릴리스

조치 필요 (8)

• securitymediumgolang.org/x/image 보안 업데이트

  GO-2026-4962에 대응하기 위해 golang.org/x/image를 v0.39.0으로 올렸습니다.

• securitydurabletask-go 및 pgx 보안 업데이트

  durabletask-go를 v0.12.1로 올리고 pgx를 업데이트해 취약점을 해결했습니다.

• breakingWorkflowsRemoteActivityReminder 기본 활성화

  WorkflowsRemoteActivityReminder가 기본으로 활성화됩니다. 앱 간 워크플로 활동 결과는 기본적으로 스케줄러 알림으로 전달됩니다.

• breakingHotReload 기본 활성화

  HotReload가 기본으로 활성화되며, 컴포넌트, 구독, MCPServers, Configurations, HTTPEndpoints, Resiliencies, WorkflowAccessPolicies가 기본적으로 자동 다시 로드됩니다.

• breaking사이드카 프로브 기본 동작 변경

  사이드카 프로브 기본값이 바뀌었습니다. 라이브니스 프로브는 kubelet이 다시 시작하기 전까지 약 230초 동안 지연을 견디며, 레디니스 프로브는 더 빠르게 반응합니다.

• breakingHotReload 기본 활성화

  HotReload가 기본적으로 켜집니다.

• breaking라이브니스 및 레디니스 프로브 기본값 조정

  라이브니스 프로브의 허용 범위를 넓히고 레디니스 프로브의 기본값을 더 엄격하게 조정했습니다.

• breaking사이드카 프로브 기본값 변경

  사이드카 프로브 기본값이 바뀌었습니다. 라이브니스는 kubelet이 다시 시작하기 전까지 약 230초를 허용하고, 레디니스는 컨트롤 플레인에서 약 3초, daprd에서 약 5초로 더 엄격해졌습니다.

조치 필요 (2)

• securityGo 도구 모음과 containerd 버전 업데이트

  Go 도구 모음을 1.25.11로, containerd를 1.7.32로 업그레이드했습니다.

• securitymemStress 빌드 및 chaos-daemon 이미지 변경

  memStress 도우미를 최신 Go 도구 모음 v0.3.1로 다시 빌드하고, chaos-daemon 이미지를 헤드리스 JRE 기반으로 변경했습니다.

조치 필요 (1)

• securitymedium빌드에 사용하는 Go 버전 업데이트

  Go 1.26.4로 OPA를 빌드하며, OPA의 HTTP 핸들러와 암호화 내장 기능이 사용하는 표준 라이브러리 코드의 취약점 GO-2026-5037과 GO-2026-5039를 수정했습니다.

조치 필요 (1)

• securitygolang.org/x/net 모듈을 v0.55.0으로 업데이트

  golang.org/x/net 모듈을 v0.55.0으로 업데이트했습니다. 변경 사항에는 보안 표시가 붙어 있습니다.

영향 확인 (3)

• securityAlertmanager 및 Store Gateway 상태 페이지의 저장형 XSS 수정

  Alertmanager 또는 Store Gateway를 실행하는 경우에 적용됩니다.

• security네이티브 히스토그램 protobuf 크기 제한

  네이티브 히스토그램을 사용하는 경우에 적용됩니다.

• breakingParseProtoReader 및 OTLP 수집 경로의 압축 해제 크기 제한

  OTLP 수집 경로를 사용하는 경우에 적용됩니다.

조치 필요 (2)

• security툴체인 Go 버전 1.26.4로 업데이트

  툴체인의 Go 버전을 1.26.4로 올려 Go 표준 라이브러리 취약점을 수정했습니다.

• securitygrpc-health-probe v0.4.52 업데이트

  grpc-health-probe를 v0.4.52로 업데이트하고 Go 1.26.4로 다시 빌드했습니다. 이제 릴리스 이미지에 해당 Go 표준 라이브러리 취약점이 포함되지 않습니다.

