릴리즈

v2.1.5는 ImageConfig 업그레이드 누락, ResourceSelector 매칭 오류, XR 삭제 시 서킷 브레이커 초기화 실패 등 세 가지 동작 버그를 수정하고, Go 1.25.9를 포함한 광범위한 보안 의존성 업데이트를 반영한 패치 릴리스입니다.

• security핵심 의존성 다수에 CVE 패치 포함 — 빠른 업그레이드 권장

  grpc, go-git(두 번 패치), go-jose, cloudflare/circl, moby/spdystream, docker/cli, OTel OTLP 트레이스 익스포터에 걸쳐 보안 업데이트가 포함됐고, Go 자체도 1.25.9로 올라갔습니다. 단순한 의존성 정리 수준이 아닙니다. v2.1.4에 머무를 이유가 없으니, 가능한 한 빨리 이 버전으로 전환하세요.

• breakingImageConfig 프리픽스 재작성 사용 시 패키지 버전 누락 여부 확인 필수

  ImageConfig로 레지스트리 프리픽스를 재작성하는 환경이라면, 버그가 존재하던 기간 동안 의존 패키지가 조용히 구버전에 고정됐을 수 있습니다. v2.1.5로 업그레이드한 뒤 패키지 의존성 그래프를 직접 확인하세요. 오래된 패키지는 자동으로 재설치되지 않으므로, 버전 범프나 수동 재설치를 통해 명시적으로 갱신해야 합니다.

• enhancementkind 전체 선택 ResourceSelector로 컴포지션 함수 로직 단순화 가능

  이전에 bare apiVersion/kind 셀렉터가 거부되어 dummy matchLabels를 추가하거나 로직을 우회하는 방식으로 작성한 컴포지션 함수가 있다면 정리할 때가 됐습니다. 매치 필드 없이 apiVersion과 kind만 지정하면 '해당 종류의 모든 리소스'로 올바르게 해석됩니다. 업그레이드 후 기존 워크어라운드를 검토하고 제거하세요.

v2.0.8은 ImageConfig 프리픽스 리라이트 의존성 업그레이드 오류와 ResourceSelector 처리 버그를 수정하고, 다수의 업스트림 보안 취약점을 패치한 릴리스입니다.

• security보안 패치를 위해 즉시 v2.0.8로 업그레이드

  이번 릴리스에서 보안 태그가 붙은 의존성 업데이트가 다수 포함됐습니다. go-git은 v5.17.1에 이어 v5.18.0까지 두 차례 올라갔고, go-jose, cloudflare/circl 등도 CVE 관련 수정입니다. v2.0.x를 사용 중이라면 지금 바로 업그레이드하세요. API 변경이 없어 업그레이드 경로는 단순합니다.

• breakingImageConfig 프리픽스 리라이트 환경에서 패키지 의존성 버전 점검 필수

  사설 레지스트리 리다이렉션 등을 위해 ImageConfig 프리픽스 리라이트를 사용해왔다면, 의존 패키지들이 오래된 버전에 조용히 고착됐을 수 있습니다. v2.0.8 업그레이드 후 강제 reconciliation을 실행하고, 모든 패키지 의존성이 기대 버전인지 확인하세요. 업그레이드만으로 이미 고착된 상태가 자동 해소된다고 가정하지 마세요.

• enhancement컴포지션 함수에서 'kind 전체 선택' 시 빈 ResourceSelector 활용 가능

  기존에는 ResourceSelector에 matchName과 matchLabels를 생략하면 요청 자체가 거부됐습니다. 이제는 빈 셀렉터가 '해당 kind의 모든 리소스'를 의미하도록 올바르게 처리됩니다. 이 제한을 피하려고 리소스를 일일이 열거하거나 더미 조건을 추가했다면, 업그레이드 후 해당 워크어라운드를 정리하세요.

서비스 호출 ACL을 완전히 우회할 수 있는 경로 순회 취약점 패치. 액세스 제어 정책을 사용하는 모든 Dapr 배포는 즉시 업그레이드해야 합니다.

• security서비스 호출 ACL 사용 중이라면 즉시 업그레이드

  이론상의 취약점이 아닙니다. 서비스 호출에 액세스 제어 정책을 적용 중이고 Dapr API에 신뢰할 수 없는 호출자가 접근 가능한 환경이라면, 현재 취약한 상태입니다. 특히 gRPC 경로는 메서드 문자열을 raw로 그대로 전달하기 때문에 위험도가 더 높습니다. 지금 바로 v1.15.14로 업그레이드하세요. 서비스 호출 비활성화나 API 완전 격리 외에는 별도의 임시 대응책이 없습니다.

• securityDapr API 엔드포인트 접근 경로 전면 감사

  이 취약점은 API 접근을 전제로 하므로, 실제 피해 범위는 네트워크 구성에 달려 있습니다. 업그레이드 후 어떤 워크로드와 네트워크 경로가 Dapr HTTP/gRPC API에 접근 가능한지 점검하세요. 사이드카 localhost 접근만 허용하는 구성이 가장 안전합니다. API를 더 넓은 범위에 노출하고 있다면, 이번 패치와 무관하게 접근 범위를 좁혀두는 것이 바람직합니다.

• breaking업그레이드 후 서비스 호출 메서드 경로 라우팅 검증 필요

  이번 수정으로 모든 메서드 경로에 path.Clean 정규화가 적용되고, #, ?, 널 바이트, 제어 문자가 포함된 경로는 거부됩니다. 특히 gRPC에서 %2F를 경로 구분자로 사용하던 서비스가 있다면 동작이 달라질 수 있습니다. 프로덕션 배포 전에 서비스 간 호출 패턴을 반드시 테스트하세요.

Argo CD v3.3.7은 컨트롤러 성능 저하, OIDC 설정 갱신, UI 버그, 보안 헤더 누락 등을 수정한 패치 릴리스입니다.

• securitySwagger UI 클릭재킹 취약점 — 브라우저 접근 환경이라면 즉시 업그레이드

  Swagger UI 엔드포인트에 X-Frame-Options와 CSP 헤더가 누락되어 있었습니다. Argo CD API 서버가 브라우저에서 접근 가능한 환경이라면(내부망 포함) 해당 페이지가 iframe에 삽입될 수 있었습니다. 3.3.7로 업그레이드하면 자동 해결되며, 별도 설정 변경은 불필요합니다.

• breaking업그레이드 후 SSO 흐름 재검증 권장

  OIDC 설정이 서버 재시작 후에도 캐시된 값을 그대로 쓰던 버그가 수정됐습니다. 정확성 수정이지만, 기존에 stale OIDC 동작을 우회하기 위해 수동으로 파드를 재시작하는 방식을 쓰고 있었다면 업그레이드 후 SSO 인증 흐름이 예상대로 동작하는지 꼭 확인하세요.

• enhancement컨트롤러 CPU 급등이나 지속적인 재조정 루프가 있다면 우선 적용

  두 가지 수정이 컨트롤러 부하를 낮춥니다. parentUIDToChildren 자료구조 교체는 대규모 클러스터에서 메모리 압박을 줄이고, 인포머 리싱크 수정은 불필요한 앱 새로고침을 차단해 API 서버 부하도 함께 낮춥니다. 재조정 루프가 잦거나 컨트롤러 CPU 사용량이 높은 환경이라면 이번 패치를 우선순위에 두세요.

v1.17.5는 인코딩된 URL 문자를 이용한 경로 순회 공격으로 서비스 호출 ACL 정책을 우회할 수 있던 보안 취약점을 수정한 패치입니다.

• security서비스 호출 ACL 사용 중이라면 즉시 업그레이드

  서비스 호출에 접근 제어 정책을 쓰는 모든 배포 환경이 영향을 받습니다. Dapr API(HTTP·gRPC)에 접근할 수 있는 공격자가 경로를 인코딩하는 것만으로 차단된 엔드포인트에 도달할 수 있었습니다. gRPC는 메서드 문자열을 raw로 전달하기 때문에 특히 위험했습니다. 별도의 완화 방법은 없으며, v1.17.5로 즉시 업그레이드하세요. 업그레이드 후에는 ACL 정책을 검토해 의도한 경로가 실제로 적용되는지 확인하세요.

• breaking#, ?, null 바이트, 제어 문자가 포함된 메서드 경로는 이제 거부됨

  이번 수정으로 #, ?, null 바이트, 제어 문자가 포함된 메서드 경로는 호출 진입점에서 즉시 거부됩니다. gRPC에서 이런 문자를 메서드 경로에 사용하는 서비스가 있다면(드물지만 가능) 업그레이드 후 해당 호출이 실패합니다. 운영 환경 적용 전에 스테이징에서 서비스 호출 경로를 반드시 테스트하세요.

서비스 호출 메서드 경로의 경로 순회 및 인코딩 문자가 ACL 정책을 우회할 수 있는 치명적 보안 취약점 수정. 접근 제어 정책을 사용 중이라면 즉시 업그레이드해야 합니다.

