릴리즈

Rook v1.19.3은 CSI 배포 방식 변경, EC 풀 관리 개선, OSD 암호화 수정, RGW IPv6 버그 수정 등 실무에 직접 영향을 미치는 패치들을 담고 있습니다.

• breakingCSI 배포 방식이 ceph-csi-operator로 전환 — 기존 커스터마이징 확인 필수

  이번 변경으로 Ceph-CSI/NVMe-oF 배포가 ceph-csi-operator를 통해 관리됩니다. ceph-csi-operator는 자체 CRD와 reconcile 루프를 갖기 때문에, 기존에 CSI DaemonSet이나 Deployment에 직접 적용한 커스텀 설정이 업그레이드 후 덮어써질 수 있습니다. 업그레이드 전에 CSI 관련 설정을 검토하고, 필요한 커스터마이징은 operator 방식에 맞게 재적용 계획을 세우세요.

• enhancement암호화 OSD 운영 중이라면 lockbox 키 로테이션 수정 즉시 적용을

  암호화 OSD의 lockbox 키 로테이션 버그는 시간이 지남에 따라 암호화 상태가 불일치할 수 있는 문제였습니다. 암호화 OSD를 사용 중이라면 v1.19.3으로 업그레이드한 뒤 키 로테이션이 정상 동작하는지 확인하세요. OSD 교체나 키 로테이션 작업 중 이상 동작을 경험했다면 더욱 서둘러 적용할 필요가 있습니다.

• enhancementIPv6 환경의 RGW 사용자라면 시크릿 재생성 필요

  오브젝트 스토어 사용자 시크릿에 IPv6 주소가 잘못된 형식으로 저장되는 버그가 수정되었습니다. IPv6 전용 또는 dual-stack 환경에서 RGW를 운영 중이라면, 업그레이드 후 영향받는 오브젝트 스토어 사용자를 재생성하거나 reconcile하여 올바른 형식의 시크릿이 적용되도록 하세요.

Rook v1.18.10은 OSD 안정성 버그 수정, RBAC 권한 축소, Ceph 익스포터 및 NFS 운영 개선에 집중한 패치 릴리스입니다.

• security업그레이드 후 Rook RBAC 확인 필요 — nodes/proxy 권한 삭제됨

  오퍼레이터의 nodes/proxy RBAC 권한이 제거됐습니다. Rook 오퍼레이터 ServiceAccount에 해당 권한이 있다고 가정하는 커스텀 모니터링 도구나 파이프라인이 있다면 업그레이드 후 조용히 깨질 수 있습니다. 프로덕션 적용 전에 오퍼레이터 ServiceAccount를 사용하는 도구와 대시보드를 먼저 점검하세요.

• breaking암호화 OSD 사용 클러스터는 업그레이드 후 키 로테이션 검증 필요

  암호화 OSD의 lockbox 키 로테이션 로직이 변경됐습니다. 비프로덕션 환경에서 먼저 업그레이드한 뒤 키 로테이션이 정상 동작하는지 직접 확인하세요. CephX 키 초기화 시 실패해도 기존 키를 보존하는 동작 변경도 에러 복구 시나리오에 영향을 줄 수 있으므로, 기존에 문서화된 장애 복구 절차도 함께 재검증하는 것이 좋습니다.

• enhancementCephNFS에서 커스텀 이미지 지정 가능 — 매니페스트 업데이트 고려

  spec.server.image와 spec.server.imagePullPolicy 필드가 새로 생겨서 CephNFS 리소스별로 NFS Ganesha 이미지를 직접 지정할 수 있습니다. 규정 준수 목적으로 이미지를 고정하거나 패치된 이미지를 테스트해야 할 때 유용합니다. 기존에 우회 방법을 쓰고 있었다면 CephNFS 매니페스트를 정리할 좋은 시점입니다.

KubeVirt v1.8.0은 1,242개의 변경사항을 담은 대형 릴리스로, 새로운 VM 백업 API, VMPool 자동복구, 컨테이너패스 볼륨 등을 추가하고 일부 네트워크 바인딩을 완전 제거했습니다.

• breaking업그레이드 전 SLIRP·Macvtap 바인딩 사용 VM 확인 및 전환

  SLIRP와 Macvtap 코어 바인딩이 v1.8.0에서 완전히 삭제됐습니다. 클러스터 내 해당 바인딩을 사용하는 VM이 있으면 업그레이드 후 즉시 장애가 발생합니다. 지금 VM 스펙을 전수 조사해 passt 또는 bridge 바인딩으로 전환하고, 프로덕션 적용 전 비프로덕션 환경에서 반드시 검증하세요.

• breaking마이그레이션 및 vCPU 메트릭명 변경 — 대시보드 일괄 수정 필요

  kubevirt_vmi_migration_data_total_bytes는 deprecated 처리됐고, vCPU 레코딩 룰도 kubevirt_vmi_vcpu_count에서 vmi:kubevirt_vmi_vcpu:count로 바뀌었습니다. Grafana 대시보드, Prometheus 알림 규칙, 레코딩 룰에서 두 메트릭을 함께 찾아 교체하세요. 업그레이드 후에 고치면 모니터링 공백이 생깁니다.

• enhancementdisabledFeatureGates로 피처 게이트 명시적 잠금 적용

  이제 피처 게이트를 단순히 설정하지 않는 방식이 아니라, disabledFeatureGates 목록에 명시해 강제로 비활성화할 수 있습니다. 규제 환경이나 GitOps로 KubeVirt 설정을 관리하는 팀이라면, 허용하지 않을 알파·베타 피처를 이 목록에 추가해 감사 추적이 가능한 형태로 관리하세요.

v2.12.6은 MQTT, JetStream, WebSocket, 리프노드, mTLS 등 핵심 서브시스템에서 CVE 11건을 수정한 긴급 보안 릴리스입니다. 2.12.5에서 발생한 JetStream 컨슈머 할당 손실 회귀 버그도 함께 수정됐습니다.

• security즉시 업그레이드 필요 — 핵심 서브시스템 전반에 CVE 11건 패치

  이번 릴리스는 MQTT(3건), JetStream(2건), 리프노드(2건), WebSocket(1건), mTLS(1건), 커맨드라인 자격증명(1건), 퍼블리시 권한(1건)에 걸친 CVE를 모두 수정합니다. 이 기능들을 프로덕션에서 하나라도 사용 중이라면 구버전을 유지할 이유가 없습니다. 자신의 배포 환경에서 영향 받는 서브시스템을 확인하고 MQTT·리프노드 사용자는 특히 빠르게 적용하세요.

• breakingJWT 크기 1MB 제한이 신규 적용됨

  1MB를 초과하는 JWT는 거부됩니다. 대부분의 환경에는 영향이 없지만, 대규모 권한 세트나 복잡한 계정 구조로 JWT를 발급하는 경우 업그레이드 전에 JWT 크기를 반드시 확인하세요. 오퍼레이터 JWT와 동적으로 발급되는 자격증명을 점검하는 것이 좋습니다.

• breaking2.12.5에서 JetStream 컨슈머 할당 무음 유실 가능 — 업그레이드 후 확인 필수

  2.12.5의 회귀 버그로 인해 비동기 스냅샷을 사용하는 클러스터 환경에서 스트림 업데이트 시 컨슈머 할당이 조용히 사라질 수 있었습니다. 2.12.5 클러스터 JetStream을 운영 중이라면 업그레이드 전후로 컨슈머 수를 비교해 데이터 손실 여부를 확인하세요. 이번 릴리스 주기에서 운영 측면에서 가장 위험한 버그입니다.

v2.11.15는 MQTT, 리프노드, WebSocket, JetStream, mTLS에 걸쳐 CVE 11건을 패치하는 긴급 보안 릴리스입니다. 해당 기능을 사용 중이라면 즉시 업그레이드해야 합니다.

