릴리즈

Karmada v1.17.1은 무중단 축출 실패, 인증서 갱신 루프, Helm 차트 렌더링 오류, OpenAPI 스키마 오류 등 4가지 버그를 수정한 패치 릴리스입니다.

• breakinggraceful eviction 사용 중이라면 즉시 패치 필요

  이 경쟁 조건의 문제는 실패가 무음으로 처리된다는 점입니다. 테인트가 걸리거나 장애 중인 멤버 클러스터에서 워크로드가 축출되지 않아도 아무런 오류가 발생하지 않습니다. 멀티 클러스터 HA 환경이라면 v1.17.1로 즉시 업그레이드하고, 업그레이드 후 보류 중인 eviction 작업이 정상 완료됐는지 반드시 확인하세요.

• breakingkarmada-agent 인증서 만료 여부 점검 필요

  SignerName 불일치로 인해 v1.17.0에서 인증서 갱신 CSR이 한 건도 승인되지 않았습니다. v1.17.0을 운영 중이었다면 에이전트 인증서가 갱신되지 않은 채 만료 기한이 가까워졌을 수 있습니다. 업그레이드 후 에이전트 인증서 만료일을 확인하고, 필요하면 수동으로 갱신을 트리거하세요.

• enhancementHelm 차트 업그레이드 후 TLS 설정 재확인 필요

  v1.17.0에서 karmada-chart를 업그레이드했을 때 설정에 '{{ ca_crt }}'가 문자 그대로 남아 있었다면, CA 인증서가 주입되지 않은 상태입니다. v1.17.1로 업그레이드한 뒤 Helm upgrade를 다시 실행해 CA 인증서가 올바르게 렌더링됐는지, TLS 설정이 정상인지 확인하세요.

v1.16.4는 인증서 자동 갱신 중단, Helm 업그레이드 시 ca_crt 미렌더링, 그리고 무중단 축출 작업이 조용히 누락되는 레이스 컨디션 세 가지 버그를 수정합니다.

• security인증서 자동 갱신이 조용히 멈춰 있었음 — 업그레이드 후 즉시 인증서 유효기간 점검

  SignerName 불일치로 인해 karmada-agent의 인증서 갱신 CSR이 한 번도 승인되지 않았습니다. 즉, 에이전트 인증서가 갱신 없이 만료되고 있었던 셈입니다. v1.16.4로 업그레이드한 뒤, 모든 멤버 클러스터의 karmada-agent 인증서 만료일을 확인하고 만료가 임박한 것은 수동으로 갱신을 트리거하세요. 이 수정 이전에 자동 갱신이 정상 동작했다고 가정하지 마세요.

• breaking축출 레이스 컨디션으로 워크로드가 장애 클러스터에 방치됐을 수 있음

  컨트롤러 레플리카를 여러 개 운영하거나 ResourceBinding 변경이 잦은 환경이라면, 이번 수정 전에 taint된 클러스터나 비정상 클러스터에서 워크로드 축출이 조용히 실패했을 가능성이 있습니다. v1.16.4로 즉시 업그레이드한 뒤, 현재 클러스터 taint 상태와 ResourceBinding 상태를 점검해 누락된 축출 작업이 없는지 확인하세요.

• breakingHelm 업그레이드로 ca_crt가 제대로 적용되지 않았다면 TLS 설정 재확인 필요

  {{ ca_crt }} 템플릿 변수가 Helm 업그레이드 시 렌더링되지 않아 TLS 설정이 잘못 배포됐을 수 있습니다. v1.16.3에서 Helm으로 업그레이드한 이력이 있다면, 배포된 시크릿과 차트 값에서 ca_crt가 올바르게 채워져 있는지 확인하세요. 문제가 의심된다면 v1.16.4로 다시 업그레이드해 재적용하세요.

Karmada v1.15.7은 에이전트 인증서 갱신 교착 상태, Helm 차트 업그레이드 렌더링 오류, 그리고 무증상으로 eviction 작업을 누락시키던 경쟁 조건 버그 세 가지를 수정한 패치 릴리스입니다.

• breaking에이전트 인증서 만료 여부를 즉시 점검하세요

  SignerName 불일치 버그로 인해 CSR이 승인되지 못했다면, karmada-agent의 인증서가 이미 만료됐거나 만료 임박 상태일 수 있습니다. v1.15.7로 업그레이드 전에 각 에이전트 인증서의 NotAfter 필드를 확인하고, 만료된 경우 수동 갱신을 먼저 진행하세요. 인증서 TTL이 짧은 환경일수록 긴급도가 높습니다.

• breakingeviction 누락으로 문제 클러스터에 워크로드가 남아있을 수 있습니다

  graceful eviction의 경쟁 조건 버그로 인해, 클러스터에 taint가 추가되거나 장애 상태가 됐을 때 복수의 컨트롤러가 동시에 동작 중이었다면 eviction 작업이 무증상으로 누락됐을 가능성이 있습니다. 업그레이드 전에 ResourceBinding 및 ClusterResourceBinding 오브젝트에서 미처리된 eviction 조건을 점검하고, 영향받은 바인딩에 대해 업그레이드 후 eviction을 재트리거하세요.

• breakingHelm 업그레이드 시 ca_crt 렌더링 결과를 반드시 검증하세요

  {{ ca_crt }}가 렌더링되지 않으면 TLS 설정이 리터럴 문자열로 남아 연결 오류로 이어집니다. v1.15.7로 Helm 업그레이드 후 배포된 Secret 또는 ConfigMap에서 ca_crt 값이 실제 인증서 데이터로 채워졌는지 확인하세요. 이전 업그레이드에서 문제가 발생했다면 해당 리소스를 재배포해야 합니다.

v2.17.0은 UI의 XSS 보안 취약점 수정, 사이드 패널 스팬 상세 보기·트레이스 로그 집계 등 주요 UI 기능 추가, 그리고 패닉 방지 및 클럭 스큐 수정 등 백엔드 안정성 개선을 포함합니다.

• securityXSS 취약점 수정을 위해 UI를 즉시 업데이트하세요

  기존 UI는 트레이스 속성 값을 innerHTML로 렌더링해서, 스팬 데이터에 악성 HTML이 포함될 경우 XSS 공격에 노출될 수 있었습니다. v2.17.0에서 textContent로 교체하여 수정됐습니다. Jaeger UI를 여러 팀이 공유하거나 스팬 데이터를 외부 입력으로부터 받는 환경이라면 우선순위를 높여 v2.17.0 이미지로 재배포하세요.

• breaking클럭 스큐 수정으로 스팬 종료 타임스탬프가 달라집니다 — 트레이스 데이터 검증이 필요합니다

  기존 클럭 스큐 조정기는 시작 시간만 보정하고 종료 시간은 그대로 뒀습니다. 이제 둘 다 보정되므로, 조정된 트레이스 데이터를 기반으로 SLO나 레이턴시 계산을 하는 팀은 업그레이드 후 대시보드와 알림 규칙을 실제 트레이스로 재검증해야 합니다.

• enhancement사이드 패널 스팬 뷰로 트레이스 분석이 편해집니다

  기존에는 스팬 상세 정보가 인라인으로 펼쳐져서 타임라인 맥락이 사라졌습니다. 새 사이드 패널 모드에서는 타임라인을 유지하면서 스팬을 검사할 수 있습니다. 별도 설정 없이 UI에서 스팬을 클릭하면 바로 사용 가능하니, 팀의 디버깅 워크플로우 개선 사례로 공유해볼 만합니다.

Dapr v1.16.12는 gRPC 인증 우회 CVE 패치, Pulsar Avro/JSON 스키마 처리 버그 수정, 그리고 파드 재시작 후 최대 20분간 지속되던 Scheduler 클러스터 스톨 문제를 해결합니다.

• securitygRPC 인증 우회(CVE-2026-33186) 패치를 위해 즉시 업그레이드

  CVE-2026-33186은 특정 조건에서 gRPC 인증을 우회해 비인가 요청을 허용합니다. Dapr 1.16.12 이전 모든 1.16.x 버전이 영향을 받으며, 의존성 패치 없이는 우회 방법이 없습니다. 즉시 업그레이드하세요.

• breakingPulsar Avro + CloudEvents 스키마 등록 방식 변경 — 기존 토픽 점검 필요

  Dapr 1.16.0~1.16.11에서 Avro 스키마와 CloudEvents 래핑(기본값)을 함께 사용하는 Pulsar 토픽은 Schema Registry에 잘못된 스키마가 등록되어 있었습니다. 업그레이드 후에는 올바른 CloudEvents 엔벨로프 Avro 스키마로 등록됩니다. 기존 토픽의 Schema Registry 상태와 비-Dapr 컨슈머의 영향 여부를 확인하세요. 새로 추가된 rawSchema 메타데이터 옵션은 순수 raw 페이로드 전용 토픽에만 사용해야 합니다.