• security서비스 호출 ACL 사용 중이라면 즉시 업그레이드

  서비스 호출 접근 제어 정책을 사용하는 모든 배포 환경이 취약합니다. Dapr HTTP 또는 gRPC API에 접근할 수 있는 공격자가 ACL이 허용하는 것처럼 보이지만 실제로는 차단된 엔드포인트로 라우팅되는 메서드 경로를 만들어낼 수 있습니다. gRPC 경로가 특히 위험합니다. 별도의 현실적인 완화 방법이 없으므로 v1.16.14로 즉시 업그레이드하세요. 업그레이드 후에는 기존 ACL 정책 규칙이 정규화된 경로 형식(../ 해소, 인코딩된 구분자 없음)과 일치하는지 검토하십시오.

• breaking#, ?, 널 바이트, 제어 문자가 포함된 메서드 경로는 이제 거부됨

  수정 후에는 프래그먼트(#), 쿼리(?), 널 바이트, 제어 문자가 포함된 메서드 경로를 자동으로 거부합니다. 가능성은 낮지만, 프로그래밍 방식으로 gRPC 메서드 경로를 동적으로 구성하는 코드가 있다면 업그레이드 후 해당 호출이 실패할 수 있습니다. 프로덕션 적용 전에 메서드 경로를 동적으로 생성하는 서비스 호출 코드를 미리 점검하십시오.

v1.33.11은 MultiCIDRServiceAllocator 활성화 시 apiserver 기동 실패와 nft 1.1.3에서의 kube-proxy nftables 오작동을 수정한 패치 릴리스입니다. Go 1.25.9로 컴파일러도 업데이트됐습니다.

• breakingMultiCIDRServiceAllocator + 대규모 클러스터라면 즉시 업그레이드

  MultiCIDRServiceAllocator가 활성화된 환경에서 네임스페이스가 많으면, 업그레이드 중 apiserver가 아직 준비되지 않은 어드미션 플러그인으로부터 Forbidden 오류를 받고 기동에 실패하는 문제가 있었습니다. 이번 패치로 재시도 로직이 추가됩니다. 이 문제 때문에 1.33 업그레이드를 미뤄왔다면 이제 적용할 수 있습니다. apiserver 로그에서 IP 복구 컨트롤러의 Forbidden 오류를 확인해 보세요.

• breakingnft 1.1.3 사용 노드는 kube-proxy nftables가 사실상 불통 — 즉시 패치 필요

  nft 1.1.3이 설치된 노드(일부 최신 배포판 기본값)에서는 kube-proxy nftables 모드가 제대로 작동하지 않습니다. 처음에는 트래픽이 흐르는 것처럼 보여도 규칙 업데이트가 올바르게 적용되지 않습니다. 노드에서 'nft --version'으로 버전을 확인하고, 1.1.3이라면 이 패치 릴리스로 업그레이드하는 것이 가장 확실한 해결책입니다.

• enhancementOTel v1.41.0 대폭 업그레이드 — 옵저버빌리티 파이프라인 검증 필요

  OpenTelemetry Go SDK가 v1.33.0에서 v1.41.0으로 한 번에 올라갔습니다. 버전 차이가 큰 만큼, Kubernetes 텔레메트리 데이터를 수집하거나 OTel SDK와 연동되는 사이드카를 운영 중이라면 업그레이드 전 비운영 환경에서 트레이싱·메트릭 파이프라인이 정상 작동하는지 먼저 확인하세요. Kubernetes 기능 자체의 변화는 없지만 버전 갭이 충분히 커서 점검할 가치가 있습니다.

v1.34.7은 감사 로그 지연 시간 누락 버그와 nftables kube-proxy 호환성 문제를 수정하고, Go 1.25.9로 재빌드한 패치 릴리스입니다.

• breaking감사 로그 지연 시간 데이터가 조용히 누락됐습니다 — 즉시 패치 필요

  이 패치 이전의 1.34.x 클러스터는 500ms를 넘는 요청에 대해 감사 로그에서 지연 시간 어노테이션을 누락시켰습니다. 보안 감사나 컴플라이언스 도구가 이 어노테이션을 파싱해 SLO 추적이나 이상 감지에 활용하고 있다면, 그 기간의 데이터에는 공백이 있는 셈입니다. v1.34.7로 업그레이드 후, 해당 기간 감사 로그가 불완전하다는 사실을 기록으로 남겨두세요.

• breakingnft 1.1.3 환경에서 nftables kube-proxy가 완전히 동작 불가 — 우회 없으면 즉시 업그레이드

  Fedora 42, Ubuntu 25.04처럼 nft 1.1.3이 기본 탑재된 신형 배포판에서 kube-proxy를 nftables 모드로 실행하면 네트워킹 자체가 동작하지 않습니다. 성능 저하가 아닌 완전한 장애입니다. nft를 구버전으로 고정하거나 v1.34.7로 즉시 업그레이드하세요. 수정 사항은 knftables 라이브러리 업그레이드(v0.0.17 → v0.0.21)에 포함되어 있습니다.

• enhancementOTel v1.41.0으로 대폭 업그레이드 — 트레이싱 연동 검증 필요

  OpenTelemetry Go 패키지가 v1.35.0에서 v1.41.0으로 올라갔습니다. API 호환성은 유지되지만, 스팬 전파나 메트릭 수집 내부 동작이 상당 부분 변경됐습니다. Kubernetes OTel 스팬을 활용하는 커스텀 계측 코드나 사이드카가 있다면, 프로덕션 적용 전에 스테이징에서 반드시 검증하세요.

v1.35.4는 사이드카 컨테이너 재시작 불가, StatefulSet 병렬 스케일링 회귀, kube-proxy nftables 오작동, 감사 로그 레이턴시 어노테이션 오류 등 5개의 실제 버그를 수정한 패치 릴리스입니다.

• breakingStatefulSet maxUnavailable 동작에 의존 중이라면 즉시 확인 필요

  MaxUnavailableStatefulSet 기능 게이트가 1.35.4에서 다시 기본 비활성화됐습니다. 1.35.x로 업그레이드하면서 maxUnavailable 기반 병렬 파드 관리를 기대했다면, 그 동작은 현재 없는 셈입니다. StatefulSet 스펙에 maxUnavailable을 설정해둔 경우 조용히 무시됩니다. 업그레이드 전 스펙을 점검하고, 해당 기능 게이트가 다시 안정화될 때까지 운영 전략을 조정하세요.

• breaking사이드카 + startupProbe 조합 사용 중이면 빠른 업그레이드 권장

  restartPolicy: Always인 initContainer와 startupProbe를 함께 쓰는 파드는 kubelet 재시작 이후 크래시된 컨테이너가 영원히 재시작되지 않고 RestartCount: 0에 멈추는 현상이 있었습니다. 서비스 메시 프록시, 로그 수집기 등 사이드카 패턴을 쓰는 프로덕션 워크로드가 영향을 받습니다. 이미 이 상태에 빠진 파드가 있다면, 1.35.4로 업그레이드 후 해당 파드를 수동으로 삭제·재생성하는 것이 복구 방법입니다.

• enhancementnft 1.1.3 노드 환경이라면 kube-proxy 업그레이드 우선 적용

  nftables 버전 1.1.3이 설치된 시스템에서 kube-proxy의 nftables 모드가 완전히 동작하지 않는 문제가 있었습니다. 네트워킹 자체가 깨지는 조용한 장애입니다. 최근 Debian/Ubuntu 계열 일부 배포판이 nft 1.1.3을 포함하므로, 해당 환경의 노드 컴포넌트는 이번 패치를 우선 적용하세요.

Cilium v1.19.3은 메모리 누수, 패닉, 네트워크 동작 오류를 집중적으로 수정한 버그픽스 릴리스입니다. DSR 모드, WireGuard 듀얼스택, IPAM 엣지 케이스가 주요 수정 대상입니다.

• securitygo-jose 보안 업데이트 확인

  go-jose/go-jose가 보안 목적으로 v4.1.4로 업데이트됐습니다. 이 라이브러리는 JWT/토큰 처리에 관여합니다. SBOM 감사나 공급망 보안 검사를 운영 중이라면 이 의존성 버전 변경을 반드시 반영하세요.

• breaking듀얼스택 IPAM 충돌 위험 — 즉시 업그레이드 필요

  듀얼스택 cluster-pool IPAM 환경에서 중복 IPv6 PodCIDR이 있을 때 오퍼레이터를 재시작하면 IPv4 PodCIDR이 잘못 해제되어 다른 노드에 재할당될 수 있습니다. 노드 간 IP 충돌로 이어지는 데이터플레인 정확성 문제입니다. 다음 오퍼레이터 재시작 전에 v1.19.3으로 업그레이드하고, 업그레이드 후 각 노드의 PodCIDR 할당 상태를 확인하세요.

