GKE 1.36 變更記錄

本文列出 Google Kubernetes Engine (GKE) 1.36 子版本修補程式版本的變更。

這些變更記錄是特定 GKE 系統元件更新的補充資訊。如要瞭解 GKE 的功能、異動和安全性問題，請參閱下列文件：

1.36.4-gke.2377000

以下各節說明這個修補程式版本與前一版 1.36.4-gke.2326000 的差異。如要瞭解上游 Kubernetes 變更，請參閱 Kubernetes 1.36.4 版變更記錄。

元件更新

下列各節說明這個修補程式版本中，特定 GKE 系統元件的更新資訊。

filestorecsi

將 filestorecsi 元件從 1.36.25 版更新至 1.36.26 版。

  • 其他：
    • 將 k8s_pki_fetcher 映像檔更新至 20261006.00_p0 版。

pdcsi

將 pdcsi 元件從 1.36.32 版更新至 1.36.33 版。

  • 安全性修正：
    • 更新 pdcsi 邊車容器 (佈建工具、連接工具、調整大小工具和快照工具) 和 OpenTelemetry Go 模組 (go.opentelemetry.io/otel)，解決 CVE-2026-81870 的問題。

tpu-device-plugin

tpu-device-plugin 元件已從 1.36.9-gke.1 版更新為 1.36.9-gke.2 版。

1.36.4-gke.2046003

與先前的修補程式版本 1.36.4-gke.2046002 相比，這個版本沒有任何面向客戶的更新。如要瞭解上游 Kubernetes 變更，請參閱 Kubernetes 1.36.4 版變更記錄。

1.36.4-gke.1495003

與先前的修補程式版本 1.36.4-gke.1495002 相比，這個版本沒有任何客戶導向的更新。如要瞭解上游 Kubernetes 變更，請參閱 Kubernetes 1.36.4 版變更記錄。

1.36.4-gke.2326000

以下各節說明這個修補程式版本與前一個修補程式版本 1.36.4-gke.2304000 相比的變更。如要瞭解上游 Kubernetes 變更，請參閱 Kubernetes 1.36.4 版變更記錄。

元件更新

下列各節說明這個修補程式版本中，特定 GKE 系統元件的更新資訊。

kuberay-operator

kuberay-operator 元件從 36.0.17 版更新至 36.0.21 版。

  • 安全性修正：
  • 其他：
    • 更新 fluent-bit-ray 和 gke-distroless 的容器基礎映像檔。
    • 更新 TPU Webhook 的基本映像檔，包括 Go 和 GKE distroless 靜態映像檔。

managedcertificates

將 managedcertificates 元件從 3.4.9 版更新至 3.4.10 版。

1.36.4-gke.2304000

以下各節說明這個修補程式版本與前一個修補程式版本 1.36.4-gke.2202002 相比的變更。如要瞭解上游 Kubernetes 變更，請參閱 Kubernetes 1.36.4 版變更記錄。

元件更新

下列各節說明這個修補程式版本中，特定 GKE 系統元件的更新資訊。

filestorecsi

將 filestorecsi 元件從 1.36.24 版更新至 1.36.25 版。

gke-metrics-agent

將 gke-metrics-agent 元件從 2.136.20-gke.5 版更新至 2.136.20-gke.6 版。

  • 功能：
    • 為節點 Daemon 導入壓力停滯資訊 (PSI) 收集功能。
  • 安全性修正：
    • 解決 autoscaling-metrics-exporter 的安全漏洞。
  • 其他：
    • 更新資源調度設定，在啟用 Workload Autoscaling 或 Managed Service for Prometheus 時，自動調整 CPU 和記憶體限制。
    • 更新端點識別邏輯，並新增叢集專案編號和管理狀態的中繼資料欄位，強化多用戶群支援。

gpu-device-plugin

將 gpu-device-plugin 元件從 1.36.5-gke.6 版更新至 1.36.5-gke.9 版。

  • 安全性修正：
  • 其他：
    • 更新容器基礎映像檔。
    • 更新設定，支援跨叢集環境遷移 GPU 裝置外掛程式。
    • 更新 gke-metrics-collector 映像檔。