• enhancementScheduler HA 환경에서 파드 재시작 후 20분 스톨 문제 해소

  Scheduler 3개 인스턴스 HA 구성에서 워크플로우나 액터 리마인더가 실행 중일 때 파드가 재시작되면 클러스터 전체가 최대 20분간 멈추는 문제가 있었습니다. 롤링 업데이트나 노드 유지보수 후 워크플로우나 리마인더가 설명 없이 지연됐다면 이 버그가 원인입니다. 이번 수정으로 트리거 전달이 컨텍스트 취소를 즉시 반영해 수초 내 쿼럼을 재확립합니다. 참고로 Dapr v1.17은 트리거 전달 경로 자체를 비동기 방식으로 재설계해 이 문제 유형 자체를 없앴습니다.

Volcano v1.13.2는 패치 릴리스로, NUMA 리소스 처리 패닉, GPU 리소스 오류, 스케줄러 스냅샷 상태 오염, Job 내 Terminating Pod 처리 오류 등 5건의 버그를 수정했습니다.

• securityNUMA 스냅샷 패닉으로 스케줄러 프로세스가 중단될 수 있음 — NUMA 워크로드 확장 전 패치 적용

  스냅샷 생성 중 NUMA 리소스 정보 업데이트 시 nil 포인터 또는 동시 쓰기 패닉이 발생하면 volcano-scheduler 프로세스 전체가 내려갑니다. NUMA 인식 클러스터에서는 Pod가 재시작될 때까지 스케줄링이 완전히 멈춥니다. 토폴로지 인식 워크로드를 운영 중이라면 워크로드 확장 전에 v1.13.2로 패치를 적용하세요.

• breaking스케줄러 스냅샷 변이 버그, 스케줄링 결정 오염 가능 — 즉시 업그레이드 필요

  스케줄러 스냅샷 복제본이 가변 객체를 공유하던 버그(PR #5093)가 이번 릴리스에서 가장 심각한 수정 사항입니다. 여러 스케줄링 사이클이 상태를 공유하면 비결정적 스케줄링 동작이 발생하고, 원인 추적도 매우 어렵습니다. GPU나 멀티태스크 배치 워크로드를 부하 상태에서 운영 중이라면 v1.13.2로 즉시 업그레이드해야 합니다.

• enhancementGPU 리소스 오류 수정으로 유령 할당 문제 해결

  GPU 리소스 집계 오류가 수정되어 노드가 과다 할당되거나 실제보다 낮은 활용률로 표시되던 문제가 해결됩니다. GPU Pod가 실제 용량이 있음에도 Pending 상태에 머물거나, GPU 노드에서 예기치 않은 스케줄링 실패가 반복되었다면 이번 패치로 해결될 가능성이 높습니다. 업그레이드 후 스케줄러 Pod를 재시작해 남아 있을 수 있는 낡은 리소스 상태를 초기화하세요.

KubeVirt v1.8.1은 virt-handler domain-notify 서버 비정상 종료 및 PVC 이름이 긴 경우 VMExport 실패, 두 가지 버그를 수정한 패치 릴리스입니다.

• breakingvirt-handler 충돌로 VM 라이프사이클 이벤트가 먹통이 된다면 즉시 업그레이드하세요

  domain-notify 서버는 virt-handler와 실행 중인 VM 간 통신을 담당합니다. 비정상 종료 후 재시작되지 않으면 VM 시작·중지·마이그레이션 같은 라이프사이클 작업이 눈에 띄는 오류 없이 그냥 실패합니다. v1.8.0에서 원인 불명의 VM 관리 실패를 경험했다면 이 패치가 해결책입니다. v1.8.0 클러스터라면 가능한 빨리 적용하세요.

• enhancement긴 PVC 이름을 쓰는 VMExport 파이프라인을 업그레이드 후 반드시 검증하세요

  동적 프로비저너나 네임스페이스 접두사 방식으로 PVC 이름이 길어지는 환경에서 VMExport를 백업·마이그레이션 워크플로에 활용 중이라면, 업그레이드 후 익스포트가 정상 동작하는지 확인해야 합니다. 기존 실패가 조용히 넘어가는 경우가 많아 파이프라인 이상을 놓치기 쉬웠던 만큼, 업그레이드 직후 검증을 권장합니다.

v1.20.1은 OpenShift 업그레이드 차단 버그, Gateway API의 parentRef 중복 문제, gRPC 의존성 버전 업을 처리한 패치 릴리스입니다.

• securitygRPC 버전 업은 스캐너 대응 수준 — 실제 위험 없음

  보고된 CVE는 cert-manager의 실제 코드 경로에 영향을 주지 않습니다. 다만 Trivy, Grype 같은 스캐너가 v1.20.0을 플래그하고 있었다면 v1.20.1로 업그레이드하면 해소됩니다. 긴급성은 낮지만, 파이프라인 노이즈를 줄이고 싶다면 업그레이드할 이유는 충분합니다.

• breakingOpenShift 사용자: v1.20.0 건너뛰고 v1.20.1로 바로 업그레이드

  v1.20.0에서 order 컨트롤러의 ClusterRole에 issuer finalizer 권한이 빠진 채로 릴리스됐습니다. OpenShift는 RBAC 검증이 엄격해 이 문제가 업그레이드 자체를 막았습니다. v1.20.0 적용을 보류 중이었다면 v1.20.1로 직행하세요. 이미 v1.20.0을 적용했다면 업그레이드 후 order 컨트롤러의 ClusterRole에 finalizer 권한이 정상 포함됐는지 확인하세요.

• enhancementGateway API 사용자: parentRef 중복으로 인한 라우팅 이상 여부 점검

  issuer config와 어노테이션 양쪽에 parentRef를 지정한 설정에서 v1.20.0은 중복된 parentRef 항목을 생성했습니다. 게이트웨이 구현체에 따라 예측 불가한 동작이 발생할 수 있습니다. v1.20.1로 업그레이드한 뒤, 두 방식을 동시에 쓰던 Certificate 리소스들을 점검해 중복이 제거됐는지 확인하세요.

Argo CD v3.3.6은 앱 정규화 중 잘못된 diff 감지와 캐시에서 잘못된 설치 ID가 반환되는 두 가지 버그를 수정한 패치 릴리스입니다.

• breaking불필요한 동기화 루프 발생 시 즉시 업그레이드

  변경사항이 없는 앱에서 phantom diff가 감지되거나 동기화가 반복적으로 트리거되고 있다면, 이번 패치가 해당 문제의 원인인 정규화 버그를 수정합니다. 알림 노이즈와 불필요한 리소스 낭비로 이어질 수 있는 문제이므로 3.3.x 사용 중이라면 빠르게 3.3.6으로 업그레이드하세요.

• enhancement스키마·API 변경 없음 — 즉시 적용 가능

  마이그레이션 작업이나 설정 변경 없이 기존 배포 프로세스대로 업그레이드하면 됩니다. 3.3.x 버전을 사용 중이라면 별도의 주의사항 없이 바로 적용하세요.

Emissary v4.0.1은 distroless 이미지와 순정 Envoy 1.36.2 기반으로 새로 구성된 Emissary 4의 실질적 첫 릴리스로, 업그레이드 전 반드시 확인해야 할 호환성 변경 사항이 다섯 가지입니다.

• securityCVE 패치 포함 — 보안 목적만으로도 업그레이드할 이유 충분

  의존성 다수와 Python 인터프리터를 CVE 해소 목적으로 업데이트했습니다. 릴리스 노트에 CVE 번호가 명시되어 있지 않으므로, 구체적인 내용은 CHANGELOG를 직접 확인하세요. 이전 버전을 운영 중이라면 보안 패치만을 위해서라도 4.0.1로 올릴 이유가 충분합니다. 다만 호환성 변경 사항 대응 작업을 같은 유지보수 창에 묶어서 처리하는 게 효율적입니다.

• breaking업그레이드 전 다섯 가지 호환성 변경 사항 전수 점검

  메이저 버전 변경인 만큼 호환성 변경 사항이 다섯 가지나 됩니다. 업그레이드 전 체크리스트: (1) Helm 저장소 URL을 GHCR로 변경하고 차트 버전을 4.0.1로 고정합니다. (2) v1 또는 v2 CRD를 사용 중이라면 values 파일에 enableLegacyVersions: true를 반드시 추가하세요. (3) diagd 설정에서 --metrics-endpoint 플래그를 제거합니다. (4) 배너 엔드포인트 설정을 AMBASSADOR_DIAGD_BANNER_ENDPOINT 환경 변수로 이전합니다. (5) Edge Stack의 커스텀 에러 응답이나 헤더 케이스 기능에 의존하는 부분이 없는지 확인하세요. 순수 Emissary 사용자라면 대부분 문제없지만, 확인은 필요합니다.