• enhancement메모리 누수 수정 — 정책 변경이 잦은 환경이라면 우선 적용

  두 가지 메모리 누수가 패치됐습니다. 하나는 정책 점진적 업데이트, 다른 하나는 정책 생성·삭제 반복 시 발생합니다. CI 네임스페이스, 멀티테넌트 플랫폼, GitOps 기반 정책 관리 환경처럼 NetworkPolicy 변경이 잦은 클러스터라면 Cilium 에이전트 메모리가 시간이 지날수록 꾸준히 증가하는 현상을 겪었을 수 있습니다. 업그레이드 후 롤링 재시작만으로 충분하며, 별도 설정 변경은 필요 없습니다.

Cilium v1.18.9는 메모리 누수, 패닉, 로드밸런서 오동작 등 프로덕션 장애로 이어질 수 있는 버그들을 집중 수정한 패치 릴리스입니다.

• securitygo-jose 보안 패치 포함 — 인증 기능 사용 시 우선 적용

  go-jose/go-jose/v4가 보안 이슈로 v4.1.4로 업데이트되었습니다. Cilium의 상호 인증(mutual auth)이나 JWT/JOSE 관련 기능을 활성화한 환경이라면 해당 취약점에 노출되어 있을 수 있으므로 이번 업그레이드를 우선순위에 두십시오.

• breaking이중 스택 IPAM 재할당 위험 — 즉시 업그레이드 필요

  cluster-pool IPAM으로 이중 스택을 운영 중이라면, 중복 IPv6 PodCIDR이 존재하는 상태에서 오퍼레이터가 재시작될 때 노드의 IPv4 PodCIDR이 해제되어 다른 노드에 재할당될 수 있습니다. IP 충돌과 파드 네트워킹 장애로 직결됩니다. 다음 정기 점검이나 오퍼레이터 재시작 전에 반드시 1.18.9로 올리십시오.

• enhancement정책 변동이 잦은 환경의 메모리 누수 해소

  정책 증분 업데이트와 빈번한 정책 생성/삭제로 발생하는 메모리 누수 경로 두 곳이 모두 막혔습니다. CI 환경, 멀티테넌트 클러스터, 네임스페이스가 자주 배포되는 환경에서 에이전트 메모리가 서서히 증가하는 현상을 경험했다면 업그레이드 후 수 시간에서 하루 정도 메모리 기준선이 안정화되는지 확인하십시오.

v1.17.15는 메모리 누수, 엔드포인트 재생성 중단, IPAM 데이터 오염, 정책 업데이트 데드락 등 운영 환경에서 조용히 악화되는 문제들을 집중 수정한 패치 릴리스입니다.

• breaking이중 스택 IPAM 오염 위험: 오퍼레이터 재시작 전에 반드시 업그레이드

  클러스터풀 IPAM을 쓰는 이중 스택 환경에서 IPv6 PodCIDR 중복 상태가 있을 때 오퍼레이터를 재시작하면, IPv4 PodCIDR이 다른 노드에 재할당될 수 있습니다. 두 노드가 같은 서브넷을 쓰게 되는 무서운 시나리오로, 오류 메시지도 없이 발생합니다. 노드 스케일링이나 오퍼레이터 재시작 전에 v1.17.15로 먼저 업그레이드하세요.

• enhancement정책 자주 바꾸는 환경이라면 메모리 누수 패치가 핵심

  증분 정책 업데이트로 인한 누수(느리고 감지 어려움)와 정책 생성/삭제 반복으로 인한 누수 두 건이 함께 수정됐습니다. GitOps 방식으로 NetworkPolicy를 자주 교체하는 환경이라면 지금도 에이전트 메모리가 조금씩 새고 있을 가능성이 높습니다. 업그레이드 후 24~48시간 동안 에이전트 메모리 추이를 모니터링해 안정화 여부를 확인하세요.

• enhancement엔드포인트가 정책 변경을 반영 못 한다면 이번 릴리스가 답

  'waiting-to-regenerate' 상태에 영구적으로 걸리는 레이스 컨디션이 수정됐습니다. 명확한 오류 없이 파드가 정책 변경을 적용하지 못하는 현상을 겪었다면, 업그레이드 후 'cilium endpoint list'로 정책 변경 시 엔드포인트 재생성이 정상 완료되는지 확인하세요.

26.6.1은 블라인드 SSRF와 사용자 열거 CVE 두 건을 수정한 보안 패치입니다. 26.6.0 업그레이드 시 커스텀 인증 플로우가 깨지던 치명적 마이그레이션 버그도 함께 수정됐습니다.

• securitySSRF·사용자 열거 CVE 즉시 패치 필요

  CVE-2026-4366은 HTTP 리다이렉트 처리 과정의 블라인드 SSRF로, Keycloak이 내부 서비스에 접근 가능한 환경이라면 실질적인 위협입니다. CVE-2026-4633은 identity-first 로그인에서 사용자 존재 여부가 노출되어 크리덴셜 스터핑 공격에 악용될 수 있습니다. 즉시 26.6.1로 업그레이드하세요. 업그레이드가 당장 불가하다면 CVE-2026-4633 임시 완화책으로 identity-first 로그인 비활성화를 검토하세요.

• breaking26.6.0으로 업그레이드했다면 커스텀 인증 플로우 즉시 확인

  26.6.0의 MigrateTo26_6_0 스크립트가 커스텀 브라우저 플로우를 잘못 수정해 릴름 인증을 조용히 망가뜨리는 버그가 있었습니다. 26.6.0 업그레이드 후 로그인 오류나 비정상 플로우 동작을 겪었다면 이 버그가 원인입니다. 26.6.1로 업그레이드하면 마이그레이션 로직은 수정되지만, 이미 손상된 플로우는 수동으로 복구해야 할 수 있습니다. 운영 환경 업그레이드 전 반드시 커스텀 인증 플로우를 점검하세요.

• breaking26.6.0 JS·Java 어드민 클라이언트 패키지 오류 — 26.6.1로 교체 필요

  26.6.0에서 @keycloak/keycloak-admin-client(JS)와 Java 어드민 클라이언트 모두 패키징 오류로 설치 또는 동기화가 불가능했습니다. 파이프라인이나 애플리케이션에서 26.6.0을 핀닝하고 있다면 현재 동작하지 않을 가능성이 높습니다. 의존성 버전을 26.6.1로 업데이트하세요.

Dapr v1.16.13은 다중 레플리카 환경에서 스케줄러 재시작 시 job 트리거가 멈추는 심각한 버그를 수정하고, Pulsar 설정 무시 문제와 OOM 위험을 해결하며, Go 1.25.9 보안 패치를 포함합니다.

• securityGo 1.25.9 보안 패치 적용을 위해 즉시 업그레이드

  Go의 crypto/x509, crypto/tls, archive/tar, html/template 패키지 취약점이 패치됐습니다. 1.16.12 이하를 사용 중이라면 지금 바로 1.16.13으로 올려야 합니다. 소스에서 직접 Go 1.25.9로 재빌드하지 않는 한 다른 우회책은 없습니다.

• breakingPulsar 사용자: processMode가 이제 실제로 적용됩니다 — 설정 검토 필수

  컴포넌트 YAML에 processMode를 설정해 뒀다면, 이전까지는 조용히 무시됐습니다. 업그레이드 후에는 해당 설정이 실제로 적용됩니다. processMode: sync로 순서 보장을 기대했지만 실제로는 비동기로 동작하고 있었다면, 업그레이드 시 동작이 바뀝니다. 프로덕션 배포 전에 Pulsar 컴포넌트 메타데이터와 구독 동작을 반드시 검토하세요. maxConcurrentHandlers를 0으로 설정했다면 기존에는 데드락이 발생했는데, 이제는 기본값 100으로 폴백됩니다.

• breaking다중 레플리카 스케줄러 운영 중이라면 즉시 패치 적용

  스케줄러 버그는 실제 운영에서 매우 치명적입니다. 롤링 업데이트, OOM 킬, 노드 축출 등 일상적인 파드 재시작만으로도 전체 배포의 job 트리거가 조용히 멈춥니다. 오류 알림이나 명시적인 실패도 없이 job이 그냥 동작을 멈추는 것입니다. HA 구성으로 스케줄러를 여러 레플리카로 운영 중이라면 이 수정은 필수입니다. 업그레이드 후 스케줄러 파드 재시작 시 예약 작업이 정상 실행되는지 반드시 확인하세요.

Litmus 3.28.0은 프로브 설정 누수, 구독자 크래시, 프론트엔드 이미지의 Python 취약점을 수정한 유지보수 릴리스입니다.