managed-opentelemetry

managed-opentelemetry 元件從 1.36.21-gke.3 版更新至 1.36.21-gke.4 版。

networkpolicy-calico

將 networkpolicy-calico 元件從 4.36.2 版更新為 4.36.3 版。

pdcsi

將 pdcsi 元件從 1.36.28 版更新至 1.36.32 版。

  • 錯誤修正：
    • 在具有過時 udev 符號連結的節點上，改為手動建立 /dev/disk/by-id 符號連結時，會發生 NodeStageVolume EEXIST 錯誤和 VerifyDevicePath 失敗，現已修正。
    • 改善預設 StorageClass 復原處理常式的彈性，並新增標準容器模式支援。
  • 安全性修正：
    • 將 google.golang.org/grpc 更新至 1.83.2 版，以解決 csi-provisioner、csi-attacher、csi-snapshotter、csi-snapshot-validation-webhook 和 snapshot-controller 映像檔中的 CVE-2026-84445 問題。
  • 其他：
    • 將 csi-resizer sidecar 映像檔更新至 v2.1.0-gke.25。
    • 將容器基礎映像檔更新為最新的 distroless-static 版本。

1.36.4-gke.2202002

以下各節說明這個修補程式版本與前一個修補程式版本 1.36.4-gke.2046002 相比的變更。如要瞭解上游 Kubernetes 變更，請參閱 Kubernetes 1.36.4 版變更記錄。

元件更新

下列各節說明這個修補程式版本中，特定 GKE 系統元件的更新資訊。

accelerator-operator

accelerator-operator 元件從 1.36.7 版更新為 1.36.8 版。

  • 錯誤修正：
    • 將 controller-runtime 通知器快取限制為標有 cloud.google.com/gke-gpudirect-tcpx=rdma 的節點和標有 gpudirect-controller-component=nccl-rdma-installer 的 kube-system Pod，並移除 managedFields。Operator 記憶體不再隨著叢集大小增加。
    • 將領導者選舉逾時時間增加至 60 秒 (60s) 租約、40 秒 (40s) 續約期限和 5 秒 (5s) 重試期 (可透過 --leader-election-lease-duration、--leader-election-renew-deadline、--leader-election-retry-period 設定)，避免在 apiserver 負載下因租約續約逾時而重新啟動。
  • 安全性修正：
    • 將 google.golang.org/grpc 從 v1.83.1 更新至 v1.83.2、golang.org/x/net 更新至 v0.58.0、golang.org/x/sys 更新至 v0.47.0、golang.org/x/text 更新至 v0.41.0。

filestorecsi

將 filestorecsi 元件從 1.36.23 版更新至 1.36.24 版。

gcsfusecsi

將 gcsfusecsi 元件從 1.36.46 版更新至 1.36.35 版。

  • 錯誤修正：
    • 已允許 StaticPodNetworkPolicy 中的 ToLocalhost 輸出至 gcsfusecsi-controller，防止 SPNP 防火牆在本機 OAuth 權杖交換期間捨棄流量。
  • 安全性修正：
    • 將 golang.org/x/mod 從 v0.37.0 更新至 v0.40.0，解決安全漏洞 GO-2026-6179。
  • 其他：
    • 將 CSI 驅動程式元件的 Go 基本映像檔更新至 1.25.13 版。

gke-metrics-agent

將 gke-metrics-agent 元件從 2.136.20-gke.4 版更新至 2.136.20-gke.5 版。

  • 功能：
    • 為 node-daemons 實作壓力停滯資訊 (PSI) 收集功能。
  • 安全性修正：
    • 解決 autoscaling-metrics-exporter 的安全漏洞。

kube-addon-manager

將 kube-addon-manager 元件從 35.0.5 版更新至 35.0.6 版。

  • 功能：
    • 新增多架構版本支援。

workloadautoscaler

將 workloadautoscaler 元件從 19.14.0 版更新至 19.15.0 版。

1.36.4-gke.2046002

相較於先前的修補程式版本 1.36.4-gke.2046000，這個版本沒有任何面向客戶的更新。如要瞭解上游 Kubernetes 變更，請參閱 Kubernetes 1.36.4 版變更記錄。

1.36.4-gke.1495002

與先前的修補程式版本 1.36.4-gke.1495000 相比，這個版本沒有任何面向客戶的更新。如要瞭解上游 Kubernetes 變更，請參閱 Kubernetes 1.36.4 版變更記錄。