• securityCVE 11건 — 즉시 업그레이드 필수

  이번 릴리스는 NATS의 주요 기능 전반에 걸친 CVE를 패치합니다. MQTT 사용자의 노출 범위가 가장 넓은데, 모니터링 엔드포인트에서의 비밀번호 유출, 클라이언트 ID 불일치를 이용한 세션 탈취, 잘못된 패킷으로 인한 패닉이 모두 포함됩니다. WebSocket 배포 환경에서는 DoS에 악용될 수 있는 무제한 메모리 할당 경로가 있었고, 리프노드와 mTLS도 별도 취약점이 수정됐습니다. 개발, 스테이징, 프로덕션 전 클러스터를 v2.11.15로 올리세요.

• breakingMQTT 클라이언트 ID 문자 제한 — 기존 클라이언트 연결 불가 가능성

  MQTT 클라이언트 ID에 NATS 특수문자(`.`, `>`, `*`, 공백, 탭)가 포함되면 연결이 거부됩니다. IoT 기기 명명 규칙에 이 문자를 쓰는 경우가 많으니 업그레이드 전 전체 클라이언트 ID를 점검하세요. 아울러 기존에 더 넓은 범위로 허용되던 암묵적 권한이 `$MQTT.sub.*`와 `$MQTT.deliver.pubrel.*`로 축소됐으니, 이에 의존하는 클라이언트가 있다면 권한 설정을 재검토해야 합니다.

• enhancement트레이스 로그와 모니터링 엔드포인트의 시크릿 자동 마스킹

  이전까지는 커맨드라인 시크릿이 expvar 모니터링 출력과 트레이스 로그에 그대로 노출됐습니다. 이제 자동으로 마스킹됩니다. 모니터링 포트를 스크래핑하거나 트레이스 로그를 외부 시스템(로그 수집기, SIEM 등)으로 전송해왔다면, 과거 수집 데이터에 시크릿이 포함됐을 수 있으니 데이터 로테이션이나 삭제를 검토하세요. 추가 설정 없이 자동 적용됩니다.

OpenFGA v1.13.1이(가) 릴리즈되었지만, 공개된 노트가 짧아 요약할 내용이 충분하지 않습니다. 자세한 내용은 원문 릴리즈 노트를 확인하세요.

Knative v1.21.2는 TLS 설정 개선 한 건과 v1.22에서 secure-pod-defaults 기본값 변경 예고를 담은 소규모 패치 릴리스입니다.

• breakingv1.22 업그레이드 전 루트 의존 워크로드 점검 필수

  v1.22부터 AllowRootBounded가 secure-pod-defaults의 기본값이 됩니다. 루트 권한이 필요한 컨테이너(레거시 앱, 특정 베이스 이미지 등)는 업그레이드 후 동작하지 않을 수 있습니다. 지금 v1.21 환경에서 AllowRootBounded를 명시적으로 활성화해 해당 워크로드를 테스트하세요. 문제가 생긴다면 v1.22 업그레이드 전에 config-features ConfigMap에서 secure-pod-defaults를 'disabled'로 설정해두세요. 업그레이드 당일까지 미루지 마세요.

• enhancementknative.dev/pkg/network/tls 전환으로 TLS 제어 강화

  공유 라이브러리인 knative.dev/pkg/network/tls로 전환되면서 Serving의 TLS 설정 유연성이 높아졌습니다. 내부 PKI 정책이 있거나 암호 스위트·최소 TLS 버전을 정책으로 강제하는 환경이라면, 이번 변경이 기존 TLS 동작에 영향을 주는지 확인해보세요.

Contour v1.33.3은 Envoy를 v1.35.9로, grpc-go를 v1.79.3으로 올린 보안 패치 릴리스이며, 예제 매니페스트 정리가 포함됩니다.

• securityEnvoy 보안 수정을 위해 즉시 업그레이드 검토

  이번 릴리스의 핵심은 Envoy v1.35.9 업그레이드입니다. 데이터 플레인의 실질적인 보안 취약점을 수정하므로, 외부 트래픽에 노출된 클러스터라면 빠르게 롤아웃 계획을 잡으세요. grpc-go의 CVE-2026-33186은 Contour에는 영향이 없지만, Envoy 수정만으로도 업그레이드 이유는 충분합니다.

• breaking커스텀 매니페스트에서 hostPort: 8002 의존성 확인

  예제 매니페스트를 복사하거나 확장해서 사용 중이고, 노드에서 직접 Envoy 메트릭을 수집하는 데 hostPort: 8002를 사용하고 있다면 주의가 필요합니다. 업스트림 예제에서 해당 설정이 삭제됐으므로, 업그레이드 전에 매니페스트와 모니터링 파이프라인에 이 설정이 남아 있는지 먼저 확인하세요.

Contour v1.32.4는 보안 패치 릴리스로, Envoy를 v1.34.13으로, grpc-go를 CVE-2026-33186 대응 버전으로 업그레이드하고 예시 매니페스트를 소폭 정리했습니다.

• securityEnvoy 보안 수정을 위해 즉시 업그레이드하세요

  이번 릴리스의 핵심은 Envoy v1.34.13 업데이트입니다. 이 버전 범위의 Envoy 릴리스에는 보안 수정이 포함되어 있으므로, Envoy v1.34.13 체인지로그를 직접 확인해 실제 트래픽 패턴에 영향을 주는 CVE가 있는지 파악하세요. grpc-go CVE-2026-33186은 Contour에 직접 영향을 주지 않지만, 의존성 그래프 정리 차원에서라도 업그레이드를 서두르는 게 낫습니다.

• breakinghostPort 8002를 참조하는 커스텀 매니페스트를 확인하세요

  예시 매니페스트에서 Envoy 메트릭 컨테이너의 hostPort 8002가 제거됐습니다. 업스트림 매니페스트를 기반으로 배포 파이프라인을 구성했다면 diff에서 이 변경이 나타납니다. 더 중요한 건, Prometheus 스크레이프 설정이나 방화벽 규칙에서 해당 호스트 포트를 직접 참조하고 있다면, 업그레이드 전에 ClusterIP 서비스나 파드 IP 등 대체 경로로 메트릭 엔드포인트에 접근 가능한지 먼저 확인해야 합니다.

Contour v1.31.5는 보안·안정성 패치 릴리스입니다. Envoy v1.34.13 업그레이드, CVE-2026-33186 대응 grpc-go 업데이트, 예시 매니페스트 소폭 정리가 포함됩니다.

• securityEnvoy 보안 픽스 포함 — 업그레이드를 미루지 마세요

  Envoy v1.34.13에는 보안 취약점 수정이 포함되어 있습니다. 릴리스 노트에 개별 CVE가 명시되지 않았지만, .13 포인트 릴리스 수준의 Envoy 패치는 가볍게 볼 수 없습니다. 커스텀 Envoy 설정이 많다면 스테이징에서 먼저 검증 후 운영에 반영하되, 업그레이드 자체는 빠르게 진행하세요.

• securityCVE-2026-33186: 패치 완료, Contour는 직접 영향 없음

  grpc-go v1.79.3 업데이트로 CVE-2026-33186이 패치됐지만, Contour 코드는 취약한 경로를 사용하지 않습니다. 다만 Contour 바이너리에 해당 의존성이 번들되므로 업그레이드하면 자연스럽게 포함됩니다. 긴급 배포까지는 불필요하고, 다음 정기 유지보수 시 적용하면 됩니다.

• breakingEnvoy 메트릭 hostPort 8002 제거 — 커스텀 매니페스트 확인 필요

  예시 매니페스트에서 Envoy 메트릭 hostPort: 8002가 삭제됐습니다. Contour 공식 예시를 기반으로 매니페스트를 구성하고 호스트 레벨 메트릭 스크래핑을 이 포트에 의존하고 있다면, 스크래핑 설정과 매니페스트를 함께 수정해야 합니다. Helm 또는 Operator로 배포한 경우라면 대부분 영향이 없지만, 명시적으로 템플릿에 추가한 케이스는 점검하세요.