• security프론트엔드 이미지 업그레이드로 Python 취약점 제거

  기존 ubi8 기반 프론트엔드 이미지에 Python CVE가 존재했습니다. 3.28.0에서 ubi9로 전환해 해소했습니다. Trivy, ACS, Prisma 등 이미지 스캐닝 정책을 운영 중이라면 3.28.0 프론트엔드 이미지로 재배포하면 해당 경고가 사라집니다. 별도 설정 변경 없이 이미지 교체만으로 충분합니다.

• breaking프로브 설정 누수 수정으로 동일 타입 다중 프로브 동작 변경 가능

  동일 타입의 프로브를 한 실험에 여러 개 정의했을 때, 이전 버전은 프로브 간 설정이 암묵적으로 공유됐습니다. 이번 수정으로 프로브별 설정이 완전히 분리됩니다. 업그레이드 전에 관련 실험을 점검하세요. 설정 누수에 의존하던 케이스가 있다면 결과가 달라질 수 있습니다.

• enhancementGitOps 및 이벤트 기반 워크플로우의 구독자 안정성 개선

  Argo Workflow ADD 이벤트에 ChaosEngine 노드가 포함된 환경에서 구독자가 간헐적으로 크래시되던 문제가 수정됐습니다. 이런 패턴을 사용 중이었다면 3.28.0 업그레이드 후 구독자 파드를 수동으로 재시작할 필요가 없어집니다. 업그레이드 후 구독자 파드 안정성을 확인해 기존 재시작 이슈가 해소됐는지 검증하세요.

Rook v1.19.4는 CephObjectStoreUser 권한 설정 버그 수정, 멀티 클러스터 RBAC 누락 패치, OSD 강제 설치 시 디스크 zap 지원을 포함한 패치 릴리스입니다.

• breaking멀티 클러스터 환경: RBAC 수정 즉시 적용 필요

  보조 클러스터에서 ceph-mgr RBAC 역할이 누락되면 권한 오류가 조용히 발생해 진단하기 어렵습니다. 멀티 클러스터 구성을 운영 중이라면 v1.19.4로 즉시 업그레이드한 뒤 ceph-mgr 동작 상태를 확인하세요. 미루지 마세요.

• enhancementOSD 강제 교체 시 디스크 zap 자동화

  기존에는 장애 OSD 교체 시 디스크를 수동으로 정리해야 했는데, 이제 오퍼레이터가 직접 처리합니다. OSD 교체 절차를 스크립트로 자동화해 둔 경우, 관련 런북을 검토해 중복 작업을 제거하세요.

• enhancementRGW 서비스 레이블로 트래픽 라우팅 세밀화

  CephObjectStore RGW 서비스에 커스텀 레이블을 붙일 수 있어 서비스 메시, 로드 밸런서, 네트워크 정책 타겟팅이 정밀해집니다. 오브젝트 스토어를 여러 개 운영하거나 트래픽 제어가 필요한 환경이라면 적극 활용할 만합니다.

v1.50.0은 인증, 프론트엔드 API, 카탈로그 전반에 걸친 다수의 브레이킹 체인지와 함께 AWS RDS IAM 인증, Auth0 federated logout, 카탈로그 데드락 수정, 보안 패치를 포함한 대규모 릴리스입니다.

• securityrollup 경로 순회 취약점 패치 — CLI 및 빌드 도구 업데이트 필요

  rollup v4.59 미만 버전에는 고위험도 경로 순회 취약점(GHSA-mw96-cpmx-2vgc)이 있습니다. @backstage/cli, repo-tools, 여러 CLI 모듈이 이미 업데이트됐습니다. 업그레이드 헬퍼를 실행하고 lockfile을 갱신하세요. 워크스페이스 어딘가에 rollup 버전을 직접 고정했다면 v4.59+로 올려야 합니다. glob 의존성도 v7/v8/v11의 취약점을 해소하기 위해 v13으로 업그레이드됐습니다.

• breaking업그레이드 전 토큰 디코딩 코드 점검 필수 — ent 클레임 기본 제거

  auth.omitIdentityTokenOwnershipClaim의 기본값이 true로 바뀌어 Backstage 사용자 토큰에 ent 소유권 클레임이 더 이상 포함되지 않습니다. 토큰을 직접 디코딩해 ent를 읽는 코드가 있다면 아무 값도 반환되지 않아 조용히 버그가 생깁니다. 코드베이스에서 raw 토큰 디코딩을 찾아 userInfo 코어 서비스로 교체하세요. 시간이 필요하다면 config에 auth.omitIdentityTokenOwnershipClaim: false를 일시적으로 추가할 수 있지만, 이 설정은 향후 릴리스에서 완전히 제거될 예정이므로 마이그레이션 계획을 세워야 합니다.

• breakingfrontend-plugin-api 업그레이드 전 createSchemaFromZod를 configSchema로 교체

  @backstage/[email protected]에서 deprecated된 createSchemaFromZod 헬퍼가 삭제됐습니다. 이를 사용하는 extension이나 blueprint는 런타임에서 즉시 실패합니다. backstage.io/docs/frontend-system/architecture/migrations#150의 마이그레이션 문서를 참고해 configSchema 옵션으로 전환하세요. zod v3 스키마는 직접 지원되지 않으므로 import { z } from 'zod/v4' 방식을 사용하거나 zod v4로 업그레이드해야 합니다.

containerd v2.2.3은 spdystream의 CVE-2026-35469를 패치하고, 병렬 언팩 시 whiteout 누락 버그, tar 추출 경쟁 조건, Go 1.24 심링크 회귀 등 여러 버그를 수정했습니다.

• securityCVE-2026-35469 패치: 즉시 v2.2.3으로 업그레이드

  CVE-2026-35469는 containerd가 스트리밍 연결에 사용하는 moby/spdystream에서 발견된 취약점입니다. 이번 릴리스에 spdystream v0.5.1이 포함되어 수정됐습니다. 2.2.x 버전을 운영 중이라면 다음 정기 점검을 기다리지 말고 지금 바로 업그레이드하세요.

• breaking병렬 언팩 whiteout 버그 — 영향받은 이미지는 재풀링 필요

  병렬 언팩이 활성화된 환경에서 레이어 간 파일 삭제를 표시하는 whiteout 파일이 무시되는 버그가 있었습니다. overlayfs와 병렬 언팩을 함께 사용했다면 레이어 삭제 시맨틱이 제대로 적용되지 않았을 수 있습니다. 업그레이드 후 병렬 언팩으로 받은 이미지는 재풀링해서 레이어 상태를 확인하는 것이 좋습니다.

• enhancementGo 1.24 + NixOS 계열 환경의 컨테이너 기동 실패: 이번 릴리스로 해결됩니다

  Go 1.24로 빌드된 바이너리에서 rootfs 내 사용자/그룹 조회 시 절대 심링크 처리에 회귀가 생겼습니다. /etc/passwd나 /etc/group이 심링크인 NixOS 계열 시스템에서 주로 나타나는 문제입니다. Go 1.24 빌드로 전환한 뒤 사용자 조회 실패나 컨테이너 기동 오류를 겪었다면 v2.2.3 업그레이드로 해결됩니다.

containerd 2.0.8은 CVE-2026-35469 보안 패치, CRI 에러 메시지의 인증 정보 노출 수정, containerd 재시작 후 CNI DEL이 실행되지 않던 버그 수정을 포함합니다.

• securityCVE-2026-35469 대응: 즉시 2.0.8로 업그레이드

  CVE-2026-35469는 moby/spdystream 의존성에 존재하는 취약점입니다. 2.0.x를 운영 중인 클러스터라면 다음 유지보수 주기를 기다리지 말고 2.0.8로 올리세요. 해당 advisory의 심각도를 확인한 뒤 업그레이드 우선순위를 판단하기 바랍니다.

• security과거 파드 이벤트 로그에서 인증 정보 노출 여부 점검

  이번 수정 이전에는 레지스트리 인증 정보 등 URL에 포함된 민감 데이터가 CRI gRPC 에러 메시지와 파드 이벤트에 평문으로 기록될 수 있었습니다. Datadog, Splunk, ELK 등 외부 로깅 백엔드로 파드 이벤트를 수집 중이라면, 최근 로그에서 노출된 쿼리 파라미터가 없는지 점검하세요. 2.0.8부터는 containerd 내부에서 마스킹 처리됩니다.

• breaking업그레이드 후 CNI 네트워크 정리가 정상 동작하는지 확인

  이번에 수정된 CNI DEL 버그로 인해, containerd 재시작 이후 파드를 삭제할 때 CNI 플러그인 정리가 실행되지 않아 노드에 네트워크 상태가 남아 있을 수 있습니다. 2.0.8로 업그레이드한 뒤에는 containerd 재시작을 경험한 노드에서 파드 삭제 시 CNI DEL이 제대로 호출되는지 검증하세요. 이전에 고아 네트워크 인터페이스나 IP 할당 충돌이 발생했다면 이 버그가 원인이었을 가능성이 높습니다.

v1.7.31은 spdystream의 CVE-2026-35469를 패치하고, 재시작 후 CNI DEL이 실행되지 않던 버그와 gRPC 에러를 통한 자격증명 노출 문제를 수정합니다.

