릴리스

조치 필요 (1)

• breakingPod 보안 적용 기본값 변경

  Pod 보안 적용 기본값이 baseline으로 변경됩니다.

영향 확인 (1)

• breaking카탈로그 엔터티 페이지 레이아웃 헤더 비활성화

  새 프런트엔드 시스템에서 카탈로그 엔터티 페이지를 사용하는 경우에 적용됩니다.

조치 필요 (4)

• securitycriticalgoogle.golang.org/grpc 1.79.3 업데이트

  CVE-2026-33186을 해결하기 위해 google.golang.org/grpc를 1.79.3으로 업데이트했습니다.

• securityhigh여러 API의 권한 확인 우회 수정

  여러 API에서 발생하던 권한 확인 우회를 수정했습니다. 이 문제는 CVE-2026-33413 및 GHSA-q8m4-xhhv-38mg로 식별됩니다.

• securityhighgo.opentelemetry.io/otel/sdk v1.40.0 업데이트

  go.opentelemetry.io/otel/sdk를 v1.40.0으로 업데이트했습니다. 관련 보안 권고는 GO-2026-4394입니다.

• securityhighgolang.org/x/net v0.51.0 업데이트

  GO-2026-4559를 해결하기 위해 golang.org/x/net을 v0.51.0으로 업데이트했습니다.

조치 필요 (3)

• securitycriticalgoogle.golang.org/grpc 업데이트

  google.golang.org/grpc를 1.79.3으로 올려 CVE-2026-33186을 해결했습니다.

• securityhighgo.opentelemetry.io/otel/sdk 업데이트

  go.opentelemetry.io/otel/sdk를 v1.40.0으로 올려 GO-2026-4394를 해결했습니다.

• securityhighgolang.org/x/net 업데이트

  golang.org/x/net을 v0.51.0으로 올려 GO-2026-4559를 해결했습니다.

조치 필요 (4)

• securitycriticalgoogle.golang.org/grpc를 1.79.3으로 업데이트

  google.golang.org/grpc를 1.79.3으로 올려 CVE-2026-33186 문제를 해결했습니다.

• securityhigh인증되지 않은 엔드포인트의 인증 검사 적용

  etcd server의 인증되지 않은 엔드포인트에 인증 검사를 적용해 여러 API의 권한 우회를 수정했습니다. 관련 권고 식별자는 CVE-2026-33413과 GHSA-q8m4-xhhv-38mg입니다.

• securityhighgolang.org/x/net을 v0.51.0으로 업데이트

  golang.org/x/net을 v0.51.0으로 올려 GO-2026-4559 문제를 해결했습니다.

• securitylow중첩 트랜잭션의 권한 검사 우회 수정

  중첩된 트랜잭션 작업에도 인증 검사를 적용해 역할 기반 접근 제어 권한 검사를 우회하던 문제를 수정했습니다. 관련 권고 식별자는 CVE-2026-33343과 GHSA-rfx7-8w68-q57q입니다.

조치 필요 (2)

• security프로젝트 생성 전 발급된 bearer tokens 거부

  프로젝트 생성 전에 발급된 bearer tokens를 거부하도록 보안 결함을 수정했습니다.

• breakingwebhook event check의 9443 포트 제거

  webhook event check에서 Harbor IP의 9443 포트를 제거했습니다.

조치 필요 (3)

• securityhighGo 툴체인 1.25.8 업데이트

  저장소의 모든 모듈과 Docker 이미지에서 Go 툴체인을 1.24.13에서 1.25.8로 업데이트했습니다.

• securitymediumhtml/template URL 이스케이프 누락 수정

  html/template에서 meta content attribute의 action URL을 이스케이프하지 않던 문제를 수정했습니다. 조작된 URL을 통한 XSS 가능성이 줄어듭니다.

• securitylowos의 FileInfo 경계 이탈 수정

  os의 FileInfo가 Root 경계를 벗어날 수 있던 문제를 수정했습니다. 이로 인해 의도한 디렉터리 밖의 파일에 접근할 가능성이 있었습니다.