조치 필요 (1)

• securityhighCVE-2026-47774 메모리 고갈 취약점 수정

  CVE-2026-47774는 인증되지 않은 원격 공격자가 Envoy 프로세스의 메모리를 고갈시켜 서비스 거부를 일으킬 수 있는 문제입니다. 요청 헤더 크기 검증에서 쿠키 헤더 바이트가 모두 반영되지 않고, HPACK 헤더 블록 제한도 디코딩된 전체 헤더 크기에 적용되지 않아 특수하게 만든 HTTP/2 요청으로 과도한 메모리 사용이 발생할 수 있던 동작을 수정했습니다.

조치 필요 (1)

• securityhighEnvoy 메모리 고갈을 일으키는 서비스 거부 취약점 수정

  인증되지 않은 원격 공격자가 조작한 HTTP/2 요청으로 Envoy 프로세스의 메모리를 고갈시켜 서비스 거부를 일으킬 수 있던 문제를 수정했습니다. 요청 헤더 크기를 검사할 때 Cookie 헤더 바이트가 모두 반영되지 않았고, HPACK 헤더 블록 제한도 디코딩 후 전체 헤더 크기에 상응하는 제한 없이 인코딩된 바이트 기준으로만 적용됐습니다.

조치 필요 (1)

• securityhighEnvoy 메모리 고갈 서비스 거부 취약점 수정

  CVE-2026-47774은 인증되지 않은 원격 공격자가 특수하게 만든 HTTP/2 요청으로 Envoy 프로세스의 메모리를 고갈시켜 서비스 거부를 일으킬 수 있는 문제입니다. 쿠키 헤더 바이트가 요청 헤더 크기 검증에 모두 포함되지 않았고, HPACK 헤더 블록 제한도 디코딩된 전체 헤더 크기가 아닌 인코딩된 바이트에만 적용됐던 점을 수정했습니다. CVSS 점수는 7.5입니다.

조치 필요 (1)

• securityhighnghttp2 취약점 패치 적용

  nghttp2에 CVE-2026-27135 패치를 적용했습니다.

조치 필요 (2)

• securityhighlodash 코드 삽입 취약점 수정

  CVE-2026-4800에 해당하는 lodash의 코드 삽입 취약점을 수정했습니다.

• securitymediumNetty HTTP/1.0 스머글링 정제 우회 수정

  CVE-2026-42581에 해당하는 Netty의 HTTP/1.0 TE+CL 공존으로 인한 스머글링 정제 우회 문제를 수정했습니다.

조치 필요 (1)

• securityhighnghttp2 보안 패치 적용

  nghttp2의 CVE-2026-27135 패치를 적용했습니다.

조치 필요 (1)

• securityhighnghttp2 보안 패치 반영

  http2에 nghttp2의 CVE-2026-27135 패치를 반영했습니다.

조치 필요 (1)

• securityhighnghttp2 보안 패치 적용

  http2에 CVE-2026-27135에 대한 nghttp2 패치를 적용했습니다.

조치 필요 (2)

• securitycriticalgoogle.golang.org/grpc 1.79.3 업데이트

  보안 문제에 대응하도록 google.golang.org/grpc를 1.79.3으로 올렸습니다. 관련 보안 권고는 GHSA-p77j-4mvh-x3m3입니다.

• securityVMExport 디렉터리 처리기의 심볼릭 링크 탐색 수정

  VMExport 디렉터리 처리기가 심볼릭 링크를 따라가던 문제를 수정했습니다.

조치 필요 (1)

• securitycriticalgoogle.golang.org/grpc 버전 업데이트

  google.golang.org/grpc 버전을 1.79.3으로 올려 CVE-2026-33186을 해결했습니다.

조치 필요 (1)

• securitycriticalgoogle.golang.org/grpc 업데이트

  google.golang.org/grpc 버전을 올려 CVE-2026-33186 문제를 해결했습니다.