• enhancementARM64 클러스터에서 멀티아치 이미지 바로 활용 가능

  Emissary 4는 amd64와 arm64를 모두 지원하는 멀티아치 Docker 이미지를 제공합니다. Graviton이나 Ampere 기반 노드가 포함된 혼합 아키텍처 클러스터를 운영 중이라면, 커스텀 빌드나 nodeAffinity 설정 없이 그대로 배포할 수 있습니다.

OPA v1.15.0은 파일 로테이션을 지원하는 플러그인 로깅 시스템을 추가하고, 커스텀 HTTPAuthPlugin 동작 방식을 변경하며, AWS Web Identity 자격 증명 지원을 확장했습니다.

• breaking업그레이드 전 커스텀 HTTPAuthPlugin 구현 코드 반드시 점검

  커스텀 HTTPAuthPlugin을 구현한 경우, NewClient()는 이제 Client 인스턴스당 한 번만 호출됩니다. 요청 카운터, 트랜스포트 래핑, 로깅 등 요청별 로직이 NewClient()에 있다면 조용히 오동작하게 됩니다. 업그레이드 전에 플러그인 코드를 검토하고 모든 요청별 로직을 Prepare()로 옮겨야 합니다. OPA 내장 플러그인은 이미 수정되었으므로 커스텀 플러그인을 운영하는 팀만 영향을 받습니다.

• enhancementfile_logger 플러그인으로 OPA 로그 관리 통합

  새로운 file_logger 플러그인은 구조화된 JSON 로그를 자동 로테이션과 함께 기록하며, server.logger_plugin 하나의 설정 블록으로 런타임 로그와 결정 로그를 모두 처리합니다. 현재 OPA stdout을 tailing하거나 외부 로그 shipper로 파이핑하고 있다면, 파일 로거로 전환해 운영 복잡도를 낮출 수 있습니다. HTTP 번들 엔드포인트 없이도 결정 로그를 안정적으로 수집할 수 있어 저지연 환경에 적합합니다.

• enhancementEKS 환경에서 IRSA 기반 AWS 자격 증명 네이티브 설정 가능

  EKS에서 IRSA(IAM Roles for Service Accounts)를 사용하는 경우, Web Identity 토큰을 Assume Role 자격 증명 플로우에 직접 쓸 수 있게 됐습니다. 기존에 인스턴스 프로파일 자격 증명이나 수동 토큰 주입으로 우회하던 방식을 정리하고, REST 플러그인 AWS 서명 설정에서 web identity 프로바이더를 사용하도록 업데이트하면 됩니다.

Dapr v1.17.3은 gRPC 인증 우회(CVE-2026-33186)와 TIFF OOM DoS(CVE-2026-33809) 두 CVE를 패치하고, h2c 액터 응답 데이터 유실, Placement 연쇄 장애, Scheduler 무음 중단 등 고영향 버그를 수정했습니다.

• security활성 CVE 두 건, 즉시 업그레이드 필요

  CVE-2026-33186은 gRPC 인증을 우회해 허가되지 않은 요청이 서비스에 도달할 수 있는 취약점입니다. CVE-2026-33809는 8바이트짜리 악성 TIFF 파일 하나로 사이드카가 약 4GB 메모리를 할당하다 OOM으로 크래시될 수 있습니다. 두 취약점 모두 v1.17.3에서만 수정됩니다. 우회 방법은 없으므로 긴급 패치로 처리하세요. 특히 이미지 데이터를 처리하는 Dapr 컴포넌트가 있거나 gRPC 엔드포인트를 외부에 노출하는 경우 즉각 대응이 필요합니다.

• breakingh2c + 액터 사용 환경은 v1.17.2 이후 응답 데이터 유실 여부 확인 필수

  --app-protocol h2c로 액터를 운영 중이었다면, v1.17.2부터 액터 메서드 호출이 HTTP 200을 반환하면서도 본문이 비어 있었을 수 있습니다. 오류 없이 데이터만 사라지는 방식이라 발견이 어렵습니다. v1.17.3으로 업그레이드한 뒤, v1.17.2 도입 이후 처리된 액터 응답 데이터를 감사하고 캐시나 로그에 저장된 응답이 있다면 재검증하세요.

• enhancementHA Scheduler 배포 환경: 업그레이드 후 전체 Scheduler 파드 재시작 권장

  Scheduler 무음 중단 버그는 etcd에 오래된 리더십 키를 남겨 쿼럼 수렴을 막습니다. 업그레이드 후 모든 Scheduler 파드를 동시에 재시작해 깨끗한 리더십 선출을 유도하세요. 이후 롤링 업데이트 과정에서 워크플로우 타이머, 예약 잡, 액터 리마인더가 무작위로 멈추는 현상은 더 이상 발생하지 않습니다.

gRPC v1.80.0은 TLS 개인 키 오프로드, Python EventEngine 기본 활성화, 그리고 운영 안정성에 영향을 주는 Python AsyncIO 버그 수정을 중심으로 한 릴리스입니다.

• security프로세스 메모리 내 개인 키 노출 제거 가능

  개인 키 오프로드 기능 덕분에 TLS 서명 연산을 외부에 위임할 수 있게 됐습니다. 규제 환경에서 운영 중이라면 v1.80.0으로 업그레이드하고, Python 서명자 구현 및 C++ 오프로드 경로를 활용해 인프로세스 키 저장 방식을 제거하세요.

• breakingPython EventEngine 기본 활성화 — 반드시 스테이징에서 검증 필요

  EventEngine이 기본 I/O 백엔드로 전환되면서 Python gRPC의 I/O 처리, 스레딩, fork 동작 방식이 바뀝니다. 같은 릴리스에서 fork 지원 환경 변수 기본값이 한 차례 revert(PR #41769)된 점도 눈여겨봐야 합니다. 아직 안정화 중인 영역입니다. gunicorn pre-fork 같은 패턴을 쓰는 서버라면 프로덕션 배포 전 반드시 스테이징에서 충분히 검증하세요.

• enhancementTLS 개인 키 오프로드로 보안 강화

  개인 키 오프로드 기능과 InMemoryCertificateProvider를 활용하면 개인 키를 HSM이나 KMS에 두고, 런타임 중 인증서를 교체할 수 있습니다. 컴플라이언스 요건이 있는 환경이라면 파일 기반 자격증명 로딩 방식을 새 서명자 인터페이스로 교체하는 것을 우선순위에 두세요.

Scheduler HA 환경의 치명적 버그 3건(연쇄 충돌, 파티션 무응답, Windows AKS 기동 실패)이 수정되었으며, Go 1.25.8 보안 패치도 포함됩니다.

• securityGo 1.25.8 보안 패치 — 업그레이드로 반영

  Go 1.25.8은 html/template, net/url, os 패키지의 취약점을 수정했습니다. v1.16.10 이하를 사용 중이라면 해당 취약점이 있는 바이너리를 그대로 실행하는 셈입니다. v1.16.11로 업그레이드하면 수정된 런타임이 자동으로 반영됩니다. Go 1.25.7로 빌드한 커스텀 서비스가 별도로 있다면 그쪽도 함께 재빌드하세요.

• breakingHA 모드 Scheduler 운영 중이라면 즉시 업그레이드

  v1.16.0~v1.16.10의 멀티 인스턴스 Scheduler 배포는 두 가지 장애 패턴에 노출되어 있습니다. 첫째, 높은 잡 부하에서 연쇄 충돌이 발생합니다. 둘째, 인스턴스가 파티션 리스를 유지하면서도 잡을 실행하지 않는 무음 실패가 생깁니다. 두 경우 모두 전체 Scheduler 파드 재시작 없이는 복구가 안 됩니다. Dapr Workflows나 Actor Reminder, 예약 잡을 HA로 운영 중이라면 일반적인 파드 축출이나 롤링 업데이트만으로도 워크플로우가 멈출 수 있으니 긴급 업그레이드를 권장합니다.

• breakingAKS Windows 사용자: v1.16.9부터 broken, 이번 릴리스에서 수정

  v1.16.9~v1.16.10 사이에 AKS Windows 노드에 Dapr를 배포했다면, daprd 사이드카가 계속 CrashLoopBackOff 상태였을 겁니다. Docker 매니페스트 생성 도구 변경으로 os.version 필드가 누락되면서 Windows 컨테이너 런타임이 잘못된 이미지 변형을 가져왔기 때문입니다. v1.16.11로 업그레이드하면 별도 설정 변경 없이 정상 동작이 복원됩니다.

gRPC CVE 보안 취약점 패치, 앱 정규화 시 잘못된 diff 감지 버그 수정, RollingSync UI 오류 수정이 포함된 패치 릴리스입니다. 보안 픽스만으로도 즉시 업그레이드할 이유가 충분합니다.