영향 확인 (8)

• securitymediumOIDC Dynamic Client Registration의 SSRF 수정

  OIDC Dynamic Client Registration을 사용하는 경우에 적용됩니다.

• securitymediumrealm 클라이언트 생성 및 삭제의 IDOR 수정

  적용 대상이 릴리스 노트에 명시되지 않았습니다.

• securitymediummanage-clients permission을 통한 권한 상승 수정

  manage-clients permission을 설정한 경우에 적용됩니다.

• 릴리스 페이지에 5건 더

조치 필요 (1)

• security에이전트 수준 선택자 기록 중단

  민감한 정보가 유출될 가능성을 막기 위해 에이전트 수준에서 선택자를 더 이상 기록하지 않습니다. (#6732)

영향 확인 (14)

• breaking새 앱의 기본 프런트엔드 시스템 변경

  적용 대상이 릴리스 노트에 명시되지 않았습니다.

• breakingcreate-app 플래그 이름 변경

  create-app에서 --next 플래그를 사용하는 경우에 적용됩니다.

• breaking사용 중단 예정 타입과 옵션 제거

  사용 중단 예정 타입과 옵션을 사용하는 경우에 적용됩니다.

• 릴리스 페이지에 11건 더

영향 확인 (1)

• breaking네이티브가 아닌 아키텍처의 기본 하이퍼바이저로 QEMU 사용

  네이티브가 아닌 아키텍처에서 QEMU가 실행되는 경우에 적용됩니다.

조치 필요 (1)

• breakingQuiesceFailed 표시를 QuiesceTimeout으로 변경

  QuiesceFailed 표시가 QuiesceTimeout 표시로 교체되었습니다.

조치 필요 (1)

• securityhighCVE-2025-47913 대응을 위한 암호화 모듈 교체

  CVE-2025-47913에 대응하도록 golang/x/crypto 모듈을 openshift/golang-crypto 패치 모듈로 가리키는 replace 지시문을 추가했습니다.

조치 필요 (13)

• securitycriticalh11 잘못된 본문 처리 수정

  형식이 잘못된 본문을 허용하던 h11 문제인 CVE-2025-43859를 수정했습니다.

• securityhighstarlette 버전 고정

  starlette 버전을 0.49.1로 고정해 CVE-2025-62727을 수정했습니다.

• securityhighlightgbm 버전 업데이트

  lightgbm 버전을 4.6.0으로 업데이트해 CVE-2024-43598을 수정했습니다.

• securityhigh압축 해제 링크 수 제한 문제 수정

  압축 해제 과정에서 링크 수가 제한 없이 늘어나는 CVE-2025-66418 문제를 수정했습니다.

• securityhighexpr-lang/expr 업데이트

  expr-lang/expr를 v1.17.7로 업데이트해 CVE-2025-68156을 수정했습니다.

• securityhighcryptography subgroup attack 수정

  cryptography의 subgroup attack과 관련된 CVE-2026-26007을 수정했습니다.

• securityhighpython-multipart 임의 파일 쓰기 수정

  python-multipart의 임의 파일 쓰기 문제인 CVE-2026-24486을 수정했습니다.

• securitymedium여러 CVE 수정

  CVE-2025-22872, CVE-2025-47914, CVE-2025-58181을 수정했습니다.

• securityhttps.go 경로 탐색 방지

  https.go에서 경로 탐색이 발생하지 않도록 수정했습니다.

• security여러 CVE 관련 문제 수정

  여러 CVE 관련 문제를 수정했습니다.

• securityAIOHTTP 자동 압축 해제 문제 수정

  AIOHTTP의 HTTP 파서에서 auto_decompress 기능을 악용한 zip bomb 문제를 수정했습니다.

• securityextractTarFiles 경로 탐색 수정

  extractTarFiles에서 발생하는 경로 탐색 취약점을 수정했습니다.