1.36.4-gke.1391002

相較於先前的修補程式版本 1.36.4-gke.1391000，這個版本沒有任何面向客戶的更新。如要瞭解上游 Kubernetes 變更，請參閱 Kubernetes 1.36.4 版變更記錄。

1.36.4-gke.2046000

以下各節說明這個修補程式版本與前一個修補程式版本 1.36.4-gke.1495000 相比的變更。如要瞭解上游 Kubernetes 變更，請參閱 Kubernetes 1.36.4 版變更記錄。

元件更新

下列各節說明這個修補程式版本中，特定 GKE 系統元件的更新資訊。

accelerator-operator

將 accelerator-operator 元件從 1.35.1 版更新至 1.36.7 版。

  • 功能：
    • GKE 1.34 以上版本叢集的預設 NCCL 外掛程式版本對應關係，已更新為 v1.1.2。
    • 1.34 以上版本的 NCCL 版本對應關係更新為 v1.1.2。
  • 錯誤修正：
    • 從 RDMA NCCL 安裝程式容器進入點移除 --install-nccl，以免覆寫工作負載的 NCCL 核心程式庫。
  • 安全性修正：
    • 將 Go 執行階段更新至 1.25.14，並將 gRPC 程式庫更新至 v1.82.1，以解決安全漏洞，包括 CVE-2026-33186、CVE-2026-39821 和 CVE-2026-27144。
    • 將 google.golang.org/grpc 從 v1.82.1 更新至 v1.83.1，解決 GO-2026-6348。
    • 將 go.opentelemetry.io/otel 從 v1.43.0 更新至 v1.44.0，解決 GO-2026-5158。
    • 將 golang.org/x/net 更新至 v0.56.0、golang.org/x/sys 更新至 v0.46.0，以及 golang.org/x/text 更新至 v0.39.0，解決 GO-2026-5942、GO-2026-5024 和 GO-2026-5970 的問題。
  • 其他：
    • 將 Go 基本映像檔更新至 1.25.9 版。
    • 將 go.opentelemetry.io/contrib/instrumentation/net/http/otelhttp 從 v0.53.0 更新至 v0.61.0。

filestorecsi

將 filestorecsi 元件從 1.36.20 版更新至 1.36.23 版。

  • 安全性修正：
  • 其他：
    • 更新元件設定，加入 Webhook 伺服器的明確憑證和金鑰選項。

gcsfusecsi

將 gcsfusecsi 元件從 1.36.43 版更新至 1.36.46 版。

  • 錯誤修正：
    • 將 GCSFuse 二進位檔升級至 v3.11.3：
    • 停用 DirectPath 連線能力驗證的內部 Go SDK 重試功能。
    • 略過多餘的 DirectPath 連線檢查，加速啟動 Rapid bucket。
    • 修正視窗化清單中隱含目錄的統計資料快取負項目錯誤。

gke-metrics-agent

將 gke-metrics-agent 元件從 2.136.20-gke.3 版更新至 2.136.20-gke.4 版。

  • 功能：
    • 實作 node-daemon 壓力停滯資訊 (PSI) 收集功能。
  • 其他：
    • 最佳化供應商管理和依附元件修剪，將容器映像檔大小從 64MB 縮減至 47MB。
    • 更新多租戶叢集偵測和個別租戶算繪的設定運算式。

gpu-device-plugin

將 gpu-device-plugin 元件從 1.36.5-gke.3 版更新至 1.36.5-gke.6 版。

  • 功能：
    • 新增 cloud.google.com/gke-gpudirect-storage 節點標籤，在 GPU 驅動程式安裝期間啟用 --nvidia-fs 旗標，藉此支援 GPUDirect Storage (NVIDIA FS)。
  • 其他：
    • 將 gpu-device-plugin 升級至 v1.36.5-gke.0，修正安全漏洞。
    • 將 nvidia-partition-gpu 升級至 v1.36.5-gke.0，修正安全漏洞。
    • 將 nvidia-persistenced-installer 升級至 v1.36.5-gke.0，修正安全漏洞。
    • 更新 gpu-fraction-divisor 路徑，改用底線而非連字號。

