릴리스

조치 필요 (1)

• securitycriticalgolang.org/x/net 업데이트

  GO-2026-5026에 대응하기 위해 golang.org/x/net 의존성을 v0.55.0으로 업데이트했습니다.

조치 필요 (1)

• securitycriticalgolang.org/x/net 버전 업데이트

  golang.org/x/net을 v0.55.0으로 올려 GO-2026-5026에 대응했습니다.

조치 필요 (8)

• securitymediumgolang.org/x/image 보안 업데이트

  GO-2026-4962에 대응하기 위해 golang.org/x/image를 v0.39.0으로 올렸습니다.

• securitydurabletask-go 및 pgx 보안 업데이트

  durabletask-go를 v0.12.1로 올리고 pgx를 업데이트해 취약점을 해결했습니다.

• breakingWorkflowsRemoteActivityReminder 기본 활성화

  WorkflowsRemoteActivityReminder가 기본으로 활성화됩니다. 앱 간 워크플로 활동 결과는 기본적으로 스케줄러 알림으로 전달됩니다.

• breakingHotReload 기본 활성화

  HotReload가 기본으로 활성화되며, 컴포넌트, 구독, MCPServers, Configurations, HTTPEndpoints, Resiliencies, WorkflowAccessPolicies가 기본적으로 자동 다시 로드됩니다.

• breaking사이드카 프로브 기본 동작 변경

  사이드카 프로브 기본값이 바뀌었습니다. 라이브니스 프로브는 kubelet이 다시 시작하기 전까지 약 230초 동안 지연을 견디며, 레디니스 프로브는 더 빠르게 반응합니다.

• breakingHotReload 기본 활성화

  HotReload가 기본적으로 켜집니다.

• breaking라이브니스 및 레디니스 프로브 기본값 조정

  라이브니스 프로브의 허용 범위를 넓히고 레디니스 프로브의 기본값을 더 엄격하게 조정했습니다.

• breaking사이드카 프로브 기본값 변경

  사이드카 프로브 기본값이 바뀌었습니다. 라이브니스는 kubelet이 다시 시작하기 전까지 약 230초를 허용하고, 레디니스는 컨트롤 플레인에서 약 3초, daprd에서 약 5초로 더 엄격해졌습니다.

조치 필요 (2)

• securityGo 도구 모음과 containerd 버전 업데이트

  Go 도구 모음을 1.25.11로, containerd를 1.7.32로 업그레이드했습니다.

• securitymemStress 빌드 및 chaos-daemon 이미지 변경

  memStress 도우미를 최신 Go 도구 모음 v0.3.1로 다시 빌드하고, chaos-daemon 이미지를 헤드리스 JRE 기반으로 변경했습니다.

조치 필요 (1)

• securitymedium빌드에 사용하는 Go 버전 업데이트

  Go 1.26.4로 OPA를 빌드하며, OPA의 HTTP 핸들러와 암호화 내장 기능이 사용하는 표준 라이브러리 코드의 취약점 GO-2026-5037과 GO-2026-5039를 수정했습니다.

조치 필요 (1)

• securitygolang.org/x/net 모듈을 v0.55.0으로 업데이트

  golang.org/x/net 모듈을 v0.55.0으로 업데이트했습니다. 변경 사항에는 보안 표시가 붙어 있습니다.

영향 확인 (3)

• securityAlertmanager 및 Store Gateway 상태 페이지의 저장형 XSS 수정

  Alertmanager 또는 Store Gateway를 실행하는 경우에 적용됩니다.

• security네이티브 히스토그램 protobuf 크기 제한

  네이티브 히스토그램을 사용하는 경우에 적용됩니다.

• breakingParseProtoReader 및 OTLP 수집 경로의 압축 해제 크기 제한

  OTLP 수집 경로를 사용하는 경우에 적용됩니다.

조치 필요 (2)

• security툴체인 Go 버전 1.26.4로 업데이트

  툴체인의 Go 버전을 1.26.4로 올려 Go 표준 라이브러리 취약점을 수정했습니다.

• securitygrpc-health-probe v0.4.52 업데이트

  grpc-health-probe를 v0.4.52로 업데이트하고 Go 1.26.4로 다시 빌드했습니다. 이제 릴리스 이미지에 해당 Go 표준 라이브러리 취약점이 포함되지 않습니다.

조치 필요 (1)

• securityhighCVE-2026-47774 메모리 고갈 취약점 수정

  CVE-2026-47774는 인증되지 않은 원격 공격자가 Envoy 프로세스의 메모리를 고갈시켜 서비스 거부를 일으킬 수 있는 문제입니다. 요청 헤더 크기 검증에서 쿠키 헤더 바이트가 모두 반영되지 않고, HPACK 헤더 블록 제한도 디코딩된 전체 헤더 크기에 적용되지 않아 특수하게 만든 HTTP/2 요청으로 과도한 메모리 사용이 발생할 수 있던 동작을 수정했습니다.

조치 필요 (1)

• securityhighEnvoy 메모리 고갈을 일으키는 서비스 거부 취약점 수정

  인증되지 않은 원격 공격자가 조작한 HTTP/2 요청으로 Envoy 프로세스의 메모리를 고갈시켜 서비스 거부를 일으킬 수 있던 문제를 수정했습니다. 요청 헤더 크기를 검사할 때 Cookie 헤더 바이트가 모두 반영되지 않았고, HPACK 헤더 블록 제한도 디코딩 후 전체 헤더 크기에 상응하는 제한 없이 인코딩된 바이트 기준으로만 적용됐습니다.