• breakingminio를 seaweedfs로 교체

  minio를 seaweedfs로 교체했습니다.

조치 필요 (2)

• securityhighgo 도구 체인 버전 업데이트

  표준 라이브러리 취약점 GO-2026-4603 및 GO-2026-4601에 대응하도록 go 도구 체인 버전을 1.25.8로 업데이트했습니다.

• breaking튜플 문자열 검증 조건 강화

  튜플 문자열에 유니코드 제어 문자나 널 바이트가 하나라도 있으면 튜플 검증이 실패합니다.

조치 필요 (8)

• securityhighGRPC Netty Shaded 업데이트

  GRPC Netty Shaded를 업데이트해 CVE-2025-55163을 해결했습니다.

• securitymediumZookeeper 업데이트

  Zookeeper를 업데이트해 CVE-2024-47554를 해결했습니다.

• securitymediumNimbus Jose JWT 10.0.2 업데이트

  Nimbus Jose JWT를 10.0.2로 업데이트해 CVE-2025-53864를 해결했습니다.

• securitymediumNetty 4.1.130.Final 업데이트

  Netty를 4.1.130.Final로 업데이트해 CVE-2025-67735를 해결했습니다.

• securitymediumApache Log4J 2.25.3 업데이트

  Apache Log4J를 2.25.3으로 업데이트해 CVE-2025-68161을 해결했습니다.

• securitymediumVertx 4.5.24 업데이트

  Vertx를 4.5.24로 업데이트해 CVE-2026-1002를 해결했습니다.

• securitymediumJackson 업데이트

  Jackson을 업데이트해 GHSA-72hv-8253-57qq를 해결했습니다.

• securityVert.x와 Netty 업데이트

  Vert.x와 Netty를 업데이트해 0.45.x 브랜치의 CVE를 수정했습니다.

조치 필요 (1)

• securitymediumTLS 핸드셰이크 서비스 거부 문제 수정

  TLS 핸드셰이크 중 발생할 수 있는 서비스 거부 문제 CVE-2026-27138을 수정했습니다. 모든 컨트롤러를 Go 1.26.1로 빌드했습니다.

영향 확인 (1)

• breakingLinkerd Viz의 기본 파드 수집 범위 조정

  Linkerd Viz를 사용하는 경우에 적용됩니다.

조치 필요 (1)

• securityhighOpenTelemetry SDK v1.40.0 업데이트

  go.opentelemetry.io/otel/sdk를 v1.40.0으로 올려 GO-2026-4394 관련 수정 사항을 반영했습니다.

조치 필요 (1)

• security두 Backstage 백엔드 플러그인의 보안 수정

  @backstage/plugin-auth-backend와 @backstage/plugin-scaffolder-backend에 관한 보안 수정이 포함되었습니다.

영향 확인 (1)

• breakingDevice CRD 상태를 DeviceStatus CRD로 분리

  Device CRD를 사용하는 경우에 적용됩니다.

조치 필요 (3)

• securitymedium범위 지정 IPv6 주소 처리 충돌 수정

  범위가 지정된 IPv6 주소로 getAddressWithPort()를 호출할 때 충돌하던 문제를 수정했습니다. 이 수정은 CVE-2026-26310 및 GHSA-3cw6-2j68-868p와 관련됩니다.

• securitymedium문자열 null 종료 문자 쓰기 오류 수정

  문자열의 null 종료 문자를 손상시킬 수 있던 하나 차이 쓰기 오류를 수정했습니다. 이 수정은 CVE-2026-26309 및 GHSA-56cj-wgg3-x943와 관련됩니다.

• securitymedium하위 연결 초기화 뒤 decode* 메서드 차단

  하위 연결이 초기화된 뒤 decode* 메서드가 실행되지 않도록 차단했습니다. 이 수정은 CVE-2026-26311 및 GHSA-84xm-r438-86px와 관련됩니다.