pdcsi

將 pdcsi 元件從 1.36.25 版更新至 1.36.28 版。

  • 安全性修正：
    • 更新 Go 模組和容器基本映像檔，解決安全漏洞。
    • 更新容器基礎映像檔和 Go 依附元件，解決 CVE-2026-78662 和 CVE-2026-84304 的問題。
  • 其他：
    • 更新 csi-provisioner、csi-node-driver-registrar、csi-snapshotter 和 snapshot-controller 的容器基礎映像檔。

tpu-device-plugin

將 tpu-device-plugin 元件從 1.36.9-gke.0 版更新至 1.36.9-gke.1 版。

  • 其他：
    • 將建構工具映像檔更新為 Golang 1.27.0，並將執行階段基本映像檔更新為 Debian 13 架構的無發行版版本。

1.36.4-gke.1495000

以下各節說明這個修補程式版本與前一版 1.36.4-gke.1391000 的差異。如要瞭解上游 Kubernetes 變更，請參閱 Kubernetes 1.36.4 版變更記錄。

Kubernetes 更新

k8s-api

k8s-api 群組已從 1.36.4-gke.200 版更新為 1.36.4-gke.400 版。

  • 其他：
    • 更新 1.36 分支版本的 Go 執行階段和容器基本映像檔。

元件更新

下列各節說明這個修補程式版本中，特定 GKE 系統元件的更新資訊。

clouddns

將 clouddns 元件從 36.3.3 版更新至 36.3.5 版。

  • 錯誤修正：
    • Cloud DNS 控制器：改善多租戶環境中 Cloud DNS 控制器的關機邏輯。這項改良邏輯可確保控制器關閉時，協調器、更新器和通知器會正確清除，有助於防止資源外洩。

filestorecsi

filestorecsi 元件從 1.36.19 版更新至 1.36.20 版。

gcp-controller-manager-combined

將 gcp-controller-manager-combined 元件從 36.2.0 版更新至 36.2.3 版。

  • 功能：
    • 在 nodeannotator 中新增支援，為 TPU8i 填入 TPU 分區拓撲標籤。
  • 安全性修正：
    • 將 github.com/google/cel-go 更新至 0.29.2 版，解決安全漏洞 GHSA-gcjh-h69q-9w9g。
  • 其他：
    • 將自訂簽署者名稱委派的旗標名稱更新為 allow-signing-kubelet-serving-for-non-gcp。
    • 將自訂 signerName 委派的設定旗標更新為 allow-signing-kubelet-serving-for-non-gcp。
    • 更新 gcp-controller-manager 容器映像檔。

gcsfusecsi

將 gcsfusecsi 元件從 1.36.42 版更新至 1.36.43 版。

  • 安全性修正：
    • 更新 Go 模組、基礎映像檔和 csi-node-driver-registrar 元件，解決安全漏洞。
  • 其他：
    • 將 Go 執行階段更新至 1.27.1 版。

gke-metrics-agent

將 gke-metrics-agent 元件從 2.136.20-gke.1 版更新至 2.136.20-gke.3 版。

  • 功能：
    • 實作 node-daemon 壓力停滯資訊 (PSI) 收集功能。
    • 新增節點 Daemon 的壓力停滯資訊 (PSI) 收集支援。
  • 其他：
    • Prometheus 升級後，我們改善了供應商依附元件管理，最佳化容器映像檔大小。
    • 更新設定，納入 Starlark 選項檔案。
    • 將 Workload Autoscaler 更新至 0.27.0-gke.18 版。

gvisor

將 gvisor 元件從 1.36.23 版更新至 1.36.24 版。

  • 其他：
    • 更新容器基礎映像檔。

kube-controller-manager

將 kube-controller-manager 元件從 8.1.0 版更新至 8.1.3 版。

  • 其他：
    • 更新設定，納入 options.star Starlark 檔案。

kubedns

將 kubedns 元件從 36.0.3 版更新至 36.0.5 版。

  • 功能：
    • 新增設定支援，可自動計算單一堆疊 IPv6 和 IPv4 叢集的 KubeDNS 叢集 IP。
  • 錯誤修正：
    • 調整記憶體要求和限制邏輯，根據 DNS 引擎類型和控制層節點大小動態調度資源。
  • 安全性修正：
  • 其他：
    • 針對在叢集範圍使用 Cloud DNS 搭配 Dataplane V2 的 Autopilot 叢集，推出遷移防護機制。
    • 更新元件選項，納入監控端點和專案專屬中繼資料的匯入作業。