조치 필요 (2)

• securitywasmtime 44.0.2 보안 패치 반영

  wasmtime에 44.0.2 보안 패치를 반영했습니다.

• security보고된 보안 권고 수정

  보고된 보안 권고를 수정하도록 의존성을 갱신했습니다. 어떤 취약점이 수정됐는지는 명시되지 않았습니다.

조치 필요 (1)

• securityhighCVE-2026-46680 보안 수정

  CVE-2026-46680과 관련된 보안 수정이 반영되었습니다. 관련 권고 식별자는 GHSA-fqw6-gf59-qr4w입니다.

조치 필요 (1)

• securityTLV 기반 캐시 키 생성

  캐시 키 생성이 TLV(type-length-value) 바이너리 인코딩을 사용하도록 바뀌어 문자열 연결에서 생기던 충돌 위험을 없앴습니다. 프로세스마다 해시 시드를 다르게 적용해 hash-flooding 공격을 막도록 했습니다. 관련 변경은 #3148에 반영됐습니다.

조치 필요 (1)

• securitycriticalgolang.org/x/crypto 버전 업데이트

  golang.org/x/crypto를 v0.52.0으로 올려 GO-2026-5026에 대응했습니다.

영향 확인 (7)

• security리디렉션 시 인증 헤더 제거

  적용 대상이 릴리스 노트에 명시되지 않았습니다.

• breaking63자를 초과하는 ScaledObject 이름 거부

  ScaledObject 이름이 63자를 넘는 경우에 적용됩니다.

• breaking양수가 아닌 unprocessedEventThreshold 거부

  양수가 아닌 unprocessedEventThreshold를 설정한 경우에 적용됩니다.

• 릴리스 페이지에 4건 더

조치 필요 (4)

• securitymediumPrometheus 저장형 XSS 수정

  github.com/prometheus/prometheus를 업데이트해 저장형 XSS 보안 권고 GHSA-vffh-x6r8-xx99를 해결했습니다.

• securitymedium입장 웹훅 요청 본문 크기 제한

  입장 웹훅 요청 본문의 크기를 제한해, 지나치게 큰 요청으로 웹훅 서버의 메모리가 고갈되는 서비스 거부 위험을 수정했습니다. 관련 보안 권고는 CVE-2026-44247 및 GHSA-8wxp-xxp2-rcgx입니다.

• breakingDRA 스케줄링 통합 기본 활성화

  predicate.DynamicResourceAllocationEnable에 따른 DRA 스케줄링 통합이 기본으로 활성화됩니다.

• breakingKubernetes 1.34 이상에서 DRA 기본 활성화

  Kubernetes 1.34 이상 동작에 맞춰 DRA 스케줄링 통합이 기본으로 활성화됩니다. 비활성화하려면 predicate.DynamicResourceAllocationEnable: false를 설정합니다.

조치 필요 (1)

• securityalpine 기본 이미지 업데이트

  보안 문제에 대응하기 위해 기본 이미지 alpine이 alpine:3.23.3에서 alpine:3.23.4로 변경되었습니다.

조치 필요 (1)

• securityhigh취약한 Go 의존성 업데이트

  취약점이 있는 Go 의존성을 GHSA-xmrv-pmrh-hhx2 및 CVE-2026-34986과 관련된 버전으로 업데이트했습니다.

조치 필요 (1)

• securityGHSA-84rc-2q4r-45pc 보안 권고 수정

  보안 권고 GHSA-84rc-2q4r-45pc를 수정했습니다.

조치 필요 (3)

• security보안 권고 대응을 위한 의존성 갱신

  dependencies를 보안 권고 해결을 위해 갱신했습니다.

• securityEnvFrom 정리로 비밀 이름 노출 방지

  removeContainersData에서 EnvFrom을 비워 비밀 이름이 노출되지 않도록 수정했습니다.