OpenFGA v1.13.0은 AuthZen v1.0 표준 지원, Check v1/v2 캐시 분리, 리졸버 패닉 처리 강화를 주요 변경사항으로 담았습니다.

• security리졸버 패닉으로 인한 서버 다운 위험 — 즉시 업그레이드 권장

  파이프라인 기본 리졸버에서 처리되지 않은 패닉이 발생하면 OpenFGA 프로세스 전체가 종료될 수 있었습니다. 이번 수정으로 패닉이 에러로 변환되어 서버가 계속 실행됩니다. 복잡한 권한 그래프 평가 중 OpenFGA가 예기치 않게 재시작되는 문제를 겪었다면 바로 이 원인입니다. 가용성에 직접 영향을 주는 수정이므로 빠른 업그레이드를 권장합니다.

• breakingCheck v1/v2 캐시 분리로 캐시 히트율 변동 가능 — 용량 설정 재검토 필요

  기존에는 Check v1과 v2가 캐시를 공유했는데, 이제 완전히 분리됩니다. 두 API 버전을 동시에 사용하는 환경이라면 전체 캐시 히트율이 낮아지거나 메모리 사용 패턴이 달라질 수 있습니다. 업그레이드 후 캐시 용량 설정을 재확인하고, 모니터링 대시보드에서 캐시 히트율 지표를 주의 깊게 살펴보세요.

• enhancementAuthZen v1.0으로 크로스 시스템 권한 부여 연동 검토

  AuthZen v1.0은 CNCF 생태계 전반의 권한 부여 API 상호운용 표준으로 자리잡는 중입니다. 여러 정책 엔진을 연동하거나 멀티 시스템 권한 부여 레이어를 구성 중이라면, 이번 릴리스에서 새로운 AuthZen 엔드포인트를 먼저 테스트해 보세요. 지금 도입하면 나중에 구조를 뜯어고치지 않아도 생태계 방향과 자연스럽게 맞춰집니다.

Cilium v1.19.2는 안정성 중심의 패치 릴리스입니다. IPSec 키 교체 레이스 컨디션, L7 LB 정책 우회, ClusterMesh 고루틴 누수, Envoy 어드민 소켓 보안 문제 등이 수정됐습니다.

• securityEnvoy 어드민 소켓 노출 문제 — 즉시 업그레이드

  Envoy 어드민 소켓이 노드의 모든 사용자에게 접근 가능한 상태로 생성되고 있었습니다. 같은 노드의 워크로드라면 누구든 Envoy 어드민 API를 호출할 수 있는 상황이었습니다. L7 정책이나 Envoy 기반 기능을 쓰고 있다면 v1.19.2로 즉시 업그레이드하세요. 별도 설정 변경 없이 바이너리 교체만으로 해결됩니다.

• securityIPSec 키 교체 중 패킷 드롭 레이스 컨디션 수정

  IPSec 키 교체 과정에서 피어가 새 키를 먼저 사용하기 시작할 때 로컬 XFRM 상태가 준비되지 않아 패킷이 조용히 드롭되는 문제가 있었습니다. IPSec 암호화와 롤링 키 교체를 함께 사용 중이라면 원인 불명의 연결 끊김을 경험했을 가능성이 높습니다. 업그레이드 후 키 교체 절차를 재검토하세요. 이번 수정에서 교체 흐름 로깅도 추가되어 향후 가시성이 개선됩니다.

• breakingL7 LB 인그레스 정책 우회 수정 — 트래픽 동작 재확인 필요

  L7 로드밸런싱이 활성화된 상태에서 로컬 백엔드에 대한 인그레스 정책이 우회되는 버그가 있었습니다. L7 LB와 Cilium 네트워크 정책을 함께 사용하고 있다면, 의도한 정책이 실제로는 적용되지 않았을 수 있습니다. v1.19.2 업그레이드 후 정책 의도에 맞게 트래픽이 동작하는지 반드시 확인하세요. 올바른 정책 적용이 복원되면서 기존과 다른 트래픽 패턴이 관찰될 수 있습니다.

Cilium v1.18.8은 버그 수정 패치지만, GKE 사용자는 XDP 회귀 문제로 이 버전을 반드시 건너뛰어야 합니다.

• securityEnvoy 어드민 소켓 권한 노출 — 즉시 업그레이드 필요

  Envoy 어드민 소켓이 world-readable/writable 권한으로 생성되어, 노드상의 모든 프로세스가 접근할 수 있었습니다. v1.18.8에서 수정됐습니다. L7 정책이나 Envoy 기반 기능을 사용 중이라면 빠르게 업그레이드하세요. 기존 노드에서는 /var/run/cilium/envoy/sockets/ 경로의 소켓 권한을 직접 확인해 보는 것이 좋습니다.

• breakingGKE 사용자: v1.18.8 배포 금지

  XDP jumbo MTU 지원(PR #44499)이 GKE 환경에서 회귀를 일으킵니다. GKE 클러스터라면 이 버전은 건너뛰고 v1.19.2로 직접 업그레이드하세요. v1.18.8을 GKE에 배포하면 네트워크 장애가 발생할 수 있습니다. 다른 환경의 사용자는 영향받지 않습니다.

• enhancementL7 LB 정책 우회 및 FQDN SNI 수정 — 정책 적용 신뢰성 개선

  정책 집행 관련 버그 두 가지가 수정됐습니다. 첫째, L7 LB 환경에서 로컬 백엔드가 인그레스 정책을 우회할 수 있었습니다. 둘째, SNI 기반 매칭 사용 시 와일드카드 FQDN 정책이 Envoy로 전달되지 않는 문제가 있었습니다. L7 로드밸런싱이나 SNI FQDN 네트워크 정책을 운영 중이라면 실질적인 보안 허점이 닫히는 만큼 업그레이드를 우선순위에 두세요.

Cilium v1.17.14는 Envoy 어드민 소켓 권한 문제(보안)와 L7 LB 정책 우회 버그 2건을 수정했습니다. L7 LB나 Envoy를 사용 중이라면 즉시 업그레이드하세요.

• securityEnvoy 어드민 소켓 권한 노출 — 즉시 업그레이드 필요

  Envoy 어드민 소켓이 world-accessible 권한으로 생성되어 노드 내 모든 프로세스가 소켓에 접근할 수 있었습니다. 멀티테넌트나 공유 노드 환경에서는 로컬 권한 상승 위험이 됩니다. 외부 파일시스템 접근 제어 외에는 별도 우회책이 없으므로 v1.17.14로 즉시 업그레이드하고, 기존 노드에서 소켓이 실제로 접근 가능한 상태였는지 확인하세요.

• securityL7 LB에서 인그레스 정책 우회 가능 — 정책 적용 여부 재확인 필요

  L7 로드밸런싱 활성화 상태에서 로컬 백엔드에 대한 인그레스 정책이 제대로 적용되지 않았습니다. L7 LB를 통해 이스트-웨스트 트래픽을 제어하던 환경이라면 정책이 실제로 동작하지 않았을 가능성이 있습니다. 업그레이드 후 로컬 엔드포인트가 있는 서비스의 인그레스 정책 동작을 반드시 검증하세요.

• enhancementbugtool에 BPF 파일시스템 정보 포함 — 장애 대응 절차 업데이트

  bugtool이 이제 /sys/fs/bpf 경로 정보를 자동으로 수집합니다. BPF 맵이나 프로그램 문제를 진단할 때 가장 먼저 확인하는 정보가 기본으로 포함되는 셈입니다. 별도 조치는 불필요하지만, v1.17.14 이상에서는 bugtool 실행만으로 이 데이터를 얻을 수 있으므로 장애 대응 런북에서 SSH 수동 확인 단계를 제거해도 됩니다.

v2.0.1은 runtime-operator Go 모듈의 v2 경로 마이그레이션, 프로토 재생성, 임시 go.work 우회 코드 제거를 담은 정리성 패치 릴리스입니다.