managed-opentelemetry

將 managed-opentelemetry 元件從 1.36.21-gke.2 版更新至 1.36.21-gke.3 版。

  • 其他：
    • 將自訂 OpenTelemetry 收集器映像檔更新至 0.153.0-gke.5 版。

networkpolicy-calico

將 networkpolicy-calico 元件從 4.36.1 版更新至 4.36.2 版。

  • 安全性修正：
    • 將 Go 執行階段更新至 v1.25.12，並將 golang.org/x/crypto 模組更新至 v0.52.0，以解決 CVE-2026-39822。

nodelocaldns

將 nodelocaldns 元件從 36.1.2 版更新至 36.1.5 版。

  • 安全性修正：
    • 更新 Go 模組，解決安全漏洞。

pdcsi

將 pdcsi 元件從 1.36.24 版更新至 1.36.25 版。

  • 安全性修正：
    • 更新 Go 模組、Go 執行階段和容器基礎映像檔，解決 Persistent Disk CSI 驅動程式及其 sidecar 元件 (包括 csi-resizer、csi-snapshotter、csi-provisioner 和 csi-attacher) 的安全漏洞。

tpu-device-plugin

將 tpu-device-plugin 元件從 1.36.7-gke.1 版更新至 1.36.9-gke.0 版。

  • 功能：
    • 更新 ACS 代理程式映像檔，加入 FatalErrorInfo 和 TPU 停止診斷收集功能。
    • 透過 --enable-baremetal-mode 推出 TPU Bare Metal 節點支援。
    • 已略過 TPU8i 的 MDS 分區拓撲標籤輪詢 (由 cloud-provider-gcp 填入)。
    • 新增多配量網路、運算和傳輸大小/延遲時間指標。
    • 新增對 enable_full_hierarchy_labels KCP 特性的支援。
    • 將 ACS 代理程式 (acs-agent) 容器從 tpu-device-plugin DaemonSet 移至 ai-telemetry-collector DaemonSet，避免客體診斷遙測失敗影響裝置外掛程式健康狀態和排程可用性。
  • 錯誤修正：
    • 在 TPU 裝置外掛程式指標中，新增值區計數的範圍檢查。
    • 已還原 vbar.sock 筆權限變更記錄。
    • 將 ACS 代理程式映像檔還原為 sha256:2c2cad2eff5811c906334bced6a00b6f938d4308a26921bab9f5fc7d7ef445fb，避免同步通知器快取同步停滯，導致 TPU 裝置外掛程式註冊作業受阻，並解除叢集自動配置器資格限制。
  • 安全性修正：
    • 將 google.golang.org/grpc 更新至 1.82.1 版，解決安全漏洞 GO-2026-6061。
    • 將 vbar 目錄以唯讀方式掛接至工作負載，並強制執行 safeChmod，藉此封鎖 vbar.sock 符號連結提權。
    • 將執行階段基礎映像檔更新為 gcr.io/distroless/static-debian13，並將建構工具更新為 Golang 1.27.0，以修正基礎映像檔安全漏洞。
  • 其他：
    • 已更新 gke-distroless/bash 基本映像檔。

workloadautoscaler

將 workloadautoscaler 元件從 19.11.0 版更新至 19.14.0 版。

  • 其他：
    • 將垂直 Pod 自動配置器元件 (admission-controller、recommender 和 updater) 和 autoscaling-metrics-adapter 更新至 0.27.0-gke.19 版。

1.36.4-gke.1391000

以下各節說明這個修補程式版本與前一個修補程式版本 1.36.4-gke.1247000 相比的變更。如要瞭解上游 Kubernetes 變更，請參閱 Kubernetes 1.36.4 版變更記錄。