• securityCVE-2026-35469 패치: 즉시 v1.7.31로 업그레이드

  CVE-2026-35469는 SPDY 멀티플렉싱에 쓰이는 moby/spdystream 라이브러리의 취약점입니다. 수정본은 이번 릴리스에 포함된 spdystream v0.5.1에 담겨 있습니다. 1.7.x 이전 버전을 운영 중이라면 즉시 업그레이드하세요. 특히 CRI 스트리밍 서버가 노출되어 있거나 kubectl exec/attach/port-forward 트래픽이 containerd를 통해 흐르는 클러스터라면 더욱 시급합니다.

• security파드 이벤트 로그에서 자격증명 노출 여부 점검

  원시 에러 메시지에 레지스트리 자격증명이 포함된 채로 gRPC를 통해 반환되고 파드 이벤트에 노출되는 버그가 있었습니다. 업그레이드 후, 수정 전 기간의 파드 이벤트 로그(kubectl get events 또는 로그 수집 시스템)를 검토해 인증 토큰, 비밀번호, 이미지 풀 시크릿이 포함된 항목이 있는지 확인하세요. 노출된 자격증명이 발견되면 즉시 교체해야 합니다.

• breaking업그레이드 후 CNI 네트워크 정리 동작 검증 필요

  CNI DEL 버그 수정으로, 기존에 containerd 재시작 후 스테일 네트워크 상태를 남기던 컨테이너가 이제 제대로 정리됩니다. 올바른 동작이지만, CNI DEL이 생략된다고 가정하는 자동화 스크립트나 워크플로가 있다면 미리 테스트하세요. 비정상 재시작 이력이 있는 노드는 업그레이드 후 첫 파드 삭제 시 정리 작업이 실행될 수 있습니다.

v2.12.7은 ACL 우회 보안 버그, 리프노드 패닉, JetStream 컨슈머 stuck 상태, 그리고 2.12.6에서 유입된 MQTT JWT 회귀 버그를 수정한 버그픽스 릴리스입니다.

• securitydeny ACL이나 큐 그룹을 사용 중이라면 즉시 업그레이드 필요

  이번 릴리스에서 두 가지 ACL 시행 버그가 수정됐습니다. 와일드카드가 중첩된 deny ACL이 제대로 적용되지 않았고, 큐 구독이 비큐 deny 규칙을 통째로 우회할 수 있었습니다. deny 기반 ACL, 특히 와일드카드나 큐/비큐 혼합 구독을 보안 모델에 활용 중이라면 필수 업그레이드입니다. 업그레이드 후 deny 규칙이 의도대로 동작하는지 반드시 검증하세요.

• breaking2.12.6에서 MQTT + auth callout을 쓰고 있다면 즉시 업그레이드

  2.12.6에서 MQTT 클라이언트의 JWT가 auth callout 서비스로 전달되지 않는 회귀 버그가 있었습니다. 인증 로직이 조용히 무시되거나 실패했을 가능성이 있습니다. 2.12.7로 업그레이드 후 MQTT 클라이언트 인증이 전 구간에서 정상 동작하는지 확인하세요.

• enhancementJetStream 스토리지 한도, 이제 재시작 없이 상향 조정 가능

  max_mem_store와 max_file_store를 config reload만으로 늘릴 수 있게 됐습니다. 단, 줄이는 것은 여전히 reload로 지원되지 않습니다. 피크 트래픽 구간에 다운타임 없이 용량을 확장할 수 있어 운영 유연성이 높아졌습니다. 평소 여유 있게 스토리지를 설계하되, 필요 시 즉각 확장하는 방식으로 활용하세요.

v2.11.16은 보안 패치 릴리스로, 큐 구독의 ACL 우회, 리프노드 인바운드 메시지 권한 누락, 와일드카드 deny 패턴 미적용 등 여러 인가 취약점을 수정했습니다. ACL에 의존하는 환경이라면 즉시 업그레이드해야 합니다.

• security큐 구독을 통한 ACL 우회 — 즉시 패치 필요

  비큐 구독에 적용된 deny 규칙을 큐 구독자가 우회할 수 있었습니다. 멀티테넌트 환경이나 subject 단위 접근 제어를 쓰고 있다면 기존 deny 규칙이 제대로 적용되지 않았을 가능성이 있습니다. v2.11.16으로 업그레이드하고, ACL 설정 전체를 재검토하세요.

• security리프노드 ACL 검사 누락 — 리프 설정 점검 필수

  리프노드 인바운드 메시지가 ACL 권한 검사를 통과하지 않고 처리되는 경로가 존재했습니다. 계정별 또는 사용자별 권한을 리프노드에 적용 중이라면, 무단 데이터 접근이 발생했을 가능성을 배제할 수 없습니다. 업그레이드 후 리프노드 자격증명과 권한 설정을 재확인하세요.

• breakingno_auth_user 범위 변경 — 리프노드 연결에 영향 가능

  no_auth_user가 이제 클라이언트 연결에만 적용됩니다. 리프노드 등 비클라이언트 연결에서 no_auth_user를 암묵적으로 사용하던 구성이 있다면, 업그레이드 후 해당 연결에 명시적인 자격증명이 필요해집니다. 프로덕션 리프노드에 배포하기 전에 스테이징 환경에서 반드시 검증하세요.

TiKV v8.5.6은 컬럼 수준 권한 관리, 다차원 슬로우 쿼리 규칙, FK 체크 공유 잠금 지원과 함께 crossbeam skiplist 메모리 누수, 비관적 트랜잭션 데이터 불일치 등 주요 버그 13건을 수정했습니다.

• security컬럼 수준 권한으로 민감 데이터 격리 — 기존 권한 설정을 재검토하세요

  TiDB가 MySQL 호환 컬럼 수준 GRANT/REVOKE를 지원합니다. 지금까지 뷰(View) 기반으로 특정 컬럼(PII, 금융 데이터 등) 접근을 제한했다면 이제 권한 레이어에서 직접 제어할 수 있습니다. 민감 컬럼이 포함된 테이블을 감사하고 최소 권한 원칙에 따라 컬럼 수준 GRANT를 적용하세요. 기존 권한 감사 결과가 컬럼 수준 제어를 반영하지 못했을 수 있으므로 사용자 권한 목록을 전면 재검토할 필요가 있습니다.

• breaking통계 Version 1 지금 바로 마이그레이션 — 다음 릴리스에서 제거됩니다

  이번 릴리스에서 tidb_analyze_version=1이 공식 deprecated 처리됐고, 향후 버전에서 제거됩니다. 모든 인스턴스에서 SHOW VARIABLES LIKE 'tidb_analyze_version'으로 현황을 확인하세요. v1을 사용 중인 경우 v2로 전환하고 해당 테이블에 ANALYZE를 다시 실행해야 합니다. Version 2는 히스토그램 정확도가 더 높고 앞으로 유일하게 지원되는 방식입니다. 제거 시점에 쫓기기 전에 미리 전환하는 게 낫습니다.

• enhancementFK 체크 공유 잠금 활성화로 쓰기 집중 워크로드 경합 해소

  소수의 부모 테이블 행을 참조하는 자식 테이블에 고동시 INSERT/UPDATE가 발생한다면 현재 배타적 잠금 경합이 심할 겁니다. tidb_foreign_key_check_in_shared_lock=ON으로 설정하고 스테이징에서 벤치마크해 보세요. 부모 테이블에 공유 잠금을 사용하면 FK 체크가 서로를 블록하지 않습니다. 잠금 의미 구조가 바뀌는 만큼 운영 적용 전 반드시 검증이 필요합니다. 비관적 트랜잭션 환경이라면 prewrite 재시도 불일치 버그(#11187) 수정도 포함됐으므로 TiKV 노드 패치 버전을 확인하세요.

v2.0.3은 NATS 구독자 초기화 경쟁 조건 버그 수정, Kubernetes EndpointSlice 지원 추가, 컨테이너 비루트 소유권 설정, Helm 차트 확장 구성을 포함합니다.

• security즉시 업그레이드: 컨테이너가 기본적으로 비루트로 실행됩니다

  이전 릴리스는 루트 소유권으로 실행되어 컨테이너 보안 관점에서 문제가 있었습니다. 이번 릴리스부터 비루트 소유권이 기본값으로 변경됐습니다. 볼륨 마운트나 루트 권한에 의존하는 init 컨테이너가 있다면 프로덕션 적용 전 반드시 테스트하고, 필요하면 파드 스펙의 fsGroup 또는 runAsUser 설정을 조정하세요.

