GKE 1.35 版更改日志

本文档列出了 Google Kubernetes Engine (GKE) 1.35 次要版本的补丁版本中的更改。

这些变更日志是有关特定 GKE 系统组件更新的补充信息。如需了解 GKE 中的功能、变更和安全问题，请参阅以下文档：

1.35.8-gke.1919000

以下部分介绍了此补丁版本与上一个补丁版本 1.35.8-gke.1796000 相比所做的更改。如需了解上游 Kubernetes 变更，请参阅 Kubernetes v1.35.8 变更日志。

组件更新

以下部分提供了有关此补丁版本中特定 GKE 系统组件更新的信息。

filestorecsi

将 filestorecsi 组件从版本 1.35.30 更新为 1.35.31。

  • 安全修复程序：
  • 其他：
    • 更新了 csi-node-driver-registrar 边车组件。

gpu-device-plugin

将 gpu-device-plugin 组件从 1.35.6-gke.2 版更新到了 1.35.6-gke.4 版。

managed-opentelemetry

将 managed-opentelemetry 组件从版本 1.35.13-gke.2 更新到 1.35.13-gke.3。

osimage

将 osimage 组件从 1.35.164 版更新到了 1.35.168 版。

  • 功能：
    • 添加了对裸金属 TPU 的支持。
    • 已将 Linux 内核更新至 6.12.110。
    • 将 Docker 更新为 v27.5.1。
    • 将 Containerd 更新为 v2.2.7。
  • bug 修复：
    • 通过在握手流程开始前验证时间同步是否已建立，提高了 TLS 握手可靠性。
  • 其他：
    • 调整了 net.ipv4.udp_mem 运行时 sysctl 配置。

pdcsi

将 pdcsi 组件从版本 1.35.54 更新为 1.35.58。

tpu-device-plugin

将 tpu-device-plugin 组件从版本 1.35.13-gke.9 更新到了 1.35.13-gke.11。

  • bug 修复：
    • 停止在删除日志文件或工作负载驱动程序重启时泄漏 sidecar-log-collector 中的 tail 和子 shell 进程。孤立进程之前会不断累积，直到容器达到其内存限制。作业控制现已启用 (set -m)，因此每个后台流水线都有自己的进程组，并且清理会向整个进程组（而不是单个 PID）发出信号。还更正了关联数组存在性检查，该检查在测试值之前会先展开值。
  • 安全修复程序：

1.35.8-gke.1796000

以下部分介绍了此补丁版本与上一个补丁版本 1.35.8-gke.1626001 相比所做的更改。如需了解上游 Kubernetes 更改，请参阅 Kubernetes v1.35.8 变更日志。

组件更新

以下部分提供了有关此补丁版本中特定 GKE 系统组件更新的信息。

accelerator-operator

将 accelerator-operator 组件从 1.35.1 版更新到了 1.35.3 版。

  • 安全修复程序：
    • 将 go.opentelemetry.io/otel/sdk 更新为 v1.40.0，以解决 GO-2026-4394。
    • 将 golang.org/x/net 更新为 v0.53.0，以解决 GO-2026-4440、GO-2026-4559 和 GO-2026-4918 问题。
    • 将 google.golang.org/grpc 更新至 v1.79.3，以解决 GO-2026-4762 问题。
  • 其他：
    • 更新了基础映像，以使用 Golang 1.25.10。
    • 将 CI/CD 配置、容器 build 步骤和 Go 1.25.0 工具链修复向后移植到发布分支。
    • 将组件映像更新到了 1.35.0-gke.8 版。

filestorecsi

将 filestorecsi 组件从版本 1.35.28 更新到 1.35.30。

gcp-controller-manager-combined

将 gcp-controller-manager-combined 组件从 35.0.10 版更新到了 35.0.11 版。

  • 其他：
    • 更新了 build 配置以停用 CGO，从而消除了对 gcc 的运行时依赖项。

gcsfusecsi

将 gcsfusecsi 组件从 1.35.64 版更新到了 1.35.65 版。

  • 安全修复程序：
    • 更新了 Go 模块 go.opentelemetry.io/otel 和 golang.org/x/crypto，以解决 CVE-2026-41178 和 CVE-2026-78662 问题。
    • 更新了容器基础映像，以解决安全漏洞。

gpu-device-plugin

将 gpu-device-plugin 组件从版本 1.35.6-gke.0 更新到了 1.35.6-gke.2。

  • 安全修复程序：
    • 更新了 Go 模块，以解决 gke-metrics-collector、nvidia-gpu-device-plugin、nvidia-partition-gpu 和 nvidia-persistenced-installer 中的安全漏洞。
  • 其他：
    • 更新了 nvidia-gpu-device-plugin、nvidia-partition-gpu、nvidia-persistenced-installer 和 fastsocket-installer 的容器基础映像。

