습니다.

조치 필요 (1)

• securityhighGHSA-9h8m-3fm2-qjrq 대응 의존성 수정

  go.opentelemetry.io deps를 수정해 GHSA-9h8m-3fm2-qjrq에 대응했습니다.

영향 확인 (1)

• breaking/alerts 페이지의 펼쳐진 알림 주석 기본 숨김

  UI에서 /alerts 페이지를 사용하는 경우에 적용됩니다.

영향 확인 (1)

• breaking프로브 host 필드 값 제한

  프로브 설정에서 host 필드를 사용하는 경우에 적용됩니다.

영향 확인 (1)

• breaking프로브 host 필드 제한

  host를 설정한 경우 적용됩니다.

영향 확인 (1)

• breakingnvmeof 기본 게이트웨이 토폴로지 분산 제약 조건 추가

  nvmeof를 사용하는 경우 적용됩니다.

영향 확인 (1)

• breakingv1beta2 및 v2beta2 API 제거

  CRDs에서 Flux API v1beta2 또는 v2beta2를 사용하면 이 변경이 적용됩니다.

조치 필요 (1)

• securitycriticalgrpc-health-probe 버전 갱신

  grpc-health-probe가 v0.4.45로 업데이트되었습니다. 이 변경은 CVE-2025-68121에 대응합니다.

조치 필요 (1)

• breaking클라이언트 측 적용 마이그레이션 실패 수정

  3.3.0과 3.3.1에서 발생하던 failed to perform client-side apply migration 문제가 이번 릴리스에서 해결됐습니다. ServerSideApply=true와 ClientSideApplyMigration=false 설정이 함께 제시됩니다.

조치 필요 (1)

• securitycriticalCVE-2025-68121 보안 취약점 수정

  CVE-2025-68121 수정이 반영됐습니다.

조치 필요 (7)

• securitygolang.org/x/crypto v0.45.0 업데이트

  보안 수정으로 golang.org/x/crypto가 v0.45.0으로 업데이트되었습니다.

• securitygithub.com/go-chi/chi/v5 v5.2.4 업데이트

  보안 수정으로 github.com/go-chi/chi/v5가 v5.2.4로 업데이트되었습니다.

• securitygithub.com/sigstore/cosign/v3 v3.0.4 업데이트

  보안 수정으로 github.com/sigstore/cosign/v3가 v3.0.4로 업데이트되었습니다.

• securitygithub.com/theupdateframework/go-tuf/v2 v2.4.1 업데이트

  보안 수정으로 github.com/theupdateframework/go-tuf/v2가 v2.4.1로 업데이트되었습니다.

• securitygithub.com/sigstore/rekor v1.5.0 업데이트

  보안 수정으로 github.com/sigstore/rekor가 v1.5.0으로 업데이트되었습니다.

• securitygithub.com/sigstore/sigstore v1.10.4 업데이트

  보안 수정으로 github.com/sigstore/sigstore가 v1.10.4로 업데이트되었습니다.

• securitygithub.com/quic-go/quic-go v0.57.0 업데이트

  보안 수정으로 github.com/quic-go/quic-go가 v0.57.0으로 업데이트되었습니다.

영향 확인 (7)

• breakingcatalogProcessingExtensionPoint의 안정 내보내기 이동

  카탈로그에 사용자 정의 프로세서와 엔터티 제공자를 등록할 때 catalogProcessingExtensionPoint를 사용하는 경우에 적용됩니다.

• breakingAPI 재정의가 오류로 거부됨

  적용 대상이 릴리스 노트에 명시되지 않았습니다.

• breakingauth.experimentalDynamicClientRegistration.tokenExpiration 설정 제거

  auth.experimentalDynamicClientRegistration.tokenExpiration을 설정한 경우에 적용됩니다.

• 릴리스 페이지에 4건 더

조치 필요 (1)

• securityhighcgo 바이너리 코드 삽입 취약점 수정

  Go 주석과 C/C++ 주석을 다르게 해석하던 문제로 생성된 cgo 바이너리에 코드를 몰래 삽입할 수 있던 CVE-2025-61732 취약점을 수정했습니다.

조치 필요 (1)

• breakingistiod 메모리 제한 자동 설정

  istiod가 automemlimit 라이브러리를 사용해 GOMEMLIMIT을 메모리 제한의 90%로 자동 설정합니다. OOM 종료 위험을 낮추면서 성능을 유지합니다.

조치 필요 (1)

• breakingtopology.kubernetes.io 레이블의 기본 제외 설정

  기본값으로 topology.kubernetes.io 레이블을 보안 레이블에서 제외합니다.

영향 확인 (1)

• breakingReceive 셔플 샤딩에 일관 해싱 적용

  Receive를 사용하는 경우에 적용됩니다.

영향 확인 (1)

• breakingSchedulerAsyncAPICalls 기능 게이트 비활성화

  SchedulerAsyncAPICalls 기능 게이트를 사용하는 경우에 적용됩니다.