• breakingHelm 차트 이미지 태그 기본값 변경 — values 파일을 점검하세요

  기본 이미지 태그가 더 이상 하드코딩된 값을 사용하지 않고 chart.yaml의 appVersion을 따릅니다. values 파일에서 태그를 명시적으로 오버라이드하고 있다면 대부분 그대로 동작하겠지만, 기존 기본값 방식으로 이미지 버전을 고정했던 경우라면 차트 업그레이드 후 배포된 이미지 버전을 반드시 확인하세요.

• enhancementKubernetes 1.21 이상이라면 EndpointSlice를 활성화하세요

  EndpointSlice는 기존 Endpoints API를 대체하는 방식으로, 백엔드 수가 많을 때 확장성이 훨씬 뛰어납니다. kube-apiserver 부하를 줄이고 기존 Endpoints API의 스케일 한계를 피하려면 Helm values에서 EndpointSlice 옵션을 활성화하세요. Kubernetes 1.21 이상 환경이라면 지금 바로 적용할 수 있습니다.

OpenCost v1.120.0은 OVH 클라우드 프로바이더 지원, AWS CUR 2.0 호환성을 추가하고, AWS·DigitalOcean·S3 통합 전반의 리소스 누수 및 버그를 수정했습니다.

• breaking업그레이드 후 PV 비용 수치 검증 필요

  이전 버전에서 Ki/Mi/Gi/Ti 단위의 PV 용량을 잘못 파싱해 영구 볼륨 비용 할당이 틀렸을 가능성이 있습니다. 업그레이드 후 PV 비용 데이터를 반드시 확인하세요. 이상한 PV 비용 수치를 보고 있었다면 이번 수정으로 해결될 겁니다.

• enhancementAWS CUR 2.0으로 전환 — 지금이 적기

  AWS가 CUR 1.0 지원 종료를 예고한 상황에서, 이번 릴리스로 CUR 2.0 지원이 추가됐습니다. 아직 CUR 1.0 내보내기를 사용 중이라면 AWS 빌링 내보내기 설정을 CUR 2.0으로 전환하고 OpenCost가 새 형식을 바라보도록 구성을 업데이트하세요. AWS가 강제 전환하기 전에 미리 진행하는 게 좋습니다.

• enhancementSpot 미사용 팀은 Spot Data Feed 토글 비활성화로 로그 정리

  AWS Spot 인스턴스를 쓰지 않는 환경에서도 Spot 데이터 피드 관련 경고 로그가 계속 발생하는 문제가 있었습니다. 이제 설정 토글로 명시적으로 비활성화할 수 있으니, Spot을 사용하지 않는다면 해당 옵션을 꺼두는 게 좋습니다. 오해를 유발하는 로그도 함께 정리됩니다.

Prometheus v3.11.2은 웹 UI의 저장형 XSS 취약점(CVE-2026-40179)을 패치하고 Consul SD 버그 2건을 수정합니다. UI가 외부에 노출된 환경이라면 즉시 업그레이드하세요.

• securityPrometheus UI가 노출된 환경이라면 CVE-2026-40179 즉시 패치

  스크레이프 대상이 메트릭 이름이나 레이블 값을 조작하면 UI에 악성 스크립트를 심을 수 있는 저장형 XSS입니다. 운영팀 외 사용자가 Prometheus UI에 접근할 수 있는 환경(내부 대시보드, 페더레이션 구성 등)이라면 즉각 v3.11.2로 업그레이드하세요. 당장 업그레이드가 어렵다면 네트워크 정책이나 인증 프록시로 UI 접근을 제한하는 것이 먼저입니다.

• breaking업그레이드 후 Consul SD 스크레이프 대상 변경 여부 반드시 확인

  Consul Health API에 filter 파라미터가 잘못 적용되던 버그가 수정됐습니다. 의도치 않게 해당 동작에 의존하고 있었다면 업그레이드 후 발견되는 서비스 목록이 달라질 수 있습니다. 프로덕션 배포 전에 Consul SD 설정을 검토하고, 스크레이프 대상이 예상과 일치하는지 검증하세요.

• enhancementConsul SD의 `health_filter`로 비정상 서비스 제거 간소화

  새로 추가된 `health_filter` 필드를 사용하면 SD 레이어에서 직접 Consul Health API 응답을 필터링할 수 있습니다. 지금까지 릴레이블링 규칙으로 비정상 인스턴스를 걸러내고 있었다면, `health_filter: healthy`로 설정해 그 규칙들을 정리하세요. 불필요한 타깃 변동(churn)도 줄어듭니다.

webhook.config와 webhook.volumes를 동시에 설정할 때 발생하는 Helm 차트 YAML 생성 버그를 수정하고, 취약점 해소를 위해 Go 1.26.2로 업그레이드한 패치 릴리스입니다.

• security의존성 취약점 패치 포함 — 다음 유지보수 창에 업그레이드 예약

  Go 런타임과 의존성을 보고된 취약점 해소 목적으로 업데이트했습니다. 릴리스 노트에 구체적인 CVE ID가 명시되진 않았지만, cert-manager는 클러스터 내 인증서 발급을 담당하는 특권적 위치에 있는 컴포넌트입니다. 보안 패치는 미루지 않는 게 좋습니다.

• breakingwebhook.config와 webhook.volumes를 함께 쓰고 있다면 즉시 업그레이드

  Helm values에 webhook.config와 webhook.volumes를 모두 설정한 환경이라면, 지금까지 잘못된 YAML이 생성됐을 가능성이 높습니다. 웹훅이 의도와 다른 설정으로 배포됐을 수 있으므로, v1.20.2로 업그레이드하고 재배포한 뒤 웹훅 파드의 볼륨 마운트와 설정이 정상인지 반드시 확인하세요.

Envoy v1.37.2는 리스너 제거 시 크래시, 동적 모듈 필터의 불완전한 바디 전달, 내부 리다이렉트 버퍼 오버플로우로 인한 요청 행 문제를 수정한 패치 릴리스입니다.

• breaking프로세스 레벨 액세스 로그 레이트 리미터 사용 중이라면 즉시 업그레이드

  프로세스 레벨 액세스 로그 레이트 리미터를 설정한 상태에서 xDS를 통한 리스너 변경이나 제거가 발생하면 프로세스가 크래시합니다. 이는 드문 엣지 케이스가 아닙니다. 리스너 제거는 일상적인 설정 업데이트에서도 발생합니다. 다음 설정 배포 전에 v1.37.2로 업그레이드하세요.

• breaking동적 모듈 필터 파이프라인의 바디 잘림 현상 확인 필요

  동적 모듈 필터를 ext_proc, gRPC 트랜스코딩, JWT 바디 검사 등 버퍼링을 수행하는 필터와 함께 실행 중이라면, 에러 없이 잘린 페이로드가 업스트림이나 클라이언트로 전달됐을 가능성이 있습니다. 업그레이드 후 스테이징에서 바디 크기 불일치 로그를 점검하고 동작을 검증하세요.

• breaking대용량 요청 바디 + 내부 리다이렉트 조합은 요청 행(hang) 위험

  내부 리다이렉트를 사용하는 라우트에서 큰 POST/PUT 바디로 리다이렉트가 트리거되면 요청이 에러 없이 멈춥니다. 업스트림 타임아웃만이 유일한 안전망인 셈입니다. 즉시 업그레이드하고, 단기 대응책으로 해당 라우트의 요청 버퍼 한도를 임시로 줄이는 것도 고려할 만합니다.

v1.36.6은 동적 모듈 필터의 불완전한 바디 전달 문제와 내부 리다이렉트 시 버퍼 초과로 인한 요청 hang 문제를 수정한 패치 릴리스입니다.

• breaking동적 모듈 필터 + 버퍼링 필터 조합 사용 중이라면 즉시 업그레이드

  필터 체인에 동적 모듈 필터와 버퍼링 필터(ext_proc, grpc-web, 커스텀 버퍼링 필터 등)가 함께 있다면, 동적 모듈이 잘린 바디를 받고 있었던 겁니다. 성능 문제가 아닌 데이터 정합성 버그입니다. v1.36.6으로 업그레이드한 뒤, 동적 모듈이 전체 페이로드를 올바르게 처리하는지 반드시 검증하세요.

• breaking내부 리다이렉트 사용 환경에서 hang 위험 — 즉시 패치 필요

  요청 바디가 버퍼 한도를 초과할 수 있는 환경에서 내부 리다이렉트를 쓴다면, 완료되지 않는 요청이 커넥션을 붙잡는 상황이 발생할 수 있습니다. 트래픽이 몰리는 환경에서 특히 위험합니다. 즉시 업그레이드하고, 그 전까지는 버퍼 한도를 높이거나 내부 리다이렉트를 일시 비활성화하는 것을 검토하세요.

Dapr 1.17.4는 워크플로우 정확성, Pulsar OOM 위험, Placement 지연으로 인한 Actor 동결, Go 표준 라이브러리 보안 취약점 등 7개 버그를 수정했습니다.