kubedns

将 kubedns 组件从 35.0.11 版更新到了 35.0.12 版。

  • 安全修复程序：
  • 其他：
    • 将容器基础映像更新为 gke_distroless_20260901.00_p0。
    • 将 Go 模块 go.etcd.io/etcd/client/pkg/v3 从 v3.6.10 更新到了 v3.6.14。

networkpolicy-antrea

将 networkpolicy-antrea 组件从版本 0.6.10 更新到了 0.6.11。

  • bug 修复：
    • 在 Antrea 代理中，为 Windows 命名管道连接添加了指数退避算法和重试机制。此问题修复了一个竞态条件，即容器运行时可能会在节点启动期间尝试连接到 CNI 套接字，但此时 CNI 套接字尚未完全初始化，从而避免了出现短暂的“找不到文件”错误。

nodelocaldns

将 nodelocaldns 组件从版本 35.0.10 更新到了 35.0.11。

  • 其他：
    • 将 go.etcd.io/etcd/client/pkg/v3 从 v3.6.10 更新到了 v3.6.14。

pdcsi

将 pdcsi 组件从版本 1.35.52 更新为 1.35.54。

  • bug 修复：
    • 修复了在重试 CreateVolume 请求期间，Hyperdisk Balanced 卷和 Hyperdisk Throughput 卷的访问模式处理不正确的问题。
  • 安全修复程序：

tpu-device-plugin

将 tpu-device-plugin 组件从 1.35.13-gke.8 版更新到了 1.35.13-gke.9 版。

  • bug 修复：
    • 在节点上的最后一个 TPU 容器退出后，停止发出过时的 TPU 运行时指标。将周期性全局 GaugeVec.Reset（导致 Prometheus 中的指标出现反复变化）替换为有状态的按容器跟踪，仅在连续 6 个收集周期（约 60 秒）未收集到标签值后才删除标签值。
  • 安全修复程序：
    • 将 google.golang.org/grpc 更新为 v1.85.0-dev.0.20260825072537-93e31b48545e，以解决漏洞 GO-2026-6443。
    • 将 golang.org/x/crypto 从 v0.53.0 更新为 v0.56.0，以解决漏洞 GO-2026-6303 和 GO-2026-6354。
  • 其他：
    • 将 Go 构建器基本映像升级到 golang 1.26.8，以匹配 go.mod 中的 go 指令，从而解除对发布映像构建的阻塞。
    • 将“gke-distroless/bash”设置更新为了“gke_distroless_20260918.00_p0”。

1.35.8-gke.1626001

与之前的补丁版本 1.35.8-gke.1626000 相比，此版本没有面向客户的更新。如需了解上游 Kubernetes 变更，请参阅 Kubernetes v1.35.8 变更日志。

1.35.8-gke.1439001

与之前的补丁版本 1.35.8-gke.1439000 相比，此版本没有面向客户的更新。如需了解上游 Kubernetes 变更，请参阅 Kubernetes v1.35.8 变更日志。

1.35.8-gke.1380001

与之前的补丁版本 1.35.8-gke.1380000 相比，此版本没有面向客户的更新。如需了解上游 Kubernetes 更改，请参阅 Kubernetes v1.35.8 变更日志。

1.35.6-gke.1250001

与之前的补丁版本 1.35.6-gke.1250000 相比，此版本中没有面向客户的更新。如需了解上游 Kubernetes 更改，请参阅 Kubernetes v1.35.6 变更日志。

1.35.8-gke.1626000

以下部分介绍了此补丁版本与上一个补丁版本 1.35.8-gke.1439000 相比所做的更改。如需了解上游 Kubernetes 变更，请参阅 Kubernetes v1.35.8 变更日志。

组件更新

以下各部分提供了有关此补丁版本中特定 GKE 系统组件更新的信息。

filestorecsi

将 filestorecsi 组件从版本 1.35.27 更新到了 1.35.28。

  • 安全修复程序：
  • 其他：
    • 将 Go 运行时更新到了 1.27.1 版，并更新了 CSI 边车组件（包括 csi-provisioner、csi-resizer 和 csi-snapshotter）的容器基础映像。