• securityCVE-2026-33186 패치를 위해 v3.2.8로 즉시 업그레이드하세요

  이번 릴리스에서 가장 시급한 부분은 grpc-go CVE-2026-33186 완화 패치입니다. 3.2.x 버전을 운영 중이라면 지금 바로 3.2.8로 올리세요. 업그레이드 후에는 Argo CD 공식 문서의 절차에 따라 cosign으로 컨테이너 이미지 서명을 검증하는 것도 잊지 마세요.

• breaking업그레이드 전후로 불필요한 Sync 이력을 점검하세요

  정규화 diff 버그로 인해 실제로는 동기화 상태였던 앱이 불필요하게 Sync되었을 수 있습니다. 업그레이드 후 변경사항 없이 자주 Sync된 앱의 이력을 확인해보세요. 오탐이었을 가능성이 높으며, Sync 빈도 기반으로 구성된 자동화나 알림이 있다면 기준값을 재조정해야 할 수도 있습니다.

• enhancementRollingSync UI 개선으로 Progressive Delivery 가시성이 향상됩니다

  ApplicationSet의 RollingSync를 사용 중이고 특정 스텝이 UI에서 빈 칸으로 표시되는 문제를 겪었다면, 이번 패치로 해결됩니다. 별도 조치 없이 업그레이드만 하면 되며, 이후 UI에서 RollingSync 스텝 구성이 올바르게 표시되는지 한 번 확인해보는 것이 좋습니다.

Argo CD v3.3.5는 순환 ownerRef 스택 오버플로우, 훅 실행 누락, UI 개선 등을 수정한 패치 릴리스로, 업그레이드 위험은 낮고 실익은 큽니다.

• breaking순환 ownerRef로 인한 크래시, 즉시 패치 권장

  일부 오퍼레이터나 잘못 구성된 CRD 환경에서는 리소스 간 순환 소유 참조가 생길 수 있는데, 이 경우 application-controller가 스택 오버플로우로 비정상 종료됩니다. 원인 불명의 컨트롤러 크래시를 겪었다면 이 버그가 원인일 가능성이 높습니다. 즉시 업그레이드하세요.

• breakingPostSync 훅 누락 문제 확인 후 파이프라인 검증 필요

  같은 앱에 PreDelete 또는 PostDelete 훅과 PostSync 훅이 함께 설정된 경우, PostSync 훅이 조용히 실행되지 않는 버그가 있었습니다. 알림, 정리 작업, 검증 등을 PostSync 훅으로 처리하는 파이프라인이 있다면 업그레이드 후 정상 실행 여부를 반드시 확인하세요.

• enhancementgrpc 1.79.3 업그레이드 — 보안 민감 환경에서는 변경 내역 확인

  grpc가 1.77.0에서 1.79.3으로 올라갔습니다. 업그레이드 자체로 별도 조치는 불필요하지만, 보안 요구사항이 엄격한 환경이라면 해당 버전 범위의 grpc 릴리스 노트에서 CVE 수정 여부를 검토하는 게 좋습니다.

Chaos Mesh v2.8.2는 Go 및 UI 패키지 전반의 CVE를 해소하는 보안 패치 릴리스로, install.sh 제거 및 cert-manager 웹훅 충돌 버그 수정도 포함합니다.

• securityCVE 대응 목적의 릴리스 — 즉시 업그레이드 필요

  이번 릴리스는 Go와 UI 전체 직접 의존성을 일괄 업그레이드해 CVE를 해소했습니다. 릴리스 노트에 구체적인 CVE ID는 명시되지 않았지만, 대상 범위가 '모든 직접 의존성'인 만큼 노출 범위가 넓을 수 있습니다. 특히 Chaos Mesh 대시보드가 외부 또는 내부 비신뢰 사용자에게 노출된 클러스터라면 v2.8.1 이하 버전에서 즉시 업그레이드하세요.

• breakinginstall.sh 참조 제거 — 파일 자체가 삭제됨

  단순 사용 중단(deprecated) 수준이 아니라 파일이 완전히 삭제됐습니다. install.sh를 호출하는 CI/CD 파이프라인, 런북, 온보딩 문서가 있다면 업그레이드 즉시 오류가 발생합니다. 업그레이드 전에 관련 자동화 스크립트와 내부 문서를 Helm 차트 또는 공식 퀵스타트 가이드 기준으로 먼저 수정하세요.

• enhancementcert-manager 사용 환경에서 SSA 충돌 해소 확인 필요

  cert-manager로 웹훅 인증서를 관리하는 경우, 웹훅 템플릿의 caBundle 플레이스홀더가 서버사이드 어플라이(SSA)의 필드 소유권 충돌을 유발했습니다. 조용히 재조정(reconciliation)을 망가뜨리는 유형의 버그입니다. v2.8.2로 업그레이드한 뒤 Helm 릴리스 또는 매니페스트를 다시 적용해 SSA가 필드 소유권을 깔끔하게 재계산하도록 해주세요. 웹훅 인증서 오류나 Helm diff 노이즈가 반복됐다면 이 문제가 원인이었을 가능성이 높습니다.

Rook v1.19.3은 CSI 배포 방식 변경, EC 풀 관리 개선, OSD 암호화 수정, RGW IPv6 버그 수정 등 실무에 직접 영향을 미치는 패치들을 담고 있습니다.

• breakingCSI 배포 방식이 ceph-csi-operator로 전환 — 기존 커스터마이징 확인 필수

  이번 변경으로 Ceph-CSI/NVMe-oF 배포가 ceph-csi-operator를 통해 관리됩니다. ceph-csi-operator는 자체 CRD와 reconcile 루프를 갖기 때문에, 기존에 CSI DaemonSet이나 Deployment에 직접 적용한 커스텀 설정이 업그레이드 후 덮어써질 수 있습니다. 업그레이드 전에 CSI 관련 설정을 검토하고, 필요한 커스터마이징은 operator 방식에 맞게 재적용 계획을 세우세요.

• enhancement암호화 OSD 운영 중이라면 lockbox 키 로테이션 수정 즉시 적용을

  암호화 OSD의 lockbox 키 로테이션 버그는 시간이 지남에 따라 암호화 상태가 불일치할 수 있는 문제였습니다. 암호화 OSD를 사용 중이라면 v1.19.3으로 업그레이드한 뒤 키 로테이션이 정상 동작하는지 확인하세요. OSD 교체나 키 로테이션 작업 중 이상 동작을 경험했다면 더욱 서둘러 적용할 필요가 있습니다.

• enhancementIPv6 환경의 RGW 사용자라면 시크릿 재생성 필요

  오브젝트 스토어 사용자 시크릿에 IPv6 주소가 잘못된 형식으로 저장되는 버그가 수정되었습니다. IPv6 전용 또는 dual-stack 환경에서 RGW를 운영 중이라면, 업그레이드 후 영향받는 오브젝트 스토어 사용자를 재생성하거나 reconcile하여 올바른 형식의 시크릿이 적용되도록 하세요.

Rook v1.18.10은 OSD 안정성 버그 수정, RBAC 권한 축소, Ceph 익스포터 및 NFS 운영 개선에 집중한 패치 릴리스입니다.

• security업그레이드 후 Rook RBAC 확인 필요 — nodes/proxy 권한 삭제됨

  오퍼레이터의 nodes/proxy RBAC 권한이 제거됐습니다. Rook 오퍼레이터 ServiceAccount에 해당 권한이 있다고 가정하는 커스텀 모니터링 도구나 파이프라인이 있다면 업그레이드 후 조용히 깨질 수 있습니다. 프로덕션 적용 전에 오퍼레이터 ServiceAccount를 사용하는 도구와 대시보드를 먼저 점검하세요.

• breaking암호화 OSD 사용 클러스터는 업그레이드 후 키 로테이션 검증 필요

  암호화 OSD의 lockbox 키 로테이션 로직이 변경됐습니다. 비프로덕션 환경에서 먼저 업그레이드한 뒤 키 로테이션이 정상 동작하는지 직접 확인하세요. CephX 키 초기화 시 실패해도 기존 키를 보존하는 동작 변경도 에러 복구 시나리오에 영향을 줄 수 있으므로, 기존에 문서화된 장애 복구 절차도 함께 재검증하는 것이 좋습니다.

• enhancementCephNFS에서 커스텀 이미지 지정 가능 — 매니페스트 업데이트 고려

  spec.server.image와 spec.server.imagePullPolicy 필드가 새로 생겨서 CephNFS 리소스별로 NFS Ganesha 이미지를 직접 지정할 수 있습니다. 규정 준수 목적으로 이미지를 고정하거나 패치된 이미지를 테스트해야 할 때 유용합니다. 기존에 우회 방법을 쓰고 있었다면 CephNFS 매니페스트를 정리할 좋은 시점입니다.

KubeVirt v1.8.0은 1,242개의 변경사항을 담은 대형 릴리스로, 새로운 VM 백업 API, VMPool 자동복구, 컨테이너패스 볼륨 등을 추가하고 일부 네트워크 바인딩을 완전 제거했습니다.