• breakingruntime-operator Go 모듈을 직접 임포트한다면 경로 수정 필요

  runtime-operator의 Go 모듈 경로가 v2로 변경됐습니다. 이 모듈을 직접 임포트하는 Go 코드가 있다면 import 경로에 /v2 접미사를 추가해야 합니다. wasmCloud를 오퍼레이터로만 실행하고 모듈을 직접 임포트하지 않는다면 별도 조치는 불필요합니다.

• enhancementv2.0.0에서 proto 또는 lint 문제를 겪었다면 이 패치로 업그레이드하세요

  프로토 재생성과 임시 go.work shim 제거가 포함되어 있어, v2.0.0 기준으로 오퍼레이터를 소스 빌드하던 경우 의존성 해석 오류나 낡은 proto 문제가 해소됩니다.

wasmCloud v2.0.0이 정식 출시됐습니다. HTTP/2·gRPC 지원, OpenTelemetry 메트릭, wasmtime 42 업그레이드, RUSTSEC-2026-0007 보안 패치가 포함됩니다.

• securityRUSTSEC-2026-0007 패치 — 즉시 업그레이드 필요

  v2.0.0 이전 빌드를 사용 중이라면 이 취약점 패치만으로도 업그레이드 이유가 충분합니다. cargo-audit이나 Dependabot을 통해 취약한 의존성이 실제로 해소됐는지 환경 내에서 직접 확인하세요.

• breakingHelm 사용자 필독: CRD 경로 변경, GitOps 파이프라인 점검 필요

  CRD 위치가 templates/crds에서 최상위 /crds 디렉토리로 바뀌었습니다. ArgoCD, Flux, 또는 기존 Helm 기반 GitOps 파이프라인이 이전 경로를 참조하고 있다면 업그레이드 즉시 배포가 깨집니다. 업그레이드 전에 Helm 릴리스 설정과 CI/CD 스크립트를 반드시 수정하세요.

• enhancement지금 바로 메트릭 수집 설정 — v2의 관측 가능성을 활용하세요

  OpenTelemetry 메트릭이 기본 포함됐습니다. 이미 OTEL 콜렉터를 운영 중이라면 wasmCloud v2를 연결해 런타임 메트릭 수집을 시작하세요. 프로덕션 전환 후가 아니라 지금, 기준 대시보드를 잡아두는 게 맞는 순서입니다.

Backstage v1.49.2이(가) 릴리즈되었지만, 공개된 노트가 짧아 요약할 내용이 충분하지 않습니다. 자세한 내용은 원문 릴리즈 노트를 확인하세요.

v1.49.1은 새 프론트엔드 시스템의 레이아웃 문제를 수정하고, TechDocs/Scaffolder UI 버그를 잡은 패치 릴리스입니다.

• enhancement미처리 엔티티 DevTools 탭, 이제 기본 제공

  엔티티 수집 문제를 디버깅할 때 DevTools 탭을 수동으로 연결할 필요가 없어졌습니다. 업그레이드 후 바로 탭이 표시되므로, 개발·스테이징 환경에서 카탈로그 처리 실패를 더 빠르게 파악할 수 있습니다.

• enhancement새 프론트엔드 시스템 전환 중이라면 1.49.1로 바로 올리세요

  새 프론트엔드 시스템을 테스트하거나 마이그레이션 중인 팀이라면, Scaffolder와 카탈로그 엔티티 페이지의 레이아웃 깨짐 현상이 이번 패치에서 수정됐습니다. 1.49.0을 건너뛰고 바로 1.49.1로 업그레이드하는 게 낫습니다.

• enhancement플러그인 헤더 타이틀에 네비게이션 링크 추가 가능

  PageLayoutProps의 titleLink prop을 쓰면 플러그인 헤더 타이틀을 플러그인 루트로 이동하는 링크로 만들 수 있습니다. 커스텀 플러그인을 개발하거나 유지보수하는 팀이라면 Backstage의 플러그인 헤더 UX 패턴에 맞게 적용해 두는 것이 좋습니다.

etcd v3.6.9은 유지보수 릴리스입니다. 공개된 릴리스 노트에 변경 사항이 기재되어 있지 않으므로, 업그레이드 전 반드시 전체 CHANGELOG를 확인해야 합니다.

• breaking업그레이드 전 CHANGELOG 직접 확인 — 릴리스 노트만으로는 부족

  v3.6.9 릴리스 노트에는 변경 내역이 전혀 없습니다. etcd 클러스터를 업그레이드하기 전에 CHANGELOG-3.6.md를 직접 열어 현재 버전 이후 항목을 꼼꼼히 확인하세요. 3.6 시리즈에는 브레이킹 체인지가 포함될 수 있고, etcd는 상태 저장 시스템이라 이 단계를 건너뛰면 실제 장애로 이어질 수 있습니다.

• enhancementquay.io에서 이미지를 받는다면 버전 일치 여부 검증 필요

  etcd의 기본 레지스트리는 gcr.io/etcd-development/etcd입니다. 파이프라인이 quay.io/coreos/etcd를 사용한다면, 해당 이미지가 gcr.io 이미지와 다이제스트 수준에서 일치하는지 확인하세요. 보조 레지스트리는 업데이트가 늦을 수 있습니다. 태그만 핀닝하는 것으로는 부족하고, 다이제스트로 고정해야 버전 불일치를 막을 수 있습니다.

etcd v3.5.28은 3.5 시리즈의 패치 릴리스입니다. 릴리스 노트 내용이 빈약하므로, 업그레이드 전 반드시 전체 CHANGELOG를 확인해야 합니다.

• breaking릴리스 노트가 불완전하므로 CHANGELOG를 직접 확인할 것

  v3.5.28 릴리스 노트에는 실제 변경 내용이 전혀 없습니다. etcd 클러스터를 업그레이드하기 전, 반드시 저장소의 CHANGELOG-3.5.md를 열어 현재 버전 이후 항목을 직접 검토하세요. etcd는 상태 저장 시스템인 만큼 이 단계를 건너뛰는 건 실질적인 위험입니다.

• enhancement컨테이너 이미지는 기본 레지스트리에서 받을 것

  gcr.io/etcd-development/etcd가 공식 이미지 소스입니다. quay.io/coreos/etcd는 보조 레지스트리로 업데이트가 늦을 수 있습니다. 현재 quay.io에서 이미지를 받고 있다면, 운영 환경 배포 전 이미지 다이제스트가 기본 레지스트리와 일치하는지 반드시 검증하세요.

etcd v3.4.42는 3.4 브랜치의 유지보수 릴리스입니다. 릴리스 노트 자체에는 변경 내용이 거의 없으므로, 업그레이드 전에 전체 CHANGELOG를 반드시 확인하세요.

• breaking패치 릴리스라도 업그레이드 가이드 확인 필수

  릴리스 노트에 명시적으로 Breaking Change 가능성이 언급되어 있습니다. 3.4.x 패치 버전이라 가능성은 낮지만, 스냅샷이나 WAL 처리 관련 변경이 포함될 수 있습니다. 프로덕션 클러스터에 적용하기 전에 해당 버전의 업그레이드 가이드를 반드시 검토하세요.

• enhancement업그레이드 전 전체 CHANGELOG 직접 확인

  공개된 릴리스 노트에는 변경 내용이 사실상 없습니다. 어떤 버그 픽스나 패치가 포함됐는지 파악하려면 etcd 저장소에서 CHANGELOG-3.4.md를 직접 확인하세요. 합의 저장소를 내용도 모른 채 업그레이드하는 건 피해야 합니다.

Harbor v2.15.0은 프록시 캐시 연결 제한, 엔드포인트별 CA 인증서, Cosign v3 지원과 함께 베어러 토큰 보안 취약점 수정 및 Trivy 공급망 사고 대응 업데이트를 포함합니다.