gcsfusecsi

将 gcsfusecsi 组件从版本 1.35.61 更新到了 1.35.64。

  • 安全修复程序：
  • 其他：
    • 将 csi-node-driver-registrar 映像更新到了 v2.15.0-gke.47。

gvisor

将 gvisor 组件从版本 1.35.16 更新为 1.35.17。

  • 其他：
    • 将容器基础映像更新为 gke_distroless_20260915.00_p0。

kube-addon-manager

将 kube-addon-manager 组件从 35.0.2 版更新到了 35.0.5 版。

  • 功能：
    • 添加了对多架构版本的支持。
  • 其他：
    • 更新了 kubectl prune 许可名单，以针对运行 Kubernetes 1.23.0 及更高版本的集群包含流量控制资源（FlowSchema 和 PriorityLevelConfiguration）。
    • 添加了配置选项，用于管理插件管理器的领导者选举模式。

managed-opentelemetry

将 managed-opentelemetry 组件从版本 1.35.13-gke.1 更新到了 1.35.13-gke.2。

  • 安全修复程序：
    • 将 otelcol-custom 升级到 0.153.0-gke.5，以修复 golang.org/x/crypto CVE。

osimage

将 osimage 组件从版本 1.35.152 更新到了 1.35.160。

pdcsi

将 pdcsi 组件从版本 1.35.49 更新为 1.35.52。

  • 问题修复：
    • 修复了在重试 CreateVolume 调用期间，Hyperdisk Balanced 卷和 Hyperdisk Throughput 卷的访问模式处理不正确的问题。
  • 安全修复程序：
    • 将 golang.org/x/crypto 更新至 v0.55.0，以解决 CVE-2026-56854 问题。
    • 更新了 google.golang.org/grpc 以解决 CVE-2026-84304。
  • 其他：
    • 更新了 Go 运行时和基础容器映像，以提高整体组件稳定性。

workloadautoscaler

将 workloadautoscaler 组件从 18.10.0 版更新到了 18.11.0 版。

  • 问题修复：
    • 将 Pod 纵向自动扩缩器组件（包括准入控制器、推荐器和更新器）更新为版本 0.26.0-gke.18。

1.35.8-gke.1439000

以下各部分介绍了此补丁版本与上一补丁版本 1.35.8-gke.1380000 相比的变化。如需了解上游 Kubernetes 变更，请参阅 Kubernetes v1.35.8 变更日志。

Kubernetes 更新

k8s-api

已将 k8s-api 同类群组从 1.35.8-gke.100 版更新为 1.35.8-gke.300 版。

  • 其他：
    • 向 kube-apiserver 清单添加了 GOMEMLIMIT 和 GOGC 环境变量，以优化内存用量和垃圾回收行为。

组件更新

以下部分提供了有关此补丁版本中特定 GKE 系统组件更新的信息。

gcsfusecsi

将 gcsfusecsi 组件从 1.35.60 版更新到了 1.35.61 版。

  • 其他：
    • 将 Go 运行时更新为 1.27.0，将 Debian 基础映像更新为 bookworm-v1.0.8-gke.10，并将 csi-node-driver-registrar 更新为 v2.15.0-gke.45。

l7-lb-controller-combined

将 l7-lb-controller-combined 组件从版本 1.38.7-gke.0 更新到了 1.38.8-gke.0。

  • 安全修复程序：
    • 为独立 L4 网络端点组 (NEG) 添加了验证检查，以验证是否正确附加。

networkpolicy-antrea

将 networkpolicy-antrea 组件从 0.6.9 版更新为 0.6.10 版。

  • 其他：
    • 将 Antrea 映像更新为 v1.4.0-gke.73，并将 Cilium Windows 映像更新为 v1.17.8-gke.134。
    • 更新了容器基础映像和 Go 运行时补丁版本。

tpu-device-plugin

将 tpu-device-plugin 组件从 1.35.13-gke.7 版更新到了 1.35.13-gke.8 版。

  • 问题修复：
    • 将 ACS 代理映像还原为 sha256:2c2cad2eff5811c906334bced6a00b6f938d4308a26921bab9f5fc7d7ef445fb，以防止同步 informer 缓存同步停滞阻止 TPU 设备插件注册，并解除 Cluster Autoscaler 资格认证。

1.35.8-gke.1380000

以下部分介绍了此补丁版本与上一个补丁版本 1.35.8-gke.1225000 相比所做的更改。如需了解上游 Kubernetes 变更，请参阅 Kubernetes v1.35.8 变更日志。

