# Buildpacks v0.40.10

> CI/CD & App Delivery · 2026-10-21

보안 취약점이 있는 툴체인과 의존성을 갱신한 유지보수 릴리스입니다. 새로 다시 빌드한 빌더에는 수명 주기가 갱신되며, 기존 빌더와 기존 `API` 및 동작은 바뀌지 않습니다.

## 조치 필요
- **[security · critical]** `golang.org/x/net` 갱신
  - 간접 의존성인 `golang.org/x/net`을 `v0.56.0`에서 `v0.60.0`으로 갱신했습니다. `CVE-2026-78659`, `CVE-2026-78660`, `CVE-2026-78663`, `CVE-2026-78669`, `CVE-2026-97032`와 관련된 `HTTP/2` 메모리 고갈, 잘못된 프레이밍 헤더, 흐름 제어 환불 중복, `HPACK` 인코더 경쟁 상태 문제를 다룹니다.
- **[security · high]** `golang.org/x/crypto` 갱신
  - `golang.org/x/crypto`를 `v0.54.0`에서 `v0.57.0`으로 갱신했습니다. 교착된 `ssh` 채널에서 서비스 거부를 일으킬 수 있는 `CVE-2026-78662`와 `CVE-2026-56855`에 대응합니다.
- **[security · high]** `github.com/moby/go-archive` 갱신
  - `github.com/moby/go-archive`를 `v0.2.0`에서 `v0.3.3`으로 갱신했습니다. 조작된 `tar`가 압축 해제 디렉터리 밖에 파일을 쓸 수 있는 `GHSA-hfg8-hc9c-6c3h` 및 `CVE-2026-17106` 문제에 대응합니다.
- **[security · medium]** `github.com/moby/sys/user` 갱신
  - `github.com/moby/sys/user`를 `v0.4.0`에서 `v0.4.1`으로 갱신했습니다. 사용자 및 그룹 파일을 제한 없이 파싱할 때 서비스 거부가 발생할 수 있는 `GHSA-mjcv-p78q-w5fw` 및 `CVE-2026-61801` 문제를 다룹니다.
- **[security]** `Go`를 `1.26.10`으로 갱신
  - `CVE-2026-111943`에 대응하도록 `Go`를 `1.26.10`으로 올렸습니다.

## 그 밖에 기록된 변경
- 3 (value_changed 3)

[분석 자세히 보기](https://ratatosk.io/ko/releases/buildpacks/v0.40.10)

[원본 릴리스 노트](https://github.com/buildpacks/pack/releases/tag/v0.40.10)