• breaking업그레이드 전 SLIRP·Macvtap 바인딩 사용 VM 확인 및 전환

  SLIRP와 Macvtap 코어 바인딩이 v1.8.0에서 완전히 삭제됐습니다. 클러스터 내 해당 바인딩을 사용하는 VM이 있으면 업그레이드 후 즉시 장애가 발생합니다. 지금 VM 스펙을 전수 조사해 passt 또는 bridge 바인딩으로 전환하고, 프로덕션 적용 전 비프로덕션 환경에서 반드시 검증하세요.

• breaking마이그레이션 및 vCPU 메트릭명 변경 — 대시보드 일괄 수정 필요

  kubevirt_vmi_migration_data_total_bytes는 deprecated 처리됐고, vCPU 레코딩 룰도 kubevirt_vmi_vcpu_count에서 vmi:kubevirt_vmi_vcpu:count로 바뀌었습니다. Grafana 대시보드, Prometheus 알림 규칙, 레코딩 룰에서 두 메트릭을 함께 찾아 교체하세요. 업그레이드 후에 고치면 모니터링 공백이 생깁니다.

• enhancementdisabledFeatureGates로 피처 게이트 명시적 잠금 적용

  이제 피처 게이트를 단순히 설정하지 않는 방식이 아니라, disabledFeatureGates 목록에 명시해 강제로 비활성화할 수 있습니다. 규제 환경이나 GitOps로 KubeVirt 설정을 관리하는 팀이라면, 허용하지 않을 알파·베타 피처를 이 목록에 추가해 감사 추적이 가능한 형태로 관리하세요.

v2.12.6은 MQTT, JetStream, WebSocket, 리프노드, mTLS 등 핵심 서브시스템에서 CVE 11건을 수정한 긴급 보안 릴리스입니다. 2.12.5에서 발생한 JetStream 컨슈머 할당 손실 회귀 버그도 함께 수정됐습니다.

• security즉시 업그레이드 필요 — 핵심 서브시스템 전반에 CVE 11건 패치

  이번 릴리스는 MQTT(3건), JetStream(2건), 리프노드(2건), WebSocket(1건), mTLS(1건), 커맨드라인 자격증명(1건), 퍼블리시 권한(1건)에 걸친 CVE를 모두 수정합니다. 이 기능들을 프로덕션에서 하나라도 사용 중이라면 구버전을 유지할 이유가 없습니다. 자신의 배포 환경에서 영향 받는 서브시스템을 확인하고 MQTT·리프노드 사용자는 특히 빠르게 적용하세요.

• breakingJWT 크기 1MB 제한이 신규 적용됨

  1MB를 초과하는 JWT는 거부됩니다. 대부분의 환경에는 영향이 없지만, 대규모 권한 세트나 복잡한 계정 구조로 JWT를 발급하는 경우 업그레이드 전에 JWT 크기를 반드시 확인하세요. 오퍼레이터 JWT와 동적으로 발급되는 자격증명을 점검하는 것이 좋습니다.

• breaking2.12.5에서 JetStream 컨슈머 할당 무음 유실 가능 — 업그레이드 후 확인 필수

  2.12.5의 회귀 버그로 인해 비동기 스냅샷을 사용하는 클러스터 환경에서 스트림 업데이트 시 컨슈머 할당이 조용히 사라질 수 있었습니다. 2.12.5 클러스터 JetStream을 운영 중이라면 업그레이드 전후로 컨슈머 수를 비교해 데이터 손실 여부를 확인하세요. 이번 릴리스 주기에서 운영 측면에서 가장 위험한 버그입니다.

v2.11.15는 MQTT, 리프노드, WebSocket, JetStream, mTLS에 걸쳐 CVE 11건을 패치하는 긴급 보안 릴리스입니다. 해당 기능을 사용 중이라면 즉시 업그레이드해야 합니다.

• securityCVE 11건 — 즉시 업그레이드 필수

  이번 릴리스는 NATS의 주요 기능 전반에 걸친 CVE를 패치합니다. MQTT 사용자의 노출 범위가 가장 넓은데, 모니터링 엔드포인트에서의 비밀번호 유출, 클라이언트 ID 불일치를 이용한 세션 탈취, 잘못된 패킷으로 인한 패닉이 모두 포함됩니다. WebSocket 배포 환경에서는 DoS에 악용될 수 있는 무제한 메모리 할당 경로가 있었고, 리프노드와 mTLS도 별도 취약점이 수정됐습니다. 개발, 스테이징, 프로덕션 전 클러스터를 v2.11.15로 올리세요.

• breakingMQTT 클라이언트 ID 문자 제한 — 기존 클라이언트 연결 불가 가능성

  MQTT 클라이언트 ID에 NATS 특수문자(`.`, `>`, `*`, 공백, 탭)가 포함되면 연결이 거부됩니다. IoT 기기 명명 규칙에 이 문자를 쓰는 경우가 많으니 업그레이드 전 전체 클라이언트 ID를 점검하세요. 아울러 기존에 더 넓은 범위로 허용되던 암묵적 권한이 `$MQTT.sub.*`와 `$MQTT.deliver.pubrel.*`로 축소됐으니, 이에 의존하는 클라이언트가 있다면 권한 설정을 재검토해야 합니다.

• enhancement트레이스 로그와 모니터링 엔드포인트의 시크릿 자동 마스킹

  이전까지는 커맨드라인 시크릿이 expvar 모니터링 출력과 트레이스 로그에 그대로 노출됐습니다. 이제 자동으로 마스킹됩니다. 모니터링 포트를 스크래핑하거나 트레이스 로그를 외부 시스템(로그 수집기, SIEM 등)으로 전송해왔다면, 과거 수집 데이터에 시크릿이 포함됐을 수 있으니 데이터 로테이션이나 삭제를 검토하세요. 추가 설정 없이 자동 적용됩니다.

Knative v1.21.2는 TLS 설정 개선 한 건과 v1.22에서 secure-pod-defaults 기본값 변경 예고를 담은 소규모 패치 릴리스입니다.

• breakingv1.22 업그레이드 전 루트 의존 워크로드 점검 필수

  v1.22부터 AllowRootBounded가 secure-pod-defaults의 기본값이 됩니다. 루트 권한이 필요한 컨테이너(레거시 앱, 특정 베이스 이미지 등)는 업그레이드 후 동작하지 않을 수 있습니다. 지금 v1.21 환경에서 AllowRootBounded를 명시적으로 활성화해 해당 워크로드를 테스트하세요. 문제가 생긴다면 v1.22 업그레이드 전에 config-features ConfigMap에서 secure-pod-defaults를 'disabled'로 설정해두세요. 업그레이드 당일까지 미루지 마세요.

• enhancementknative.dev/pkg/network/tls 전환으로 TLS 제어 강화

  공유 라이브러리인 knative.dev/pkg/network/tls로 전환되면서 Serving의 TLS 설정 유연성이 높아졌습니다. 내부 PKI 정책이 있거나 암호 스위트·최소 TLS 버전을 정책으로 강제하는 환경이라면, 이번 변경이 기존 TLS 동작에 영향을 주는지 확인해보세요.

Contour v1.33.3은 Envoy를 v1.35.9로, grpc-go를 v1.79.3으로 올린 보안 패치 릴리스이며, 예제 매니페스트 정리가 포함됩니다.

• securityEnvoy 보안 수정을 위해 즉시 업그레이드 검토

  이번 릴리스의 핵심은 Envoy v1.35.9 업그레이드입니다. 데이터 플레인의 실질적인 보안 취약점을 수정하므로, 외부 트래픽에 노출된 클러스터라면 빠르게 롤아웃 계획을 잡으세요. grpc-go의 CVE-2026-33186은 Contour에는 영향이 없지만, Envoy 수정만으로도 업그레이드 이유는 충분합니다.

• breaking커스텀 매니페스트에서 hostPort: 8002 의존성 확인

  예제 매니페스트를 복사하거나 확장해서 사용 중이고, 노드에서 직접 Envoy 메트릭을 수집하는 데 hostPort: 8002를 사용하고 있다면 주의가 필요합니다. 업스트림 예제에서 해당 설정이 삭제됐으므로, 업그레이드 전에 매니페스트와 모니터링 파이프라인에 이 설정이 남아 있는지 먼저 확인하세요.

Contour v1.32.4는 보안 패치 릴리스로, Envoy를 v1.34.13으로, grpc-go를 CVE-2026-33186 대응 버전으로 업그레이드하고 예시 매니페스트를 소폭 정리했습니다.

• securityEnvoy 보안 수정을 위해 즉시 업그레이드하세요

  이번 릴리스의 핵심은 Envoy v1.34.13 업데이트입니다. 이 버전 범위의 Envoy 릴리스에는 보안 수정이 포함되어 있으므로, Envoy v1.34.13 체인지로그를 직접 확인해 실제 트래픽 패턴에 영향을 주는 CVE가 있는지 파악하세요. grpc-go CVE-2026-33186은 Contour에 직접 영향을 주지 않지만, 의존성 그래프 정리 차원에서라도 업그레이드를 서두르는 게 낫습니다.