组件更新

以下部分提供了有关此补丁版本中特定 GKE 系统组件更新的信息。

gcsfusecsi

将 gcsfusecsi 组件从 1.35.58 版更新到了 1.35.60 版。

gpu-device-plugin

将 gpu-device-plugin 组件从 1.35.5-gke.0 版更新到了 1.35.6-gke.0 版。

  • 其他：
    • 将 gpu-device-plugin 调高到 v1.35.5-gke.0
    • 将 nvidia-partition-gpu 调高到 v1.35.5-gke.0
    • 将 nvidia-persistenced-installer 升级到 v1.35.5-gke.0

gvisor

将 gvisor 组件从版本 1.35.13 更新为 1.35.16。

  • 其他：
    • 更新了 gke-distroless/static 容器基础映像。
    • 将 gke-gvisor-installer 更新到了版本 20260727.0_RC04。

pdcsi

将 pdcsi 组件从 1.35.48 版更新到了 1.35.49 版。

tpu-device-plugin

将 tpu-device-plugin 组件从版本 1.35.13-gke.6 更新到了 1.35.13-gke.7。

  • 功能：
    • 更新了 ACS Agent 映像，以包含 FatalErrorInfo 和 TPU 停止诊断收集。

1.35.8-gke.1225000

以下部分介绍了此补丁版本与上一个补丁版本 1.35.8-gke.1036000 相比所做的更改。如需了解上游 Kubernetes 变更，请参阅 Kubernetes v1.35.8 变更日志。

组件更新

以下各部分提供了有关此补丁版本中特定 GKE 系统组件更新的信息。

osimage

将 osimage 组件从 1.35.148 版更新到了 1.35.152 版。

  • 功能：
    • 将 Linux 内核更新为 COS-6.12.94。
    • 将 Docker 更新到了 v27.5.1。
    • 将 Containerd 更新到了 v2.2.7。
    • 将 cos-gpu-installer 更新到了 v2.7.7。
  • 问题修复：
    • 添加了对 net-fs/lustre-client-drivers v2.14.0_p259 的支持。
    • 将 sys-apps/xemu 升级到了 v0.0.10。
  • 安全修复程序：
  • 其他：
    • 修改了 net.ipv4.udp_mem 的运行时 sysctl 配置。

workloadautoscaler

将 workloadautoscaler 组件从 18.8.0 版更新到了 18.10.0 版。

  • 其他：
    • 将 Pod 纵向自动扩缩器 (VPA) 准入控制器、推荐器和更新器更新到了版本 0.26.0-gke.17。

1.35.8-gke.1036000

与之前的补丁版本 1.35.8-gke.1026000 相比，此版本没有面向客户的更新。如需了解上游 Kubernetes 更改，请参阅 Kubernetes v1.35.8 变更日志。

1.35.8-gke.1026000

以下部分介绍了此补丁版本与上一个补丁版本 1.35.7-gke.1222000 相比所做的更改。如需了解上游 Kubernetes 变更，请参阅 Kubernetes v1.35.8 变更日志。

组件更新

以下部分提供了有关此补丁版本中特定 GKE 系统组件更新的信息。

advanceddatapath

将 advanceddatapath 组件从版本 35.3.22 更新到了 35.3.23。

  • 安全修复程序：
    • 更新了 golang.org/x/net 以解决 GO-2026-5942。
    • 更新了 golang.org/x/text，以解决 GO-2026-5970 问题。

customer-logs-exporter

将 customer-logs-exporter 组件从版本 1.35.1-gke.7 更新为 1.35.1-gke.8。

  • 其他：
    • 更新了组件的基础映像摘要。

gcsfusecsi

将 gcsfusecsi 组件从 1.35.55 版更新到了 1.35.58 版。

gpu-device-plugin

将 gpu-device-plugin 组件从版本 1.35.4-gke.4 更新到了 1.35.5-gke.0。

  • 安全修复程序：
    • 将 Ubuntu 基础映像更新为 22.04 和 24.04，以解决漏洞问题。

networkpolicy-antrea

将 networkpolicy-antrea 组件从 0.6.8 版更新到了 0.6.9 版。

  • 其他：
    • 已将 cluster-proportional-autoscaler 映像更新为 v1.10.2-gke.54。

networkpolicy-calico

将 networkpolicy-calico 组件从版本 4.35.3 更新到了 4.35.4。

  • 安全修复程序：
    • 通过将 Go build 版本更新为 1.25.12，修复了 CVE-2026-39822。
    • 将 golang.org/x/crypto 更新为 v0.52.0，以解决 calico/node 中的安全漏洞。

osimage

将 osimage 组件从版本 1.35.132 更新到了 1.35.148。

tpu-device-plugin

将 tpu-device-plugin 组件从版本 1.35.13-gke.5 更新到了 1.35.13-gke.6。

  • 安全修复程序：
    • 将 google.golang.org/grpc 更新至 v1.82.1，以解决漏洞 GO-2026-6061。