元件更新

下列各節說明這個修補程式版本中，特定 GKE 系統元件的更新資訊。

customer-logs-exporter

將 customer-logs-exporter 元件從 1.36.0-gke.11 版更新至 1.36.0-gke.12 版。

  • 安全性修正：
    • 將 google.golang.org/grpc 更新至 v1.82.1，解決安全諮詢 GO-2026-6061 的問題。

filestorecsi

將 filestorecsi 元件從 1.36.17 版更新至 1.36.19 版。

  • 其他：
    • 將 Go 執行階段更新至 1.25.11 版，並重新整理 csi-provisioner、csi-resizer、csi-snapshotter、snapshot-controller 和 snapshot-validation-webhook 的容器基礎映像檔。
    • 將基礎映像檔更新至最新無發行版版本，提升安全性和穩定性。
    • 在元件資訊清單中，將內部初始化容器明確命名為 imgSpnpInitContainer。

gcsfusecsi

將 gcsfusecsi 元件從 1.36.41 版更新至 1.36.42 版。

  • 其他：
    • 將 Go 執行階段更新至 1.27.1 版，並更新 CSI 驅動程式、driver 節點註冊器、sidecar 掛接器、Webhook 和中繼資料預先擷取器的容器映像檔。

gpu-device-plugin

將 gpu-device-plugin 元件從 1.36.3-gke.2 版更新至 1.36.5-gke.3 版。

  • 其他：
    • 將 gpu-device-plugin 升級至 v1.36.4-gke.0
    • 將 nvidia-partition-gpu 升級至 v1.36.4-gke.0
    • 將 nvidia-persistenced-installer 升級至 v1.36.4-gke.0
    • 更新 gpu-fraction-divisor 路徑，改用底線而非連字號。

kube-addon-manager

將 kube-addon-manager 元件從 35.0.2 版更新至 35.0.5 版。

  • 功能：
    • 新增多架構版本支援。
  • 其他：
    • 更新 kubectl prune 許可清單，納入 Kubernetes 1.23.0 以上版本叢集的流量控管資源 (FlowSchema 和 PriorityLevelConfiguration)。
    • 新增設定選項，可管理外掛程式管理工具的主要選舉模式。

pdcsi

將 pdcsi 元件從 1.36.23 版更新至 1.36.24 版。

  • 安全性修正：
  • 其他：
    • 將 Go 執行階段更新至 1.26.5 版。
    • 更新 CSI 驅動程式、快照工具和相關 sidecar 元件的 debian-base 和 distroless-static 容器基礎映像檔。

1.36.4-gke.1247000

以下各節說明這個修補程式版本與前一個修補程式版本 1.36.4-gke.1082000 相比的變更。如要瞭解上游 Kubernetes 變更，請參閱 Kubernetes 1.36.4 版變更記錄。

元件更新

下列各節說明這個修補程式版本中，特定 GKE 系統元件的更新資訊。

gcp-controller-manager-combined

將 gcp-controller-manager-combined 元件從 36.1.4 版更新至 36.2.0 版。

  • 功能：
    • 在元件設定中新增 ToLocalhost 類型的支援。
    • 新增 --fetched_cert_validity 旗標，可設定所擷取憑證的存留時間。
  • 其他：
    • 將自訂 signerName 委派旗標重新命名為 allow-signing-kubelet-serving-for-non-gcp，以便更清楚地在非 GCP 節點上簽署 kubelet 服務憑證。
    • 移除 /etc/srv/kubernetes/pki 的舊版主機路徑磁碟區掛接，以及叢集 CA 檔案 (--cluster-root-ca-file 和 --cluster-ca-bundle) 的相關指令列旗標，改用 DCD。

gke-metrics-agent

將 gke-metrics-agent 元件從 2.136.20-gke.0 版更新為 2.136.20-gke.1 版。

  • 功能：
    • 為節點 Daemon 導入壓力停滯資訊 (PSI) 收集功能。
  • 其他：
    • 最佳化供應商依附元件修剪功能，縮減容器映像檔大小。

l7-lb-controller-combined

將 l7-lb-controller-combined 元件從 1.41.3-gke.0 版更新至 1.41.4-gke.0 版。

  • 功能：
    • 透過 ip-collection-v6 註解，新增對 BYOIPv6 NetLB 的支援。
  • 錯誤修正：
    • 改善獨立 NEG LB 控制器，提供更優質的事件訊息、規則排序、IP 清理和使用者錯誤分類 (包括 BackendNotAttached 條件)。
    • 允許不含 ip-collection-v6 註解的靜態 BYOIPv6 位址，並在 ILB 誤用註解時新增警告。
    • 重構 L4 獨立 NEG 控制器邏輯。
  • 安全性修正：
    • 在將 LB VIP 寫入服務狀態之前，先驗證服務 NEG 是否已附加至 LB 後端服務，藉此解決獨立 NEG 控制器中的混淆代理人安全漏洞。