• security즉시 업그레이드 필요: Trivy 공급망 사고 및 베어러 토큰 우회 취약점

  이번 릴리스에 보안 이슈 두 건이 포함되어 있습니다. Trivy 공급망 사고로 인해 v0.69.3으로 긴급 업데이트됐으므로, 다음 스캔 실행 전에 반드시 적용해야 합니다. 베어러 토큰 수정은 프로젝트 생성 이전에 발급된 토큰을 거부하는 인가 우회 패치입니다. 두 이슈 모두 정기 유지보수를 기다리지 말고 빠르게 업그레이드하는 것을 권장합니다.

• breakingGCR 복제 어댑터 제거 — 업그레이드 전 기존 복제 규칙 마이그레이션 필수

  Google Container Registry 어댑터가 완전히 제거됐습니다. GCR을 대상으로 하는 복제 규칙이 있다면 업그레이드 후 조용히 실패하게 됩니다. v2.15.0 업그레이드 전에 해당 규칙을 Artifact Registry(GAR) 엔드포인트로 전환하세요. GCR을 바라보는 프록시 캐시 프로젝트도 동일하게 재구성이 필요합니다.

• enhancement프록시 캐시 업스트림 연결 수 제한으로 레이트 리밋 충돌 방지

  새로운 `max_upstream_conn` 파라미터로 프록시 캐시 프로젝트별 아웃바운드 연결 수를 조절할 수 있습니다. Docker Hub처럼 레이트 리밋이 있는 레지스트리나 자체 호스팅 레지스트리를 풀스루 캐시로 사용 중이라면, 업그레이드 후 UI나 API로 프로젝트별 연결 수를 적절히 설정하세요.

SPIRE v1.14.4이(가) 릴리즈되었지만, 공개된 노트가 짧아 요약할 내용이 충분하지 않습니다. 자세한 내용은 원문 릴리즈 노트를 확인하세요.

v1.12.1은 OTLP 엔드포인트 URI 파싱 버그를 수정하고, ListObjects 파이프라인 내부를 Go 네이티브 채널로 교체한 유지보수 릴리스입니다.

• breakinghttps:// 스킴 설정 시 TLS 강제 활성화 — 설정 점검 필요

  OTEL_EXPORTER_OTLP_ENDPOINT에 https:// 스킴을 사용하면 trace.otlp.tls.enabled 값과 무관하게 TLS가 활성화됩니다. 업그레이드 전에 옵저버빌리티 설정을 점검하세요. https:// 엔드포인트를 쓰면서 TLS를 명시적으로 비활성화해뒀던 환경이라면, 이제 TLS가 켜지므로 콜렉터 쪽도 TLS 연결을 받을 수 있는지 확인해야 합니다.

• enhancementOTLP URI 스킴 문제 해결 — 우회 설정 정리 가능

  기존에는 http://host:4317 형태의 URI를 그대로 넣으면 gRPC 익스포터에 스킴이 그대로 전달돼 오류가 발생했습니다. 스킴을 생략하는 식으로 우회하고 있었다면, 이제 표준 URI 형식을 그대로 써도 됩니다. 배포 설정에서 우회 로직을 제거하고 표준 형식으로 정리하세요.

• enhancementListObjects 성능 개선 — 별도 조치 없이 업그레이드만으로 효과

  커스텀 Pipe를 Go 네이티브 채널로 대체하면서 ListObjects의 동시 처리 성능이 개선됐습니다. API나 설정 변경은 없습니다. 튜플 검증 로직 리팩터링 효과까지 더해져, ListObjects를 대량으로 호출하는 환경이라면 이번 패치를 적용할 이유가 충분합니다.

proxy 두 차례 업데이트(v2.343.0, v2.344.0), Go 1.25.8 업그레이드, rustls 패치, proxy-init 2.4.6이 포함된 의존성 중심의 edge 릴리스입니다. 신규 기능이나 파괴적 변경은 없습니다.

• securityrustls 패치 업데이트 — 구버전 edge 사용 중이라면 롤포워드 고려

  rustls가 한 릴리스에서 두 버전 올라갔습니다(0.23.35 → 0.23.37). 서비스 메시의 TLS 계층 패치인 만큼 보안 또는 버그 수정이 포함됐을 가능성이 높습니다. CVE가 명시되진 않았지만, 구버전 edge를 운영 중이라면 이번 버전으로 업데이트하는 것이 바람직합니다.

• enhancementproxy 두 버전이 번들 — proxy 변경 내역을 별도 확인하세요

  이번 릴리스에 v2.343.0과 v2.344.0이 연속으로 포함됐습니다. 릴리스 노트에는 각 proxy 버전의 세부 변경 사항이 없으므로, 라우팅·관측성·프로토콜 감지 동작을 추적 중이라면 linkerd2-proxy 저장소의 해당 버전 changelog를 직접 확인한 뒤 배포 여부를 결정하세요.

• enhancement컨트롤 플레인 Go 1.25.8 업그레이드 — 별도 조치 불필요

  Go 1.25.8은 패치 릴리스로 주로 런타임 안정성 수정이 목적입니다. Linkerd Go 모듈을 기반으로 커스텀 도구를 빌드 중인 경우라면 툴체인 버전을 맞춰주세요. 그 외 일반 운영 환경에서는 별도 조치가 필요하지 않습니다.

Dapr v1.17.2는 Go 표준 라이브러리 CVE 3건 수정, CRD 수동 업데이트가 필요한 브레이킹 체인지, 대규모 액터 배포의 배치 장애 및 스트리밍 OOM 문제를 포함한 긴급 패치입니다.

• securityGo 표준 라이브러리 CVE 3건 — 즉시 업그레이드 필요

  Go 1.24.x에서 net/url의 IPv6 SSRF(GO-2026-4601), os.Root 경로 탈출(GO-2026-4602), html/template XSS(GO-2026-4603)가 발견됐습니다. 사용자 입력 URL을 처리하거나 템플릿 렌더링이 관련된 서비스라면 실질적인 위험이 있습니다. Go 툴체인 업그레이드로 해결되므로 애플리케이션 코드 변경 없이 v1.17.2로 업그레이드하면 됩니다.

• breakingHelm 업그레이드 전 CRD 수동 업데이트 — 안 하면 daprd 기동 실패

  Configuration CRD의 `stateRetentionPolicy` 필드 타입이 integer에서 string으로 바뀌었습니다. Helm은 CRD를 자동으로 업데이트하지 않으므로, CRD 업데이트 없이 `helm upgrade`를 실행하면 duration 문자열을 쓰는 Configuration 오브젝트가 Kubernetes 검증에서 거부되고 daprd가 설정을 불러오지 못할 수 있습니다. 공식 Kubernetes 업그레이드 가이드의 CRD 업데이트 절차를 먼저 수행하세요. 현재 워크플로우 상태 보존 정책을 사용하지 않더라도 CRD는 업데이트해두는 편이 좋습니다.

• enhancement대규모 액터 배포 및 스트리밍 워크로드는 이번 패치를 우선 적용하세요

  보안 외에 두 가지 수정이 특히 중요합니다. 첫째, 1.17.x에서 50개 이상의 액터 레플리카 환경은 배치 전파 타임아웃이 연쇄적으로 발생하는 문제가 있었는데, 이번 릴리즈의 배치 처리 개선으로 해결됐습니다. 둘째, 파일 업로드·SSE·청크 데이터 같은 스트리밍 요청/응답이 사이드카 메모리에 통째로 버퍼링되어 OOM 킬이 발생하던 문제도 수정됐습니다. 두 패턴 중 하나라도 해당한다면 일반 정기 업그레이드가 아닌 긴급 패치로 취급하세요.

gRPC 의존성을 1.78.0에서 1.79.3으로 올리고 Ansible 오퍼레이터 플러그인을 갱신한 패치 릴리스입니다. 변경 범위가 좁아 빠르게 적용해도 무방합니다.