• securityGo 표준 라이브러리 CVE 패치 — 즉시 업그레이드 권장

  Go 1.25.9는 archive/tar, crypto/tls, crypto/x509, html/template, 컴파일러에서 발견된 취약점을 수정합니다. Dapr의 모든 바이너리와 Docker 이미지가 패치된 툴체인으로 재빌드됐습니다. 설정 변경 없이 버전만 1.17.4로 올리면 됩니다.

• breakingPulsar processMode 동작 변경 — 컴포넌트 설정 검토 필수

  기존에 Pulsar 컴포넌트 YAML에 processMode를 설정했다면 그 값은 사실상 무시되고 있었습니다. 업그레이드 후에는 설정값이 실제로 적용됩니다. processMode: sync로 순서 보장을 기대했지만 실제로는 async 모드로 돌고 있었다면, 업그레이드 후 동작이 달라집니다. async 모드는 이제 maxConcurrentHandlers(기본값 100)로 동시성이 제한됩니다. 운영 배포 전 Pulsar 컴포넌트 메타데이터를 반드시 점검하고 처리량 동작을 테스트하세요.

• enhancementPlacement 지연으로 인한 Actor·워크플로우 동결 위험 해소

  Placement 전파 동결 버그는 롤링 업데이트 중 연쇄적인 헬스 체크 실패를 유발할 수 있었고, Kubernetes가 Pod를 비정상으로 판단해 재시작하면서 상황이 더 악화되는 패턴이었습니다. 1.17.4부터는 느린 피어 감지 시 치명적 종료 대신 재연결을 시도합니다. 롤링 업데이트 중 Actor 행(hang)이나 zombie daprd 프로세스를 경험한 적 있다면 이 버그가 원인이었을 가능성이 큽니다. 별도 설정 변경 없이 업그레이드만으로 적용됩니다.

Keycloak 26.6.0은 JWT Authorization Grant, Federated Client Auth, Workflows, 무중단 패치 릴리스를 정식 지원으로 격상하면서, UMA·SCIM·Organizations 관련 보안 버그 다수를 수정했습니다.

• securitySCIM·UMA 보안 취약점 즉시 패치 필요

  SCIM에서 IDOR 방식의 리소스 수정 및 그룹 관리 권한 우회가 가능했던 두 가지 버그가 수정됐습니다. UMA 권한 부여는 만료된 ID 토큰이나 다른 클라이언트용 토큰을 수락하는 문제도 함께 고쳐졌습니다. SCIM이나 UMA를 사용 중이라면 즉시 26.6.0으로 업그레이드하세요. 별도 설정 변경은 불필요하지만, 사용 중인 SCIM 플러그인/익스텐션이 새 유효성 검사와 호환되는지 확인하세요.

• breaking$ 문자 포함 시크릿은 KCRAW_ 프리픽스로 전환해야 함

  시크릿 매니저 등에서 $ 문자가 포함된 패스워드를 환경변수로 주입할 경우, KC_ 프리픽스는 SmallRye 표현식 평가로 값을 묵시적으로 변조합니다. KC_<KEY> 대신 KCRAW_<KEY>를 사용하면 값이 그대로 유지됩니다. 업그레이드 전에 기존 환경변수를 전수 점검하세요. ${ 또는 $$ 패턴이 포함된 시크릿은 이전 버전에서 이미 깨져 있을 수 있습니다.

• enhancementOperator 배포에서 무중단 롤링 업데이트 활성화

  무중단 패치 릴리스가 기본 활성화됐습니다. Operator로 Keycloak을 운영 중이라면 업데이트 전략을 명시적으로 Auto로 설정하세요. 아울러 새로 도입된 HTTP Graceful Shutdown 기본값(지연 1초, 타임아웃 1초)을 검토하고, 리버스 프록시의 연결 드레이닝이 더 길게 걸리는 환경(특히 비-Kubernetes 환경이나 장기 연결 사용 구성)에서는 해당 값을 늘려 설정하세요.

Flux v2.8.5는 Kustomization을 멈추게 하던 캐시 경쟁 조건 버그와 Azure Blob 접두사 미적용 문제를 수정하고, GCR Receiver 검증 필드를 추가한 패치 릴리스입니다.

• breakingKustomization이 멈춰 있다면 이 패치로 해결되겠습니다

  조정 타임아웃이나 취소 이후 Kustomization이 stuck 상태로 남아 수동으로 flux reconcile을 실행하거나 파드를 재시작해야 했다면, kustomize-controller v1.8.3의 경쟁 조건 수정이 바로 이 문제를 해결합니다. v2.8.5로 업그레이드한 뒤 조정 루프를 모니터링하세요. 별도 설정 변경은 없으며, 기존에 멈춰 있던 Kustomization이 자동으로 복구되는지 확인하면 됩니다.

• breaking업그레이드 후 Azure Blob prefix 필터링 동작을 반드시 검증하세요

  Azure Blob Storage 기반 Bucket 소스에 prefix를 설정했다면, 기존에는 해당 옵션이 실제로 적용되지 않아 의도보다 더 많은 오브젝트를 동기화하고 있었습니다. v2.8.5 업그레이드 후 prefix 필터가 실제로 작동하므로, 예상한 블롭 범위만 동기화되는지 확인하고 기존에 무시되던 경로가 배포에 영향을 주지 않는지 검증해야 합니다.

• enhancementGCR 웹훅 보안을 email/audience 필드로 강화하세요

  GCR Receiver에 선택적 'email'과 'audience' 필드가 추가됐습니다. GCR 이미지 푸시 웹훅으로 Flux 조정을 트리거하고 있다면, Receiver 스펙에 이 필드를 추가해 서비스 계정 ID와 토큰 대상을 검증하도록 설정하세요. 위조된 웹훅 요청의 위험을 낮출 수 있습니다. 선택 사항이므로 기존 설정은 그대로 동작하지만, 보안 요구사항이 높은 환경에서는 적용을 권장합니다.

Flux v2.8.4는 CLI 전용 패치 릴리스로, Windows에서의 'flux build/diff ks' 오류와 'create kustomization'의 --source 플래그 유효성 검사 문제를 수정했습니다.

• breaking'create kustomization' 스크립트의 --source 값 점검 필요

  --source 플래그 유효성 검사가 추가되면서, 기존에 잘못된 source 참조를 넘겨도 통과되던 스크립트가 이제 명시적으로 실패합니다. CI/CD 파이프라인에 새 CLI를 배포하기 전에 자동화 스크립트를 먼저 테스트해 두세요.

• enhancementWindows 사용자라면 즉시 CLI 업그레이드 필요

  Windows 워크스테이션이나 CI 러너에서 flux build ks / flux diff ks를 쓰고 있다면 해당 명령이 제대로 동작하지 않았을 겁니다. CLI를 v2.8.4로 업그레이드하면 되고, 클러스터 측 변경은 필요 없습니다.

v1.14.0은 ListObjects의 잠재적 데드락을 수정하고, 교집합 알고리즘 성능을 개선하며, BatchCheck 캐싱을 추가합니다. PostgreSQL 사용자에게 영향을 주는 SQL 직렬화 버그도 함께 수정됩니다.

• securityPostgreSQL 사용자: SQL 직렬화 수정 적용 필수

  TupleOperation 직렬화 버그와 pgx.ErrNoRows 오류 처리 문제는 PostgreSQL 환경에서 데이터 불일치나 잘못된 오류 처리로 이어질 수 있습니다. Postgres 기반으로 OpenFGA를 운영 중이라면 이 수정 사항만으로도 업그레이드 이유가 충분합니다. 업그레이드 후 튜플 쓰기/읽기 동작을 반드시 검증하세요.

• breakingCVE-2026-33729 검토 후 즉시 업그레이드

  릴리스 노트에 CVE-2026-33729가 명시적으로 언급됩니다. 마이너 릴리스에 CVE 업데이트가 포함된 경우 즉각 대응이 필요합니다. CVE 세부 내용이 공개되기 전에 v1.14.0으로 업그레이드하고, 배포 환경의 노출 범위를 점검하세요.

• enhancement고동시성 환경에서 ListObjects 데드락 수정이 핵심

  ListObjects 파이프라인의 데드락은 실제 프로덕션 부하에서만 나타나는 유형의 버그입니다. ListObjects를 대량으로, 특히 동시 호출 환경에서 사용하고 있다면 이 수정이 필수적입니다. 업그레이드 후 실제 동시성 패턴으로 ListObjects 스트레스 테스트를 실행해 안정성을 확인하세요.

• enhancementBatchCheck 캐싱으로 대규모 권한 검사 레이턴시 절감

  튜플이나 조건이 겹치는 BatchCheck를 반복 호출하는 경우, 새 캐싱 레이어가 레이턴시와 백엔드 부하를 낮춰줄 겁니다. 별도 설정 변경 없이 자동 적용되는 것으로 보이지만, 새로 추가된 튜플 이터레이터 쿼리 통계를 활용해 실제 환경에서 개선 효과를 모니터링하세요.