• breakinghostPort 8002를 참조하는 커스텀 매니페스트를 확인하세요

  예시 매니페스트에서 Envoy 메트릭 컨테이너의 hostPort 8002가 제거됐습니다. 업스트림 매니페스트를 기반으로 배포 파이프라인을 구성했다면 diff에서 이 변경이 나타납니다. 더 중요한 건, Prometheus 스크레이프 설정이나 방화벽 규칙에서 해당 호스트 포트를 직접 참조하고 있다면, 업그레이드 전에 ClusterIP 서비스나 파드 IP 등 대체 경로로 메트릭 엔드포인트에 접근 가능한지 먼저 확인해야 합니다.

Contour v1.31.5는 보안·안정성 패치 릴리스입니다. Envoy v1.34.13 업그레이드, CVE-2026-33186 대응 grpc-go 업데이트, 예시 매니페스트 소폭 정리가 포함됩니다.

• securityEnvoy 보안 픽스 포함 — 업그레이드를 미루지 마세요

  Envoy v1.34.13에는 보안 취약점 수정이 포함되어 있습니다. 릴리스 노트에 개별 CVE가 명시되지 않았지만, .13 포인트 릴리스 수준의 Envoy 패치는 가볍게 볼 수 없습니다. 커스텀 Envoy 설정이 많다면 스테이징에서 먼저 검증 후 운영에 반영하되, 업그레이드 자체는 빠르게 진행하세요.

• securityCVE-2026-33186: 패치 완료, Contour는 직접 영향 없음

  grpc-go v1.79.3 업데이트로 CVE-2026-33186이 패치됐지만, Contour 코드는 취약한 경로를 사용하지 않습니다. 다만 Contour 바이너리에 해당 의존성이 번들되므로 업그레이드하면 자연스럽게 포함됩니다. 긴급 배포까지는 불필요하고, 다음 정기 유지보수 시 적용하면 됩니다.

• breakingEnvoy 메트릭 hostPort 8002 제거 — 커스텀 매니페스트 확인 필요

  예시 매니페스트에서 Envoy 메트릭 hostPort: 8002가 삭제됐습니다. Contour 공식 예시를 기반으로 매니페스트를 구성하고 호스트 레벨 메트릭 스크래핑을 이 포트에 의존하고 있다면, 스크래핑 설정과 매니페스트를 함께 수정해야 합니다. Helm 또는 Operator로 배포한 경우라면 대부분 영향이 없지만, 명시적으로 템플릿에 추가한 케이스는 점검하세요.

OpenFGA v1.13.0은 AuthZen v1.0 표준 지원, Check v1/v2 캐시 분리, 리졸버 패닉 처리 강화를 주요 변경사항으로 담았습니다.

• security리졸버 패닉으로 인한 서버 다운 위험 — 즉시 업그레이드 권장

  파이프라인 기본 리졸버에서 처리되지 않은 패닉이 발생하면 OpenFGA 프로세스 전체가 종료될 수 있었습니다. 이번 수정으로 패닉이 에러로 변환되어 서버가 계속 실행됩니다. 복잡한 권한 그래프 평가 중 OpenFGA가 예기치 않게 재시작되는 문제를 겪었다면 바로 이 원인입니다. 가용성에 직접 영향을 주는 수정이므로 빠른 업그레이드를 권장합니다.

• breakingCheck v1/v2 캐시 분리로 캐시 히트율 변동 가능 — 용량 설정 재검토 필요

  기존에는 Check v1과 v2가 캐시를 공유했는데, 이제 완전히 분리됩니다. 두 API 버전을 동시에 사용하는 환경이라면 전체 캐시 히트율이 낮아지거나 메모리 사용 패턴이 달라질 수 있습니다. 업그레이드 후 캐시 용량 설정을 재확인하고, 모니터링 대시보드에서 캐시 히트율 지표를 주의 깊게 살펴보세요.

• enhancementAuthZen v1.0으로 크로스 시스템 권한 부여 연동 검토

  AuthZen v1.0은 CNCF 생태계 전반의 권한 부여 API 상호운용 표준으로 자리잡는 중입니다. 여러 정책 엔진을 연동하거나 멀티 시스템 권한 부여 레이어를 구성 중이라면, 이번 릴리스에서 새로운 AuthZen 엔드포인트를 먼저 테스트해 보세요. 지금 도입하면 나중에 구조를 뜯어고치지 않아도 생태계 방향과 자연스럽게 맞춰집니다.

Cilium v1.19.2는 안정성 중심의 패치 릴리스입니다. IPSec 키 교체 레이스 컨디션, L7 LB 정책 우회, ClusterMesh 고루틴 누수, Envoy 어드민 소켓 보안 문제 등이 수정됐습니다.

• securityEnvoy 어드민 소켓 노출 문제 — 즉시 업그레이드

  Envoy 어드민 소켓이 노드의 모든 사용자에게 접근 가능한 상태로 생성되고 있었습니다. 같은 노드의 워크로드라면 누구든 Envoy 어드민 API를 호출할 수 있는 상황이었습니다. L7 정책이나 Envoy 기반 기능을 쓰고 있다면 v1.19.2로 즉시 업그레이드하세요. 별도 설정 변경 없이 바이너리 교체만으로 해결됩니다.

• securityIPSec 키 교체 중 패킷 드롭 레이스 컨디션 수정

  IPSec 키 교체 과정에서 피어가 새 키를 먼저 사용하기 시작할 때 로컬 XFRM 상태가 준비되지 않아 패킷이 조용히 드롭되는 문제가 있었습니다. IPSec 암호화와 롤링 키 교체를 함께 사용 중이라면 원인 불명의 연결 끊김을 경험했을 가능성이 높습니다. 업그레이드 후 키 교체 절차를 재검토하세요. 이번 수정에서 교체 흐름 로깅도 추가되어 향후 가시성이 개선됩니다.

• breakingL7 LB 인그레스 정책 우회 수정 — 트래픽 동작 재확인 필요

  L7 로드밸런싱이 활성화된 상태에서 로컬 백엔드에 대한 인그레스 정책이 우회되는 버그가 있었습니다. L7 LB와 Cilium 네트워크 정책을 함께 사용하고 있다면, 의도한 정책이 실제로는 적용되지 않았을 수 있습니다. v1.19.2 업그레이드 후 정책 의도에 맞게 트래픽이 동작하는지 반드시 확인하세요. 올바른 정책 적용이 복원되면서 기존과 다른 트래픽 패턴이 관찰될 수 있습니다.

Cilium v1.18.8은 버그 수정 패치지만, GKE 사용자는 XDP 회귀 문제로 이 버전을 반드시 건너뛰어야 합니다.

• securityEnvoy 어드민 소켓 권한 노출 — 즉시 업그레이드 필요

  Envoy 어드민 소켓이 world-readable/writable 권한으로 생성되어, 노드상의 모든 프로세스가 접근할 수 있었습니다. v1.18.8에서 수정됐습니다. L7 정책이나 Envoy 기반 기능을 사용 중이라면 빠르게 업그레이드하세요. 기존 노드에서는 /var/run/cilium/envoy/sockets/ 경로의 소켓 권한을 직접 확인해 보는 것이 좋습니다.

• breakingGKE 사용자: v1.18.8 배포 금지

  XDP jumbo MTU 지원(PR #44499)이 GKE 환경에서 회귀를 일으킵니다. GKE 클러스터라면 이 버전은 건너뛰고 v1.19.2로 직접 업그레이드하세요. v1.18.8을 GKE에 배포하면 네트워크 장애가 발생할 수 있습니다. 다른 환경의 사용자는 영향받지 않습니다.

• enhancementL7 LB 정책 우회 및 FQDN SNI 수정 — 정책 적용 신뢰성 개선

  정책 집행 관련 버그 두 가지가 수정됐습니다. 첫째, L7 LB 환경에서 로컬 백엔드가 인그레스 정책을 우회할 수 있었습니다. 둘째, SNI 기반 매칭 사용 시 와일드카드 FQDN 정책이 Envoy로 전달되지 않는 문제가 있었습니다. L7 로드밸런싱이나 SNI FQDN 네트워크 정책을 운영 중이라면 실질적인 보안 허점이 닫히는 만큼 업그레이드를 우선순위에 두세요.

v2.0.1은 runtime-operator Go 모듈의 v2 경로 마이그레이션, 프로토 재생성, 임시 go.work 우회 코드 제거를 담은 정리성 패치 릴리스입니다.