• securitygRPC 의존성 업그레이드 적용 권장

  gRPC가 두 마이너 버전을 건너 1.79.3으로 올라갔습니다. gRPC의 전송 계층 문제나 CVE는 조용히 오퍼레이터-레지스트리 통신에 영향을 줄 수 있습니다. grpc 변경 이력을 한 번 확인한 뒤 업그레이드하세요. 의존성 범위가 좁아 리스크는 낮습니다.

• enhancementAnsible 기반 오퍼레이터는 이미지 재빌드 필요

  Ansible 오퍼레이터를 운영 중이라면 플러그인 업데이트로 인해 기존 스캐폴딩 파일이 현재 기준과 어긋날 수 있습니다. SDK 업그레이드 후 플러그인이 관리하는 파일을 재생성해 동기화 상태를 유지하세요. 급하지는 않지만 다음 오퍼레이터 릴리스 전에 처리해 두는 편이 좋습니다.

Keycloak 26.5.6은 SSRF, 토큰 재사용, IDOR, 권한 상승 등 8개 CVE를 패치하는 긴급 보안 릴리스입니다. 즉시 업그레이드가 필요합니다.

• security8개 CVE 패치 — 즉시 26.5.6으로 업그레이드

  SSRF, 토큰 재생, 권한 상승, IDOR, 다중 정보 노출 경로를 포함한 8개 CVE가 수정되었습니다. 특히 jwks_uri 경유 SSRF, manage-clients 권한 상승, 인증 세션 오염은 멀티테넌트 또는 외부 노출 환경에서 매우 위험합니다. 별도의 완화 방법은 없으며 업그레이드가 유일한 해결책입니다. 26.x 버전을 운영 중이라면 긴급 패치로 처리하세요.

• securitymanage-clients 권한 부여 내역 및 동적 클라이언트 등록 설정 점검

  CVE-2026-3121(manage-clients 권한 상승)과 CVE-2026-1180(동적 클라이언트 등록의 jwks_uri SSRF)은 현재 권한 설정과 기능 활성화 여부를 함께 검토해야 합니다. 업그레이드 후 manage-clients를 보유한 사용자·서비스 계정을 감사하세요. OIDC 동적 클라이언트 등록을 사용하지 않는다면 렐름 단위에서 비활성화해 SSRF 공격면을 완전히 제거하세요.

• breaking업그레이드 후 Operator DB 설정 및 다중 렐름 시작 동작 검증 필요

  26.5.0에서 도입된 Operator의 DB targetServerType=primary 미적용 문제(마스터-레플리카 페일오버 시 연결 검증 실패)와 26.5.4에서 발생한 O(N²) 시작 스캔 회귀가 모두 수정되었습니다. 해당 버그를 경험했다면 업그레이드 후 DB 페일오버 동작과 시작 시간을 반드시 확인하세요. 렐름이 많은 대규모 환경에서는 재시작 속도가 눈에 띄게 빨라질 겁니다.

v1.35.3은 kubeadm 버그 수정 2건과 DRA 퇴출 상태 메시지 정리 1건으로 구성된 소규모 패치입니다. 위험도가 낮아 안심하고 적용할 수 있습니다.

• enhancementetcd learner 엔드포인트 버그 수정을 위해 kubeadm 업그레이드 권장

  etcd learner 멤버 수정이 이번 패치에서 운영상 가장 중요한 변경 사항입니다. kubeadm으로 관리하는 클러스터에서 노드 조인이나 멤버 승격 중 etcd 클라이언트 연결 문제를 겪은 적 있다면 이 패치가 근본 원인을 해결합니다. 설정 변경 없이 kubeadm 바이너리만 업데이트하면 되므로, 다음 유지보수 창에 적용하는 것을 권장합니다.

• enhancement피어 마운트 환경에서 kubeadm reset 안정성 향상

  /var/lib/kubelet에 피어 마운트가 구성된 환경(특정 컨테이너 런타임 또는 중첩 마운트 설정)에서 reset 자동화가 실패한 경험이 있다면 이 수정이 적용됩니다. EINVAL 오류가 reset 과정을 막지 않으므로, 원인 불명의 reset 실패를 겪고 있는 경우 업그레이드할 만합니다.

v1.34.6은 etcd learner 엔드포인트 문제와 클러스터 리셋 시 kubelet 언마운트 오류를 수정하는 소규모 패치 릴리스입니다.

• enhancementetcd 멤버 추가 작업이 있다면 즉시 업그레이드 검토

  etcd learner는 아직 투표권이 없는 상태인데, 이 시점에 클라이언트 엔드포인트에 포함되면 프로모션 완료 전까지 요청 실패가 발생할 수 있습니다. etcd 노드 추가 중 간헐적 클라이언트 오류를 겪었다면 이 패치가 해결책입니다. 그렇지 않다면 일반 패치 주기에 맞춰 적용하면 됩니다.

• enhancementkubeadm reset 실패 경험이 있다면 이 패치를 우선 적용

  /var/lib/kubelet 하위 바인드 마운트를 정리하지 못해 reset이 중간에 멈추는 문제가 수정됐습니다. 마운트 네임스페이스가 겹치거나 특정 파일시스템 설정을 쓰는 노드에서 주로 발생합니다. 리셋 실패 후 수동 정리를 반복했다면, 이 패치로 해당 번거로움을 없앨 수 있습니다.

v1.33.10은 ValidatingAdmissionPolicy의 kube-controller-manager 크래시 버그와 kubeadm 운영 버그 두 건을 수정한 소규모 패치입니다. 의존성 변경은 없습니다.

• breaking개방형 스키마 VAP 사용 중이라면 즉시 패치 필요

  `additionalProperties: true`를 사용하는 ValidatingAdmissionPolicy가 존재하면 kube-controller-manager가 nil 포인터 예외로 완전히 다운됩니다. 우아한 성능 저하가 아닌 즉각적인 크래시입니다. v1.33.x를 사용 중이라면 현재 배포된 VAP 정책을 점검하고, 개방형 스키마 정책을 추가하기 전에 반드시 v1.33.10으로 업그레이드하세요.

• enhancementHA 클러스터 컨트롤 플레인 확장 전 업그레이드 권장

  etcd는 신규 멤버를 learner로 먼저 등록한 뒤 승격시키는데, 이전 버전 kubeadm은 learner를 클라이언트 엔드포인트 풀에 포함시켜 조인 과정에서 간헐적 etcd 클라이언트 오류를 유발했습니다. kubeadm으로 관리되는 HA 클러스터에서 컨트롤 플레인 노드를 추가할 계획이 있다면, 작업 전에 이 패치를 적용하세요.

• enhancement노드 자동화 해제 스크립트에서 kubeadm reset 안정성 개선

  /var/lib/kubelet이 bind 마운트된 노드에서 `kubeadm reset`을 실행하면 EINVAL 오류로 정리 작업이 중간에 실패했습니다. 이제 peer 마운트에서 예상되는 EINVAL을 무시하므로 reset이 깔끔하게 완료됩니다. 노드 폐기를 스크립트로 자동화하는 환경이라면 이 패치의 효과를 바로 체감할 수 있습니다.

AWS 리소스 12종 신규 추가, EKS/Elasticsearch 업그레이드 가능 여부 필터, Azure Entra ID 리소스, GCP Vertex AI 지원이 포함된 대규모 기능 릴리스입니다. S3 캐시 오염, GuardDuty 검증 오류, IAM 사용자 오류 등 주요 버그도 수정됐습니다.

• enhancementEKS·Elasticsearch 업그레이드 대상 클러스터 즉시 점검

  upgrade-available 필터를 활용하면 신규 버전이 존재하는 클러스터를 정책으로 자동 탐지할 수 있습니다. 지금까지 버전 컴플라이언스를 수동으로 확인했다면, 이 필터를 적용한 정책으로 교체하고 결과를 알림 또는 태깅으로 연결하세요. 지원 종료 일정이 다가오는 클러스터가 있다면 지금이 적기입니다.