프록시 두 차례 업데이트(v2.346.0, v2.347.0), 멀티클러스터 RBAC 누락 리소스 추가, Viz Prometheus 포트명 설정 수정이 핵심입니다. 나머지는 의존성 유지보수입니다.

• security암호화 의존성 패치 업데이트 — 꾸준한 업그레이드 주기 유지

  openssl, rustls-webpki, aws-lc-rs, aws-lc-sys 모두 패치 버전 업데이트됐습니다. 공개된 CVE는 없지만 프록시 핵심 암호화 라이브러리인 만큼, 여러 릴리스를 건너뛰지 말고 정기적인 edge 업그레이드 주기를 유지하는 게 좋습니다.

• breakingViz 사용 중이라면 업그레이드 후 Prometheus 메트릭 확인 필수

  admin 포트명 변경에 맞게 Prometheus 설정이 수정됐습니다. 이전 edge 빌드에서 업그레이드한 경우, 대시보드 메트릭이 정상적으로 표시되는지 바로 확인하세요. 수정 전에는 스크레이프가 조용히 실패하고 있었을 수 있으므로, Prometheus 타겟 상태를 직접 점검하는 게 좋습니다.

• enhancement멀티클러스터 사용자: AuthorizationPolicy 커버리지 재검토

  멀티클러스터 익스텐션에 Server 및 AuthorizationPolicy 리소스가 누락되어 있었습니다. 업그레이드 후 크로스 클러스터 인가 정책이 의도대로 적용되는지 확인하세요. 기본 정책 설정에 따라 특정 트래픽 경로에서 예상치 못한 허용/차단이 발생했을 수 있습니다.

v3.11.0은 새로운 서비스 디스커버리 기능과 TSDB 실험적 기능을 대거 추가했습니다. 특히 보존 기간이 설정값보다 100만 배 길어지는 심각한 버그가 수정되었으니 즉시 업그레이드해야 합니다.

• breakingTSDB 보존 기간 버그 수정 — 디스크 폭증 전에 업그레이드

  config 파일에서 `storage.tsdb.retention.time`을 설정할 때 단위 파싱 오류로 인해 실제 보존 기간이 설정값의 100만 배로 동작했습니다. CLI 플래그 대신 config 파일로 retention을 지정하고 있다면 디스크가 예상보다 훨씬 많은 데이터를 보유하고 있을 수 있습니다. 3.11.0으로 업그레이드 후 디스크 사용량을 반드시 확인하세요. 아울러 config에서 retention 설정을 제거하면 CLI 플래그 값으로 폴백되도록 동작이 바뀌었으니 설정을 재검토하세요.

• breakingHetzner hcloud SD 레이블 2026년 7월 전에 마이그레이션

  `__meta_hetzner_datacenter`, `__meta_hetzner_hcloud_datacenter_location*` 레이블은 hcloud 역할에서 2026년 7월 1일부터 동작하지 않습니다. relabeling 설정과 recording rule을 전수 점검해 `__meta_hetzner_hcloud_location`, `__meta_hetzner_hcloud_location_network_zone`으로 교체하세요. robot 역할의 기존 레이블은 하위 호환성을 위해 유지됩니다.

• enhancementretention.percentage로 TSDB 디스크 사용량 상한 설정

  새로 추가된 `storage.tsdb.retention.percentage` 설정을 사용하면 TSDB가 사용할 수 있는 디스크 비율의 상한을 지정할 수 있습니다. 데이터 수집량이 가변적인 환경에서 바이트 기반 상한을 추정하는 것보다 훨씬 관리하기 쉽습니다. 기존 시간 기반 retention을 대체하기보다는 함께 설정해 두 조건 모두 적용되도록 운영하는 것을 권장합니다.

CRI-O v1.35.2는 이미지 풀 자격증명 검증, 메트릭 누락, OCI 아티팩트 스토어 오염 문제를 수정한 버그픽스 패치입니다.

• breaking업그레이드 후 자격증명 프로바이더 동작 검증 필요

  PullImage 수정으로 이미지 풀 시 반환값이 달라졌습니다. Kubernetes 자격증명 프로바이더 플러그인을 쓰거나 이미지 풀 동작을 검증하는 자동화가 있다면, 프로덕션 적용 전 반드시 테스트하세요. 기존 동작은 엣지 케이스에서 자격증명 검증을 조용히 건너뛸 수 있었습니다.

• enhancement메트릭 파이프라인 점검 — 데이터가 누락됐을 수 있음

  이번 패치 이전 v1.35.x를 운영 중이었다면, 'all' 설정 시 메트릭이 불완전하게 수집됐을 겁니다. 업그레이드 후 메트릭 수가 늘어날 수 있는데, 이는 정상입니다. 대시보드와 알림 임계값을 미리 확인해두세요.

• enhancement에어갭·미러 환경에서 additional_artifact_stores 활용

  에어갭 클러스터나 내부 아티팩트 미러를 운영한다면, 새로운 'additional_artifact_stores' 옵션으로 읽기 전용 소스를 여러 개 깔끔하게 설정할 수 있습니다. pinned_images 수정과 함께 쓰면 고정 이미지가 의도한 스토어에서 일관되게 풀리는지 보장할 수 있습니다.

etcd v3.6.10은 3.6 시리즈의 패치 릴리스입니다. 릴리스 노트가 간략하므로, 업그레이드 전 전체 CHANGELOG를 반드시 확인하세요.

• breaking업그레이드 전 공식 가이드 필독

  v3.6 릴리스는 브레이킹 체인지가 포함될 수 있다고 명시하고 있습니다. 클러스터 업그레이드 전에 v3.6 공식 업그레이드 가이드와 CHANGELOG-3.6.md 전문을 검토하세요. 일반 패치처럼 무심코 적용하면 운영 장애로 이어질 수 있습니다.

• enhancement컨테이너 이미지 소스를 gcr.io로 전환

  etcd는 gcr.io/etcd-development/etcd를 기본 레지스트리로, quay.io/coreos/etcd를 보조로 지정했습니다. 이미지 풀 설정이나 에어갭 미러 구성이 여전히 quay.io를 우선하고 있다면 gcr.io 기준으로 업데이트하는 것이 좋습니다.

etcd v3.5.29는 3.5 브랜치의 유지보수 릴리스입니다. 릴리스 노트 자체에는 세부 변경 사항이 없어 CHANGELOG를 직접 확인해야 합니다.

• security컨테이너 이미지 레지스트리 출처 검증

  CI/CD 파이프라인에서 etcd 이미지를 사용한다면, 기본 레지스트리인 gcr.io/etcd-development/etcd를 사용하는지 확인하세요. quay.io 미러는 보조 레지스트리라 최신 이미지 반영이 늦을 수 있습니다. 플로팅 태그 대신 이미지 다이제스트를 고정해 공급망 위험을 줄이세요.

• breaking패치 릴리스라도 공식 업그레이드 가이드를 건너뛰지 마세요

  릴리스 노트가 명시적으로 3.5.x 패치 버전에도 브레이킹 체인지가 있을 수 있다고 경고합니다. 특히 Kubernetes 컨트롤 플레인 백엔드로 etcd를 운영 중이라면 스테이징 환경에서 먼저 검증하세요. etcd 업그레이드 실패는 클러스터 전체 장애로 이어질 수 있습니다.

• enhancement업그레이드 전 CHANGELOG-3.5.md 확인

  이번 릴리스 노트에는 구체적인 변경 내용이 없습니다. etcd GitHub 저장소의 CHANGELOG-3.5.md에서 v3.5.29 항목을 직접 확인하세요. 3.5 브랜치 패치 릴리스에는 버그 픽스나 CVE 패치가 포함되는 경우가 많은데, 버전 번호만 보고 넘어가기 쉽습니다.

etcd v3.4.43은 3.4 브랜치의 유지보수 릴리스입니다. 릴리스 노트에 변경 내역이 없으므로, 업그레이드 전 CHANGELOG를 직접 확인해야 합니다.

• breaking패치 버전 업그레이드에도 업그레이드 가이드 확인 필요

  패치 릴리스라도 etcd 팀은 간헐적으로 동작 변경이나 기능 폐기를 포함시킵니다. etcd는 컨트롤 플레인의 데이터 저장소인 만큼, 패치 버전이라고 무조건 안전하다고 가정하지 말고 v3.4 공식 업그레이드 가이드를 반드시 점검하세요.

• enhancement업그레이드 전 CHANGELOG 직접 확인

  릴리스 노트에 변경 내역이 기재되어 있지 않습니다. 업그레이드 전에 CHANGELOG-3.4.md를 열어 현재 버전과 차이를 직접 비교하세요. 3.4.x 패치는 버그 수정과 CVE 백포트를 포함하는 경우가 많아, 검토를 건너뛰면 중요한 수정 사항을 놓칠 수 있습니다.