osimage

將 osimage 元件從 1.36.95 版更新至 1.36.99 版。

  • 安全性修正：
  • 其他：
    • 更新系統套件和依附元件：containerd 和 containerd-test 升級至 v2.2.7、fluent-bit 升級至 v4.2.8、unzip 升級至 v6.0_p31、dash 升級至 v0.5.13.5、libverto 升級至 v0.3.2-r1、popt 升級至 v1.19-r1、acl 升級至 v2.4.0-r2、passwdqc 升級至 v2.0.3-r1。
    • 調整 net.ipv4.udp_mem 的執行階段 sysctl 設定。

1.36.4-gke.1082000

以下各節說明這個修補程式版本與前一版 1.36.3-gke.1767000 的差異。如要瞭解上游 Kubernetes 變更，請參閱 Kubernetes 1.36.4 版變更記錄。

元件更新

下列各節說明這個修補程式版本中，特定 GKE 系統元件的更新資訊。

customer-logs-exporter

將 customer-logs-exporter 元件從 1.36.0-gke.9 版更新至 1.36.0-gke.11 版。

  • 安全性修正：
    • 將 google.golang.org/grpc 更新至 1.82.1 版，解決 GO-2026-6061 問題。
  • 其他：
    • 新增設定支援，可透過 ComponentOptionsConfig 設定 Cloud Logging 端點和專案專屬中繼資料。

gke-metrics-agent

將 gke-metrics-agent 元件從 2.136.18-gke.1 版更新為 2.136.20-gke.0 版。

  • 功能：
    • 實作節點層級的壓力停滯資訊 (PSI) 收集功能。
  • 其他：
    • 調整供應商依附元件，將容器映像檔大小從約 64 MB 縮減至 47 MB。
    • 將 Workload Autoscaler 更新至 0.27.0-gke.17 版。

gvisor

將 gvisor 元件從 1.36.19 版更新至 1.36.23 版。

  • 其他：
    • 將 gVisor 更新至 20260727.0_RC04 版。

l7-lb-controller-combined

將 l7-lb-controller-combined 元件從 1.41.1-gke.0 版更新至 1.41.3-gke.0 版。

  • 錯誤修正：
    • 改善 L4 Address Manager IP 驗證機制，避免誤判子字串相符，並強制執行明確的網路級別和負載平衡配置驗證。
  • 安全性修正：
    • 將 Go 版本更新至 1.26.6、Go kubernetes 用戶端依附元件更新至 v1.36.3，並將 google.golang.org/api 和 google.golang.org/grpc 更新至最新版本。

osimage

將 osimage 元件從 1.36.75 版更新至 1.36.95 版。

1.36.3-gke.1767000

以下各節說明這個修補程式版本與前一個修補程式版本 1.36.3-gke.1640000 相比的變更。如要瞭解上游 Kubernetes 變更，請參閱 Kubernetes 1.36.3 版變更記錄。

元件更新

下列各節說明這個修補程式版本中，特定 GKE 系統元件的更新資訊。

clouddns

將 clouddns 元件從 36.3.2 版更新至 36.3.3 版。

  • 錯誤修正：
    • 在 clouddns 容器中將 tmp 掛接為讀寫，修正當機迴圈。

gcsfusecsi

將 gcsfusecsi 元件從 1.36.38 版更新至 1.36.41 版。

  • 安全性修正：
    • 將 golang.org/x/mod 從 v0.37.0 更新至 v0.40.0，解決安全漏洞 GO-2026-6179。

networkpolicy-calico

將 networkpolicy-calico 元件從 4.36.0 版更新至 4.36.1 版。

  • 安全性修正：
    • 將 Go 建構版本更新至 1.25.12，修正 CVE-2026-39822。
    • 將 golang.org/x/crypto 更新至 0.52.0 版，修復 Calico 節點元件中的安全漏洞。