• enhancementcross-account 정책에 whitelist_patterns 추가해 오탐 제거

  삭제된 IAM 주체가 cross-account 정책에서 반복적으로 위반으로 잡혔다면, whitelist_patterns 파라미터로 해당 ARN 패턴을 제외할 수 있습니다. 기존 cross-account 정책을 검토해 결과에 자주 등장하는 삭제된 계정이나 서비스 연결 역할의 패턴을 추가하세요.

• enhancementAzure Entra ID 보안 상태를 정책으로 감시

  conditional-access-policy, authorization-policy, named-location, security-defaults 네 가지 Entra ID 리소스가 새로 추가됐습니다. Azure 보안 기준선을 관리한다면, 보안 기본값 활성화 여부와 조건부 액세스 정책이 조직 요구사항에 맞는지 확인하는 정책을 작성하세요. 기존에는 별도 도구가 필요했던 영역이 c7n으로 통합됩니다.

v1.14.3은 SPIFFE 인증서 체인 검증을 우회할 수 있는 TLS 세션 티켓 취약점을 패치하고, 노드 캐시 재구축 버그와 AWS·페더레이션 관련 안정성 문제를 수정했습니다.

• securityTLS 세션 티켓 우회 취약점 — 즉시 업그레이드 필요

  SPIRE 서버 TCP 엔드포인트에서 TLS 세션 재개 시 SPIFFE 인증서 체인 검증이 생략될 수 있었습니다. 만료되거나 폐기된 인증서를 가진 클라이언트가 현재 신뢰 번들 검증 없이 재연결할 수 있는 신뢰 경계 위반입니다. v1.14.3으로 즉시 업그레이드하세요. 서버 측에서 자동으로 세션 티켓을 비활성화하므로 별도 설정 변경은 필요 없습니다.

• security에이전트 로그의 셀렉터 데이터 노출 문제 해결

  셀렉터에는 Kubernetes 파드 레이블, Unix UID, AWS 메타데이터 등 민감한 워크로드 식별 정보가 포함될 수 있습니다. 업그레이드 후에는 에이전트 로그에 더 이상 기록되지 않지만, 기존 로그 파이프라인과 보존 정책을 점검해 과거 로그에 남아 있는 데이터를 확인하세요.

• breakingPQC 사용자: X25519MLKEM768 마이그레이션 필요

  RequirePQKEM TLS 정책을 활성화한 경우, 알고리즘이 초안 x25519Kyber768Draft00에서 표준 X25519MLKEM768로 변경됩니다. 양쪽 피어 모두 v1.14.3 이상이어야 TLS 핸드셰이크가 성공합니다. 에이전트와 서버를 동시에 업그레이드하는 일정을 조율하세요.

• enhancement노드 캐시 재구축 버그 — 동적 환경에서 특히 중요

  노드 캐시 재구축이 시작 후 단 1회만 실행되고 이후에는 중단되는 버그가 있었습니다. 워크로드 변경이 잦은 환경에서는 에이전트가 오래된 캐시 데이터를 계속 제공하게 됩니다. v1.14.3에서 자동 수정되며 별도 설정 변경 없이 업그레이드만 하면 됩니다. 동적 환경일수록 에이전트 업그레이드를 서두르세요.

Litmus 3.27.0은 카오스 실험에서 Kubernetes Job 타겟팅을 지원하고, nil 포인터 크래시·GitOps 교착 상태·레이스 컨디션 등 안정성 버그를 다수 수정했습니다.

• breakingGitOps 양방향 동기화가 무음으로 중단된 상태였음 — 업그레이드 후 동기화 상태 반드시 확인

  GitOps 동기화 핸들러 고루틴이 비활성화되어 있어 Git 변경 사항이 Litmus에 반영되지 않았습니다. 3.27.0으로 업그레이드한 뒤 동기화를 수동으로 트리거해 실험 상태가 Git 소스와 일치하는지 확인하세요. 그동안 누적된 드리프트는 직접 조정해야 합니다.

• enhancementKubernetes Job을 카오스 실험 대상으로 지정 가능

  배치 처리나 CI 파이프라인을 Kubernetes Job으로 운영 중이라면, 이제 Job 리소스에 직접 카오스를 주입할 수 있습니다. 실험 매니페스트에 Job 리소스를 타겟으로 지정하고, 기존에 우회 방법이 없어 검증하지 못했던 배치 처리 경로의 복원력을 확인해 보세요.

• enhancementnil 포인터·레이스 컨디션 다수 수정으로 간헐적 크래시 해소

  이번 릴리스에서 구독자, QueryServerVersion, YAML 파서에서 발생하던 nil 포인터 역참조 세 건과 실험 실행 레이스 컨디션이 수정됐습니다. 간헐적 크래시나 실험이 비정상 상태로 멈추는 현상을 겪었다면 업그레이드만으로 해결됩니다. 별도 설정 변경은 필요 없습니다.

v1.49.0은 새 프론트엔드 시스템이 1.0 RC에 도달하고, CLI가 모듈 시스템으로 전환되며, UI 컴포넌트·인테그레이션·엔티티 카드 전반에 걸쳐 다수의 breaking 변경이 포함된 대형 릴리스입니다.

• breaking`@backstage/plugin-catalog` 업그레이드 전 엔티티 카드와 BUI 컴포넌트 마이그레이션 필수

  `@backstage/plugin-catalog`가 메이저 버전 업됐으므로 즉각적인 조치가 필요합니다. EntityAboutCard, EntityLinksCard, EntityLabelsCard, GroupProfileCard, UserProfileCard에서 `variant` 프롭을 모두 제거하세요. React Router 컨텍스트 내에 `BUIProvider`를 래핑하지 않으면 Link, ButtonLink, Tabs, Menu, Table의 클라이언트 사이드 내비게이션이 동작하지 않습니다. CSS 셀렉터에서 `bui-HeaderPage` 클래스 패턴과 camelCase 데이터 속성을 찾아 수정하고, Checkbox의 `selected`/`indeterminate` 프롭도 `isSelected`/`isIndeterminate`로 교체해야 합니다.

• breakingBitbucket 및 레거시 인테그레이션 설정 즉시 제거 필요

  구 `bitbucket` 설정 키와 Azure DevOps의 `token`/`credential` 필드는 폐기 예고 상태가 아니라 완전히 제거됐습니다. `app-config.yaml`에 이 설정이 남아 있으면 업그레이드 후 백엔드가 시작되지 않습니다. `bitbucket`은 `bitbucketCloud` 또는 `bitbucketServer`로, Azure DevOps는 `credentials` 배열 방식으로 전환하세요. 스캐폴더 템플릿도 점검 대상입니다. `parseRepoUrl`이 더 이상 `bitbucket`을 처리하지 않기 때문입니다.

• enhancement`@backstage/cli-defaults`를 지금 devDependency에 추가하세요

  CLI 모듈 시스템이 정식 도입됐고, 기존 내장 명령으로 폴백되는 경우 이미 폐기 경고가 표시됩니다. 루트 `devDependencies`에 `@backstage/cli-defaults`를 추가하면 경고가 사라지고 향후 폴백 제거에도 대비할 수 있습니다. 커스텀 CLI 도구를 관리하고 있다면 `@backstage/cli-node`의 `createCliModule` API로 정식 CLI 확장 패키지를 만들어 두는 것이 좋습니다.

v4.0.3은 소규모 패치 릴리스로, 에어갭 환경을 위한 --grype-db-url 플래그 추가, 호스트 누락 시 에러 미반환 버그 수정, 의존성 업데이트가 주요 변경 사항입니다.