• breakingruntime-operator Go 모듈을 직접 임포트한다면 경로 수정 필요

  runtime-operator의 Go 모듈 경로가 v2로 변경됐습니다. 이 모듈을 직접 임포트하는 Go 코드가 있다면 import 경로에 /v2 접미사를 추가해야 합니다. wasmCloud를 오퍼레이터로만 실행하고 모듈을 직접 임포트하지 않는다면 별도 조치는 불필요합니다.

• enhancementv2.0.0에서 proto 또는 lint 문제를 겪었다면 이 패치로 업그레이드하세요

  프로토 재생성과 임시 go.work shim 제거가 포함되어 있어, v2.0.0 기준으로 오퍼레이터를 소스 빌드하던 경우 의존성 해석 오류나 낡은 proto 문제가 해소됩니다.

wasmCloud v2.0.0이 정식 출시됐습니다. HTTP/2·gRPC 지원, OpenTelemetry 메트릭, wasmtime 42 업그레이드, RUSTSEC-2026-0007 보안 패치가 포함됩니다.

• securityRUSTSEC-2026-0007 패치 — 즉시 업그레이드 필요

  v2.0.0 이전 빌드를 사용 중이라면 이 취약점 패치만으로도 업그레이드 이유가 충분합니다. cargo-audit이나 Dependabot을 통해 취약한 의존성이 실제로 해소됐는지 환경 내에서 직접 확인하세요.

• breakingHelm 사용자 필독: CRD 경로 변경, GitOps 파이프라인 점검 필요

  CRD 위치가 templates/crds에서 최상위 /crds 디렉토리로 바뀌었습니다. ArgoCD, Flux, 또는 기존 Helm 기반 GitOps 파이프라인이 이전 경로를 참조하고 있다면 업그레이드 즉시 배포가 깨집니다. 업그레이드 전에 Helm 릴리스 설정과 CI/CD 스크립트를 반드시 수정하세요.

• enhancement지금 바로 메트릭 수집 설정 — v2의 관측 가능성을 활용하세요

  OpenTelemetry 메트릭이 기본 포함됐습니다. 이미 OTEL 콜렉터를 운영 중이라면 wasmCloud v2를 연결해 런타임 메트릭 수집을 시작하세요. 프로덕션 전환 후가 아니라 지금, 기준 대시보드를 잡아두는 게 맞는 순서입니다.

etcd v3.6.9은 유지보수 릴리스입니다. 공개된 릴리스 노트에 변경 사항이 기재되어 있지 않으므로, 업그레이드 전 반드시 전체 CHANGELOG를 확인해야 합니다.

• breaking업그레이드 전 CHANGELOG 직접 확인 — 릴리스 노트만으로는 부족

  v3.6.9 릴리스 노트에는 변경 내역이 전혀 없습니다. etcd 클러스터를 업그레이드하기 전에 CHANGELOG-3.6.md를 직접 열어 현재 버전 이후 항목을 꼼꼼히 확인하세요. 3.6 시리즈에는 브레이킹 체인지가 포함될 수 있고, etcd는 상태 저장 시스템이라 이 단계를 건너뛰면 실제 장애로 이어질 수 있습니다.

• enhancementquay.io에서 이미지를 받는다면 버전 일치 여부 검증 필요

  etcd의 기본 레지스트리는 gcr.io/etcd-development/etcd입니다. 파이프라인이 quay.io/coreos/etcd를 사용한다면, 해당 이미지가 gcr.io 이미지와 다이제스트 수준에서 일치하는지 확인하세요. 보조 레지스트리는 업데이트가 늦을 수 있습니다. 태그만 핀닝하는 것으로는 부족하고, 다이제스트로 고정해야 버전 불일치를 막을 수 있습니다.

etcd v3.5.28은 3.5 시리즈의 패치 릴리스입니다. 릴리스 노트 내용이 빈약하므로, 업그레이드 전 반드시 전체 CHANGELOG를 확인해야 합니다.

• breaking릴리스 노트가 불완전하므로 CHANGELOG를 직접 확인할 것

  v3.5.28 릴리스 노트에는 실제 변경 내용이 전혀 없습니다. etcd 클러스터를 업그레이드하기 전, 반드시 저장소의 CHANGELOG-3.5.md를 열어 현재 버전 이후 항목을 직접 검토하세요. etcd는 상태 저장 시스템인 만큼 이 단계를 건너뛰는 건 실질적인 위험입니다.

• enhancement컨테이너 이미지는 기본 레지스트리에서 받을 것

  gcr.io/etcd-development/etcd가 공식 이미지 소스입니다. quay.io/coreos/etcd는 보조 레지스트리로 업데이트가 늦을 수 있습니다. 현재 quay.io에서 이미지를 받고 있다면, 운영 환경 배포 전 이미지 다이제스트가 기본 레지스트리와 일치하는지 반드시 검증하세요.

etcd v3.4.42는 3.4 브랜치의 유지보수 릴리스입니다. 릴리스 노트 자체에는 변경 내용이 거의 없으므로, 업그레이드 전에 전체 CHANGELOG를 반드시 확인하세요.

• breaking패치 릴리스라도 업그레이드 가이드 확인 필수

  릴리스 노트에 명시적으로 Breaking Change 가능성이 언급되어 있습니다. 3.4.x 패치 버전이라 가능성은 낮지만, 스냅샷이나 WAL 처리 관련 변경이 포함될 수 있습니다. 프로덕션 클러스터에 적용하기 전에 해당 버전의 업그레이드 가이드를 반드시 검토하세요.

• enhancement업그레이드 전 전체 CHANGELOG 직접 확인

  공개된 릴리스 노트에는 변경 내용이 사실상 없습니다. 어떤 버그 픽스나 패치가 포함됐는지 파악하려면 etcd 저장소에서 CHANGELOG-3.4.md를 직접 확인하세요. 합의 저장소를 내용도 모른 채 업그레이드하는 건 피해야 합니다.

Harbor v2.15.0은 프록시 캐시 연결 제한, 엔드포인트별 CA 인증서, Cosign v3 지원과 함께 베어러 토큰 보안 취약점 수정 및 Trivy 공급망 사고 대응 업데이트를 포함합니다.

• security즉시 업그레이드 필요: Trivy 공급망 사고 및 베어러 토큰 우회 취약점

  이번 릴리스에 보안 이슈 두 건이 포함되어 있습니다. Trivy 공급망 사고로 인해 v0.69.3으로 긴급 업데이트됐으므로, 다음 스캔 실행 전에 반드시 적용해야 합니다. 베어러 토큰 수정은 프로젝트 생성 이전에 발급된 토큰을 거부하는 인가 우회 패치입니다. 두 이슈 모두 정기 유지보수를 기다리지 말고 빠르게 업그레이드하는 것을 권장합니다.

• breakingGCR 복제 어댑터 제거 — 업그레이드 전 기존 복제 규칙 마이그레이션 필수

  Google Container Registry 어댑터가 완전히 제거됐습니다. GCR을 대상으로 하는 복제 규칙이 있다면 업그레이드 후 조용히 실패하게 됩니다. v2.15.0 업그레이드 전에 해당 규칙을 Artifact Registry(GAR) 엔드포인트로 전환하세요. GCR을 바라보는 프록시 캐시 프로젝트도 동일하게 재구성이 필요합니다.

• enhancement프록시 캐시 업스트림 연결 수 제한으로 레이트 리밋 충돌 방지

  새로운 `max_upstream_conn` 파라미터로 프록시 캐시 프로젝트별 아웃바운드 연결 수를 조절할 수 있습니다. Docker Hub처럼 레이트 리밋이 있는 레지스트리나 자체 호스팅 레지스트리를 풀스루 캐시로 사용 중이라면, 업그레이드 후 UI나 API로 프로젝트별 연결 수를 적절히 설정하세요.

v1.12.1은 OTLP 엔드포인트 URI 파싱 버그를 수정하고, ListObjects 파이프라인 내부를 Go 네이티브 채널로 교체한 유지보수 릴리스입니다.

• breakinghttps:// 스킴 설정 시 TLS 강제 활성화 — 설정 점검 필요

  OTEL_EXPORTER_OTLP_ENDPOINT에 https:// 스킴을 사용하면 trace.otlp.tls.enabled 값과 무관하게 TLS가 활성화됩니다. 업그레이드 전에 옵저버빌리티 설정을 점검하세요. https:// 엔드포인트를 쓰면서 TLS를 명시적으로 비활성화해뒀던 환경이라면, 이제 TLS가 켜지므로 콜렉터 쪽도 TLS 연결을 받을 수 있는지 확인해야 합니다.

• enhancementOTLP URI 스킴 문제 해결 — 우회 설정 정리 가능

  기존에는 http://host:4317 형태의 URI를 그대로 넣으면 gRPC 익스포터에 스킴이 그대로 전달돼 오류가 발생했습니다. 스킴을 생략하는 식으로 우회하고 있었다면, 이제 표준 URI 형식을 그대로 써도 됩니다. 배포 설정에서 우회 로직을 제거하고 표준 형식으로 정리하세요.