조치 필요 (1)

• securityhighEnvoy 메모리 고갈 서비스 거부 취약점 수정

  CVE-2026-47774은 인증되지 않은 원격 공격자가 특수하게 만든 HTTP/2 요청으로 Envoy 프로세스의 메모리를 고갈시켜 서비스 거부를 일으킬 수 있는 문제입니다. 쿠키 헤더 바이트가 요청 헤더 크기 검증에 모두 포함되지 않았고, HPACK 헤더 블록 제한도 디코딩된 전체 헤더 크기가 아닌 인코딩된 바이트에만 적용됐던 점을 수정했습니다. CVSS 점수는 7.5입니다.

조치 필요 (1)

• securityhighnghttp2 취약점 패치 적용

  nghttp2에 CVE-2026-27135 패치를 적용했습니다.

조치 필요 (2)

• securityhighlodash 코드 삽입 취약점 수정

  CVE-2026-4800에 해당하는 lodash의 코드 삽입 취약점을 수정했습니다.

• securitymediumNetty HTTP/1.0 스머글링 정제 우회 수정

  CVE-2026-42581에 해당하는 Netty의 HTTP/1.0 TE+CL 공존으로 인한 스머글링 정제 우회 문제를 수정했습니다.

조치 필요 (1)

• securityhighnghttp2 보안 패치 적용

  nghttp2의 CVE-2026-27135 패치를 적용했습니다.

조치 필요 (1)

• securityhighnghttp2 보안 패치 반영

  http2에 nghttp2의 CVE-2026-27135 패치를 반영했습니다.

조치 필요 (1)

• securityhighnghttp2 보안 패치 적용

  http2에 CVE-2026-27135에 대한 nghttp2 패치를 적용했습니다.

조치 필요 (2)

• securitycriticalgoogle.golang.org/grpc 1.79.3 업데이트

  보안 문제에 대응하도록 google.golang.org/grpc를 1.79.3으로 올렸습니다. 관련 보안 권고는 GHSA-p77j-4mvh-x3m3입니다.

• securityVMExport 디렉터리 처리기의 심볼릭 링크 탐색 수정

  VMExport 디렉터리 처리기가 심볼릭 링크를 따라가던 문제를 수정했습니다.

조치 필요 (1)

• securitycriticalgoogle.golang.org/grpc 버전 업데이트

  google.golang.org/grpc 버전을 1.79.3으로 올려 CVE-2026-33186을 해결했습니다.

조치 필요 (1)

• securitycriticalgoogle.golang.org/grpc 업데이트

  google.golang.org/grpc 버전을 올려 CVE-2026-33186 문제를 해결했습니다.

조치 필요 (2)

• securitywasmtime 44.0.2 보안 패치 반영

  wasmtime에 44.0.2 보안 패치를 반영했습니다.

• security보고된 보안 권고 수정

  보고된 보안 권고를 수정하도록 의존성을 갱신했습니다. 어떤 취약점이 수정됐는지는 명시되지 않았습니다.

조치 필요 (1)

• securityhighCVE-2026-46680 보안 수정

  CVE-2026-46680과 관련된 보안 수정이 반영되었습니다. 관련 권고 식별자는 GHSA-fqw6-gf59-qr4w입니다.

조치 필요 (1)

• securityTLV 기반 캐시 키 생성

  캐시 키 생성이 TLV(type-length-value) 바이너리 인코딩을 사용하도록 바뀌어 문자열 연결에서 생기던 충돌 위험을 없앴습니다. 프로세스마다 해시 시드를 다르게 적용해 hash-flooding 공격을 막도록 했습니다. 관련 변경은 #3148에 반영됐습니다.

조치 필요 (1)

• securitycriticalgolang.org/x/crypto 버전 업데이트

  golang.org/x/crypto를 v0.52.0으로 올려 GO-2026-5026에 대응했습니다.

영향 확인 (7)

• security리디렉션 시 인증 헤더 제거

  적용 대상이 릴리스 노트에 명시되지 않았습니다.

• breaking63자를 초과하는 ScaledObject 이름 거부

  ScaledObject 이름이 63자를 넘는 경우에 적용됩니다.

• breaking양수가 아닌 unprocessedEventThreshold 거부

  양수가 아닌 unprocessedEventThreshold를 설정한 경우에 적용됩니다.

• 릴리스 페이지에 4건 더

조치 필요 (4)

• securitymediumPrometheus 저장형 XSS 수정

  github.com/prometheus/prometheus를 업데이트해 저장형 XSS 보안 권고 GHSA-vffh-x6r8-xx99를 해결했습니다.

• securitymedium입장 웹훅 요청 본문 크기 제한

  입장 웹훅 요청 본문의 크기를 제한해, 지나치게 큰 요청으로 웹훅 서버의 메모리가 고갈되는 서비스 거부 위험을 수정했습니다. 관련 보안 권고는 CVE-2026-44247 및 GHSA-8wxp-xxp2-rcgx입니다.

• breakingDRA 스케줄링 통합 기본 활성화

  predicate.DynamicResourceAllocationEnable에 따른 DRA 스케줄링 통합이 기본으로 활성화됩니다.

• breakingKubernetes 1.34 이상에서 DRA 기본 활성화

  Kubernetes 1.34 이상 동작에 맞춰 DRA 스케줄링 통합이 기본으로 활성화됩니다. 비활성화하려면 predicate.DynamicResourceAllocationEnable: false를 설정합니다.