• securitygo-git v5.16.5 업그레이드 — CVE 여부 확인 후 신속히 적용

  go-git 패치 릴리스에는 git 프로토콜 파싱 관련 취약점 수정이 포함되는 경우가 많습니다. go-git v5.16.5 변경 로그에서 CVE 수정 여부를 직접 확인하고, git 저장소 스캔이나 Kubescape를 라이브러리로 임베딩하여 사용 중이라면 업그레이드를 서두르세요.

• breaking호스트 누락 시 에러 반환 변경 — 에러 처리 로직 점검 필요

  이전 버전에서는 스캔 대상에 호스트 정보가 없을 때 nil을 반환해 에러가 무시됐습니다. 이 동작에 의존해 exit code 0을 성공으로 처리하던 파이프라인이 있다면, 업그레이드 후 기존에 묻혔던 실패가 표면에 드러날 수 있습니다. 업그레이드 전에 스캔 워크플로우의 에러 처리를 반드시 검토하세요.

• enhancement에어갭/내부 미러 환경에서 --grype-db-url 활용

  인터넷 직접 접근이 불가한 환경에서 Kubescape를 운영 중이라면, --grype-db-url 플래그로 내부 Grype DB 미러를 지정할 수 있습니다. 기존에 환경 변수 패치나 우회 방법을 쓰고 있었다면 CI 파이프라인이나 오퍼레이터 설정에 이 플래그를 적용하는 편이 깔끔합니다.

Lima v2.1.0은 macOS·FreeBSD 게스트를 실험적으로 지원하고, 게스트 홈 디렉터리 경로를 변경하며 디스크 파일 구조를 통합했습니다. 업그레이드 전 마이그레이션 고려가 필요합니다.

• breaking디스크 파일 통합으로 다운그레이드 불가

  v2.1에서 한 번 실행된 인스턴스는 v2.0·v1.x와 호환되지 않습니다. 업그레이드 전에 중요한 VM 인스턴스를 스냅샷하거나 백업하세요. CI 파이프라인이나 팀 공유 환경에서 Lima 버전을 고정해 쓰고 있다면, 모든 사용자가 동시에 업그레이드해야 합니다. 인스턴스별 롤백은 불가능합니다.

• breaking`/home/${USER}.linux` 하드코딩 경로 점검 필요

  게스트 홈 디렉터리가 `/home/${USER}.guest`로 바뀌었습니다. 심볼릭 링크 덕분에 대부분은 그냥 동작하겠지만, `.linux` 경로를 직접 참조하는 스크립트·dotfile·바인드 마운트 설정은 따로 확인해야 합니다. 특히 심볼릭 링크를 따라가지 않는 컨테이너 볼륨 설정이 있다면 지금 수정하세요.

• enhancementAI 에이전트 워크플로에는 `--sync` 플래그 적용

  Claude Code, Aider 같은 AI 코딩 에이전트를 Lima 셸 안에서 실행한다면, `limactl shell --sync`를 쓰면 에이전트가 호스트 파일을 실수로 수정하는 상황을 막을 수 있습니다. 에이전트를 구동하는 스크립트나 자동화 설정에 이 플래그를 기본으로 추가해 두는 걸 권장합니다.

• enhancementk3s 템플릿으로 멀티노드 클러스터 로컬 테스트 가능

  내장 k3s 템플릿이 멀티노드 클러스터를 지원하게 됐습니다. 그동안 이 한계 때문에 Rancher Desktop이나 커스텀 설정을 써왔다면, 이제 네이티브 템플릿으로 전환할 시점입니다. 로컬 Kubernetes 테스트 환경을 더 현실적으로 구성할 수 있습니다.

KubeVirt v1.7.2는 네트워킹, 스토리지, 모니터링, 백업 영역의 버그 7건을 수정한 패치 릴리스입니다. 프로덕션 환경에서 실제로 문제가 되던 사항들이 포함되어 있어 즉시 업그레이드를 검토할 만합니다.

• breaking혼합 NIC 구성 VMI 스펙을 점검하세요

  기본 네트워크 인터페이스가 보조 인터페이스보다 뒤에 정의된 VMI에서 virt-controller와 virt-handler 간 상태 무한 루프가 발생했습니다. VM이 지속적으로 업데이트 상태로 머물거나 virt-controller/virt-handler 로그량이 비정상적으로 많다면 이 버그일 가능성이 높습니다. v1.7.2로 업그레이드하고, VMI 스펙에서 기본 인터페이스가 목록 앞에 오는지 확인하세요.

• enhancementWindows VM Velero 백업 안정성 개선 — 업데이트 권장

  QuiesceTimeout 처리 방식 변경과 60초 pre-backup 훅 타임아웃 추가로 Windows VSS 스냅샷의 간헐적 실패 문제가 해결됩니다. Velero로 Windows VM을 백업하다가 퀴에스 실패가 반복됐다면 이 패치가 직접적인 해결책입니다. 업그레이드 후 Velero 백업 정책의 훅 타임아웃 설정이 운영 SLA와 맞는지 점검하세요.

• enhancementGCP NetApp Volumes 스토리지 마이그레이션 차단 해제

  GCP에서 NetApp Volumes를 사용하는 VM의 스토리지 라이브 마이그레이션이 조용히 실패하는 버그가 수정됐습니다. 이 문제로 스토리지 이동 작업을 미뤄왔다면 업그레이드 후 바로 테스트해볼 수 있습니다.

KubeVirt v1.6.4는 CVE 패치, 핫플러그/마이그레이션 버그 수정, vCPU 큐 알림 추가를 포함한 108개 변경 사항의 패치 릴리스입니다.

• securityCVE-2025-47913 대응 — 즉시 v1.6.4로 업그레이드

  CVE-2025-47913은 golang/x/crypto 의존성 취약점입니다. v1.6.4 이전 버전을 사용 중이라면 지금 바로 업그레이드하세요. 바이너리를 직접 패치하지 않는 한 별도의 우회 방법은 없습니다.

• breaking크로스 벤더 라이브 마이그레이션 차단 — 노드 구성 사전 점검 필요

  이제 KubeVirt는 서로 다른 CPU 벤더(예: Intel ↔ AMD) 간 라이브 마이그레이션을 명시적으로 차단합니다. 혼합 CPU 환경에서 크로스 벤더 마이그레이션을 의도적으로든 비의도적으로든 사용하고 있었다면, 업그레이드 전에 노드 토폴로지를 반드시 점검하세요. 이전에는 성공하던 마이그레이션이 오류로 실패할 수 있습니다.

• enhancementvCPU 큐 알림을 모니터링에 추가하세요

  GuestPeakVCPUQueueHighWarning, GuestPeakVCPUQueueHighCritical 두 알림이 새로 추가됐습니다. Prometheus를 사용 중이라면 이 알림이 정상적으로 수집되는지 확인하세요. VM이 부하 상태에서 이상 증상을 보이기 전에 CPU 고갈을 미리 감지할 수 있어 운영 가시성이 높아집니다.

Flux v2.8.3은 YAML 구분자나 임베디드 콘텐츠가 포함된 차트에서 템플릿 처리를 중단시키던 helm-controller 회귀 버그를 수정했습니다.

• breakingYAML 구분자 사용 Helm 차트 운영 시 즉시 업그레이드 필요

  v2.8.2의 회귀 버그로 인해 멀티 문서 YAML 파일이나 임베디드 스크립트 같은 일반적인 차트 패턴에서 템플릿 처리가 중단됩니다. Helm 배포 실패 여부를 확인하고 v2.8.3으로 즉시 업그레이드하세요. Flux v2.7+ 공식 업그레이드 절차를 따라 마이그레이션 문제를 피하세요.

• enhancement업그레이드 후 Helm 차트 배포 검증 실시

  업그레이드 완료 후 이전에 실패했던 Helm 릴리스가 정상 배포되는지 확인하세요. 인증서나 스크립트를 임베드하거나 다중 YAML 문서를 사용하는 차트에 특히 주의를 기울이세요. 이번 수정으로 최근 버전에서 조용히 실패했을 수 있던 기능이 복구됩니다.