• security컨테이너 데이터 제거 시 Env[].ValueFrom 정리

  removeContainersData와 removeEphemeralContainersData에서 Env[].ValueFrom을 비우도록 수정했습니다.

영향 확인 (1)

• securitySentry OIDC 디스커버리의 전달 호스트 검증 제한

  Sentry OIDC를 사용하는 경우에 적용됩니다.

영향 확인 (1)

• securityAzure IMDS 노드 증명 문서 검증 오류 수정

  azure_imds 서버 노드 증명 플러그인을 사용하는 경우에 적용됩니다.

영향 확인 (1)

• securityazure_imds 노드 어테스테이션 인증서 검증 수정

  azure_imds 서버 노드 어테스터 플러그인을 사용하는 경우에 적용됩니다.

조치 필요 (1)

• securitycriticalgolang.org/x/net 업데이트

  golang.org/x/net을 v0.55.0으로 업데이트했습니다. 이 변경은 CVE-2026-39821과 관련됩니다.

조치 필요 (1)

• breaking동시 fgprof 프로파일 실행 제한

  동시에 실행되는 fgprof 프로파일을 API에서 거부합니다.

조치 필요 (1)

• securitygrpc-health-probe 버전 업데이트

  여러 Go 표준 라이브러리 CVE에 대응하도록 grpc-health-probe를 v0.4.50으로 업데이트했습니다.

조치 필요 (1)

• securitymediumredoc/dompurify v3.4.0 업데이트

  UI의 redoc/dompurify 의존성을 v3.4.0으로 올려 CVE-2026-41240 수정 사항을 반영했습니다.

영향 확인 (1)

• securitymediumredoc/dompurify 의존성 v3.4.0 업데이트

  redoc/dompurify를 /ui에서 사용하는 경우에 적용됩니다.

조치 필요 (1)

• securitycriticalgolang.org/x/net 의존성 v0.55.0 업데이트

  golang.org/x/net을 v0.55.0으로 업데이트해 GO-2026-5026을 수정했습니다.

조치 필요 (1)

• securitycriticalLinux 보안 취약점 수정

  Linux에서 CVE-2024-36476, CVE-2024-39282, CVE-2024-53681, CVE-2024-54031, CVE-2024-57795, CVE-2024-57801, CVE-2024-57802, CVE-2024-57841, CVE-2024-57844, CVE-2024-57857, CVE-2024-57882, CVE-2024-57883, CVE-2024-57884, CVE-2024-57885, CVE-2024-57886, CVE-2024-57887, CVE-2024-57888, CVE-2024-57889, CVE-2024-57890, CVE-2024-57891, CVE-2024-57892, CVE-2024-57893, CVE-2024-57894, CVE-2024-57895, CVE-2024-57896, CVE-2024-57897, CVE-2024-57898, CVE-2024-57899, CVE-2024-57900, CVE-2024-57901, CVE-2024-57902, CVE-2024-57903, CVE-2024-57930, CVE-2024-57931, CVE-2024-57932, CVE-2024-57933, CVE-2024-57934, CVE-2024-57935, CVE-2024-57936, CVE-2024-57937, CVE-2024-57938, CVE-2024-58237, CVE-2025-21629, CVE-2025-21630, CVE-2026-43490, CVE-2026-43492, CVE-2026-43495, CVE-2026-43496, CVE-2026-43497, CVE-2026-43502, CVE-2026-43503, CVE-2026-46300, CVE-2026-46333에 해당하는 보안 취약점을 수정했습니다.

조치 필요 (1)

• securitycriticalLinux 보안 수정

  Linux에 관한 보안 수정이 반영되며, CVE-2026-43316이 식별자로 함께 언급됩니다.

조치 필요 (1)

• breakinggRPC server support 제거

  gRPC server support가 제거되었습니다.

조치 필요 (1)

• securitygolang.org/x/crypto 모듈 업데이트

  golang.org/x/crypto 모듈을 v0.52.0으로 업데이트했습니다.