조치 필요 (1)

• security리소스 주석의 줄바꿈 및 제어 문자 검증 수정

  리소스 주석 검증이 줄바꿈과 제어 문자를 거부하도록 수정했습니다. 템플릿 렌더링으로 Pod 사양에 컨테이너를 삽입하는 경로를 차단합니다. (Issue #58889)

조치 필요 (1)

• breaking사용되지 않는 protofromtraces 래퍼 제거

  v1adapter에서 더 이상 사용되지 않는 protofromtraces 래퍼를 제거했습니다.

영향 확인 (1)

• breakingtrace/metric storage의 backend type 단일 구성 제한

  trace 또는 metric storage를 둘 이상의 backend type으로 구성한 경우에 적용됩니다.

조치 필요 (1)

• breaking불필요한 nodes/proxy RBAC 권한 활성화 제거

  불필요한 nodes/proxy RBAC 권한을 활성화하던 설정이 제거되었습니다.

조치 필요 (1)

• breaking컴포넌트 사양 기능 제거

  component spec 기능을 제거했습니다.

조치 필요 (15)

• securitygithub.com/containerd/containerd 보안 업데이트

  github.com/containerd/containerd 모듈이 v1.7.29로 업데이트됩니다.

• securitygithub.com/go-viper/mapstructure/v2 보안 업데이트

  github.com/go-viper/mapstructure/v2 모듈이 v2.4.0으로 업데이트됩니다.

• securitygithub.com/docker/docker 보안 업데이트

  github.com/docker/docker 모듈이 v28.3.3+incompatible로 업데이트됩니다.

• securitygolang.org/x/crypto 보안 업데이트

  golang.org/x/crypto 모듈이 v0.45.0으로 업데이트됩니다.

• securityhelm.sh/helm/v3 보안 업데이트

  helm.sh/helm/v3 모듈이 v3.18.4로 업데이트됩니다.

• securityhelm.sh/helm/v3 보안 업데이트

  helm.sh/helm/v3 모듈이 v3.18.5로 업데이트됩니다.

• breakingplpmtud 기본값 변경

  plpmtud의 기본값이 blackhole로 변경됩니다.

• breakingAddressScopeMax 기본값 변경

  AddressScopeMax 기본값이 호스트 범위인 254로 변경됩니다. --local-max-addr-scope와 관련된 설정이 새 GKE 메타데이터 서버 및 HCP 사용 사례에 맞게 조정됩니다.

• breakingtls authMode 기본값 변경

  tls authMode 기본값이 migration으로 설정됩니다.

• breakingCNI 삭제 제한 시간 단축

  CNI 삭제 제한 시간이 1.5초로 줄어듭니다.

• breakingpolicy-default-local-cluster 기본 설정

  policy-default-local-cluster가 기본적으로 설정됩니다.

• breaking호스트 방화벽 우회 기본 비활성화

  호스트 방화벽 우회가 기본적으로 비활성화됩니다.

• breakingFQDN 일치 패턴 정제 검사 강화

  FQDN 일치 패턴의 정제 처리가 재구성되고 검사가 강화됩니다.

• breakingcilium_host를 통한 암호화 트래픽 전달 제거

  cilium_host를 통한 암호화 트래픽 전달이 제거됩니다.

• breaking컨테이너 이미지의 CNI 설정 파일 설치 제거

  컨테이너 이미지에 CNI 설정 파일을 설치하지 않습니다.

조치 필요 (2)

• security보안 취약점 수정

  보안 취약점을 수정했습니다.

• securitykubectl image 업데이트

  kubectl image를 업데이트해 CVE를 수정했습니다.

영향 확인 (1)

• breakingNATS Streaming scaler 제거

  NATS Streaming scaler를 사용하는 경우에 적용됩니다.

조치 필요 (3)

• securityk8s.io/kubernetes v1.34.2 업데이트

  k8s.io/kubernetes 모듈을 v1.34.2로 업데이트했습니다.

• securityhelm 3.19.4 업데이트

  CVE에 대응해 helm을 3.19.4로 업데이트했습니다.

• securityredis 최신 안정 버전 업데이트

  취약점 제거를 위해 redis를 최신 안정 버전으로 업데이트했습니다.

조치 필요 (1)

• securitySPDK v25.05 CVE 이슈 수정

  SPDK v25.05의 CVE 이슈를 수정했습니다.

조치 필요 (2)

• securitymedium정책 적용 오류 수정

  CVE-2026-24851에 해당하는 부적절한 정책 적용 문제를 수정했습니다. 관련 보안 권고 식별자는 GHSA-jq9f-gm9w-rwm9입니다.

• breaking사용자 정의 gRPC 프로메테우스 포크와 메트릭 라벨 제거

  직접 관리하던 grpc_prometheus 포크를 제거하고 go-grpc-middleware의 제공자를 사용합니다. 이 메트릭에서 사용자 정의 grpc_code 라벨도 제거했습니다.

영향 확인 (1)

• breakingOpenCensus 지원 제거 및 OpenTelemetry 전환

  OpenCensus를 사용하는 경우 적용됩니다.

영향 확인 (2)

• breaking릴리스 빌드의 소스 설정 경로 표시 제한

  디버그 빌드를 사용하는 경우에 적용됩니다.

• breakingDEB/RPM 패키지 서명 키 교체

  DEB/RPM 패키지를 사용하는 경우에 적용됩니다.