• enhancementListObjects 성능 개선 — 별도 조치 없이 업그레이드만으로 효과

  커스텀 Pipe를 Go 네이티브 채널로 대체하면서 ListObjects의 동시 처리 성능이 개선됐습니다. API나 설정 변경은 없습니다. 튜플 검증 로직 리팩터링 효과까지 더해져, ListObjects를 대량으로 호출하는 환경이라면 이번 패치를 적용할 이유가 충분합니다.

Dapr v1.17.2는 Go 표준 라이브러리 CVE 3건 수정, CRD 수동 업데이트가 필요한 브레이킹 체인지, 대규모 액터 배포의 배치 장애 및 스트리밍 OOM 문제를 포함한 긴급 패치입니다.

• securityGo 표준 라이브러리 CVE 3건 — 즉시 업그레이드 필요

  Go 1.24.x에서 net/url의 IPv6 SSRF(GO-2026-4601), os.Root 경로 탈출(GO-2026-4602), html/template XSS(GO-2026-4603)가 발견됐습니다. 사용자 입력 URL을 처리하거나 템플릿 렌더링이 관련된 서비스라면 실질적인 위험이 있습니다. Go 툴체인 업그레이드로 해결되므로 애플리케이션 코드 변경 없이 v1.17.2로 업그레이드하면 됩니다.

• breakingHelm 업그레이드 전 CRD 수동 업데이트 — 안 하면 daprd 기동 실패

  Configuration CRD의 `stateRetentionPolicy` 필드 타입이 integer에서 string으로 바뀌었습니다. Helm은 CRD를 자동으로 업데이트하지 않으므로, CRD 업데이트 없이 `helm upgrade`를 실행하면 duration 문자열을 쓰는 Configuration 오브젝트가 Kubernetes 검증에서 거부되고 daprd가 설정을 불러오지 못할 수 있습니다. 공식 Kubernetes 업그레이드 가이드의 CRD 업데이트 절차를 먼저 수행하세요. 현재 워크플로우 상태 보존 정책을 사용하지 않더라도 CRD는 업데이트해두는 편이 좋습니다.

• enhancement대규모 액터 배포 및 스트리밍 워크로드는 이번 패치를 우선 적용하세요

  보안 외에 두 가지 수정이 특히 중요합니다. 첫째, 1.17.x에서 50개 이상의 액터 레플리카 환경은 배치 전파 타임아웃이 연쇄적으로 발생하는 문제가 있었는데, 이번 릴리즈의 배치 처리 개선으로 해결됐습니다. 둘째, 파일 업로드·SSE·청크 데이터 같은 스트리밍 요청/응답이 사이드카 메모리에 통째로 버퍼링되어 OOM 킬이 발생하던 문제도 수정됐습니다. 두 패턴 중 하나라도 해당한다면 일반 정기 업그레이드가 아닌 긴급 패치로 취급하세요.

Keycloak 26.5.6은 SSRF, 토큰 재사용, IDOR, 권한 상승 등 8개 CVE를 패치하는 긴급 보안 릴리스입니다. 즉시 업그레이드가 필요합니다.

• security8개 CVE 패치 — 즉시 26.5.6으로 업그레이드

  SSRF, 토큰 재생, 권한 상승, IDOR, 다중 정보 노출 경로를 포함한 8개 CVE가 수정되었습니다. 특히 jwks_uri 경유 SSRF, manage-clients 권한 상승, 인증 세션 오염은 멀티테넌트 또는 외부 노출 환경에서 매우 위험합니다. 별도의 완화 방법은 없으며 업그레이드가 유일한 해결책입니다. 26.x 버전을 운영 중이라면 긴급 패치로 처리하세요.

• securitymanage-clients 권한 부여 내역 및 동적 클라이언트 등록 설정 점검

  CVE-2026-3121(manage-clients 권한 상승)과 CVE-2026-1180(동적 클라이언트 등록의 jwks_uri SSRF)은 현재 권한 설정과 기능 활성화 여부를 함께 검토해야 합니다. 업그레이드 후 manage-clients를 보유한 사용자·서비스 계정을 감사하세요. OIDC 동적 클라이언트 등록을 사용하지 않는다면 렐름 단위에서 비활성화해 SSRF 공격면을 완전히 제거하세요.

• breaking업그레이드 후 Operator DB 설정 및 다중 렐름 시작 동작 검증 필요

  26.5.0에서 도입된 Operator의 DB targetServerType=primary 미적용 문제(마스터-레플리카 페일오버 시 연결 검증 실패)와 26.5.4에서 발생한 O(N²) 시작 스캔 회귀가 모두 수정되었습니다. 해당 버그를 경험했다면 업그레이드 후 DB 페일오버 동작과 시작 시간을 반드시 확인하세요. 렐름이 많은 대규모 환경에서는 재시작 속도가 눈에 띄게 빨라질 겁니다.

v1.33.10은 ValidatingAdmissionPolicy의 kube-controller-manager 크래시 버그와 kubeadm 운영 버그 두 건을 수정한 소규모 패치입니다. 의존성 변경은 없습니다.

• breaking개방형 스키마 VAP 사용 중이라면 즉시 패치 필요

  `additionalProperties: true`를 사용하는 ValidatingAdmissionPolicy가 존재하면 kube-controller-manager가 nil 포인터 예외로 완전히 다운됩니다. 우아한 성능 저하가 아닌 즉각적인 크래시입니다. v1.33.x를 사용 중이라면 현재 배포된 VAP 정책을 점검하고, 개방형 스키마 정책을 추가하기 전에 반드시 v1.33.10으로 업그레이드하세요.

• enhancementHA 클러스터 컨트롤 플레인 확장 전 업그레이드 권장

  etcd는 신규 멤버를 learner로 먼저 등록한 뒤 승격시키는데, 이전 버전 kubeadm은 learner를 클라이언트 엔드포인트 풀에 포함시켜 조인 과정에서 간헐적 etcd 클라이언트 오류를 유발했습니다. kubeadm으로 관리되는 HA 클러스터에서 컨트롤 플레인 노드를 추가할 계획이 있다면, 작업 전에 이 패치를 적용하세요.

• enhancement노드 자동화 해제 스크립트에서 kubeadm reset 안정성 개선

  /var/lib/kubelet이 bind 마운트된 노드에서 `kubeadm reset`을 실행하면 EINVAL 오류로 정리 작업이 중간에 실패했습니다. 이제 peer 마운트에서 예상되는 EINVAL을 무시하므로 reset이 깔끔하게 완료됩니다. 노드 폐기를 스크립트로 자동화하는 환경이라면 이 패치의 효과를 바로 체감할 수 있습니다.

v1.14.3은 SPIFFE 인증서 체인 검증을 우회할 수 있는 TLS 세션 티켓 취약점을 패치하고, 노드 캐시 재구축 버그와 AWS·페더레이션 관련 안정성 문제를 수정했습니다.

• securityTLS 세션 티켓 우회 취약점 — 즉시 업그레이드 필요

  SPIRE 서버 TCP 엔드포인트에서 TLS 세션 재개 시 SPIFFE 인증서 체인 검증이 생략될 수 있었습니다. 만료되거나 폐기된 인증서를 가진 클라이언트가 현재 신뢰 번들 검증 없이 재연결할 수 있는 신뢰 경계 위반입니다. v1.14.3으로 즉시 업그레이드하세요. 서버 측에서 자동으로 세션 티켓을 비활성화하므로 별도 설정 변경은 필요 없습니다.

• security에이전트 로그의 셀렉터 데이터 노출 문제 해결

  셀렉터에는 Kubernetes 파드 레이블, Unix UID, AWS 메타데이터 등 민감한 워크로드 식별 정보가 포함될 수 있습니다. 업그레이드 후에는 에이전트 로그에 더 이상 기록되지 않지만, 기존 로그 파이프라인과 보존 정책을 점검해 과거 로그에 남아 있는 데이터를 확인하세요.

• breakingPQC 사용자: X25519MLKEM768 마이그레이션 필요

  RequirePQKEM TLS 정책을 활성화한 경우, 알고리즘이 초안 x25519Kyber768Draft00에서 표준 X25519MLKEM768로 변경됩니다. 양쪽 피어 모두 v1.14.3 이상이어야 TLS 핸드셰이크가 성공합니다. 에이전트와 서버를 동시에 업그레이드하는 일정을 조율하세요.

• enhancement노드 캐시 재구축 버그 — 동적 환경에서 특히 중요

  노드 캐시 재구축이 시작 후 단 1회만 실행되고 이후에는 중단되는 버그가 있었습니다. 워크로드 변경이 잦은 환경에서는 에이전트가 오래된 캐시 데이터를 계속 제공하게 됩니다. v1.14.3에서 자동 수정되며 별도 설정 변경 없이 업그레이드만 하면 됩니다. 동적 환경일수록 에이전트 업그레이드를 서두르세요.