GKE 1.36 更改日志

本文档列出了 Google Kubernetes Engine (GKE) 1.36 次要版本的补丁版本变更。

这些变更日志是有关特定 GKE 系统组件更新的补充信息。如需了解 GKE 中的功能、变更和安全问题，请参阅以下文档：

1.36.4-gke.2326000

以下各部分介绍了此补丁版本与上一个补丁版本 1.36.4-gke.2304000 相比发生的变化。如需了解上游 Kubernetes 变更，请参阅 Kubernetes v1.36.4 变更日志。

组件更新

以下各部分提供了有关此补丁版本中特定 GKE 系统组件更新的信息。

kuberay-operator

将 kuberay-operator 组件从 36.0.17 版更新到了 36.0.21 版。

  • 安全修复程序：
  • 其他：
    • 更新了 fluent-bit-ray 和 gke-distroless 的容器基础映像。
    • 更新了 TPU 网络钩子的基础映像，包括 Go 和 GKE distroless 静态映像。

managedcertificates

将 managedcertificates 组件从版本 3.4.9 更新到了 3.4.10。

1.36.4-gke.2304000

以下部分介绍了此补丁版本与上一个补丁版本 1.36.4-gke.2202002 相比的变化。如需了解上游 Kubernetes 更改，请参阅 Kubernetes v1.36.4 变更日志。

组件更新

以下部分提供了有关此补丁版本中特定 GKE 系统组件更新的信息。

filestorecsi

将 filestorecsi 组件从 1.36.24 版更新到了 1.36.25 版。

gke-metrics-agent

将 gke-metrics-agent 组件从版本 2.136.20-gke.5 更新到了 2.136.20-gke.6。

  • 功能：
    • 为节点守护程序实现了压力失速信息 (PSI) 收集。
  • 安全修复程序：
    • 修复了 autoscaling-metrics-exporter 中的安全漏洞。
  • 其他：
    • 更新了资源伸缩配置，以便在启用工作负载自动伸缩或 Managed Service for Prometheus 时自动调整 CPU 和内存限制。
    • 通过更新端点识别逻辑并添加用于集群项目编号和管理状态的新元数据字段，增强了多租户支持。

gpu-device-plugin

将 gpu-device-plugin 组件从 1.36.5-gke.6 版更新到了 1.36.5-gke.9 版。

  • 安全修复程序：
  • 其他：
    • 更新了容器基础映像。
    • 更新了配置，以支持跨集群环境迁移 GPU 设备插件。
    • 更新了 gke-metrics-collector 映像。

managed-opentelemetry

将 managed-opentelemetry 组件从版本 1.36.21-gke.3 更新到了 1.36.21-gke.4。

networkpolicy-calico

将 networkpolicy-calico 组件从版本 4.36.2 更新到了 4.36.3。

pdcsi

将 pdcsi 组件从 1.36.28 版更新到了 1.36.32 版。

  • bug 修复：
    • 修复了在具有过时 udev 符号链接的节点上回退到手动 /dev/disk/by-id 符号链接创建时出现的 NodeStageVolume EEXIST 错误和 VerifyDevicePath 失败。
    • 提高了默认 StorageClass 回滚处理程序的弹性，并添加了对标准容器模式的支持。
  • 安全修复：
    • 已将 google.golang.org/grpc 更新至 v1.83.2，以解决 csi-provisioner、csi-attacher、csi-snapshotter、csi-snapshot-validation-webhook 和 snapshot-controller 映像中的 CVE-2026-84445 问题。
  • 其他：
    • 将 csi-resizer 边车映像更新为 v2.1.0-gke.25。
    • 将容器基础映像更新到了最新的 distroless-static 版本。

1.36.4-gke.2202002

以下各部分介绍了此补丁版本与上一个补丁版本 1.36.4-gke.2046002 相比发生的变化。如需了解上游 Kubernetes 更改，请参阅 Kubernetes v1.36.4 变更日志。

组件更新

以下部分提供了有关此补丁版本中特定 GKE 系统组件更新的信息。

accelerator-operator

将 accelerator-operator 组件从 1.36.7 版更新到了 1.36.8 版。

  • bug 修复：
    • 将 controller-runtime informer 缓存限制为标记为 cloud.google.com/gke-gpudirect-tcpx=rdma 的节点和标记为 gpudirect-controller-component=nccl-rdma-installer 的 kube-system Pod，并去除了 managedFields。Operator 内存不再随集群大小而增长。
    • 将领导者选举超时时间增加到 60 秒 (60s) 租约、40 秒 (40s) 续订截止时间和 5 秒 (5s) 重试期（可通过 --leader-election-lease-duration、--leader-election-renew-deadline、--leader-election-retry-period 进行配置），以避免在 apiserver 负载下因租约续订超时而重启。
  • 安全修复程序：
    • 将 google.golang.org/grpc 从 v1.83.1 更新到 v1.83.2，将 golang.org/x/net 更新到 v0.58.0，将 golang.org/x/sys 更新到 v0.47.0，将 golang.org/x/text 更新到 v0.41.0。

filestorecsi

将 filestorecsi 组件从 1.36.23 版更新到了 1.36.24 版。

gcsfusecsi

将 gcsfusecsi 组件从 1.36.46 版更新到了 1.36.35 版。

  • bug 修复：
    • 允许在 StaticPodNetworkPolicy 中为 gcsfusecsi-controller 添加 ToLocalhost 出站流量，以防止在本地 OAuth 令牌交换期间出现 SPNP 防火墙丢弃。
  • 安全修复程序：
    • 将 golang.org/x/mod 从 v0.37.0 更新到 v0.40.0，以解决安全漏洞 GO-2026-6179。
  • 其他：
    • 将 CSI 驱动程序组件的 Go 基础映像更新为版本 1.25.13。

gke-metrics-agent

gke-metrics-agent 组件已从 2.136.20-gke.4 版更新到 2.136.20-gke.5 版。

  • 功能：
    • 为 node-daemons 实现了压力失速信息 (PSI) 收集功能。
  • 安全修复程序：
    • 解决了 autoscaling-metrics-exporter 中的安全漏洞。

kube-addon-manager

将 kube-addon-manager 组件从版本 35.0.5 更新到了 35.0.6。

  • 功能：
    • 添加了对多架构版本的支持。

workloadautoscaler

将 workloadautoscaler 组件从 19.14.0 版更新到了 19.15.0 版。

1.36.4-gke.2046002

与之前的补丁版本 1.36.4-gke.2046000 相比，此版本中没有面向客户的更新。如需了解上游 Kubernetes 变更，请参阅 Kubernetes v1.36.4 变更日志。

1.36.4-gke.1495002

与之前的补丁版本 1.36.4-gke.1495000 相比，此版本没有面向客户的更新。如需了解上游 Kubernetes 变更，请参阅 Kubernetes v1.36.4 变更日志。

1.36.4-gke.1391002

与之前的补丁版本 1.36.4-gke.1391000 相比，此版本没有面向客户的更新。如需了解上游 Kubernetes 更改，请参阅 Kubernetes v1.36.4 变更日志。

1.36.4-gke.2046000

以下各部分介绍了此补丁版本与上一个补丁版本 1.36.4-gke.1495000 相比所做的更改。如需了解上游 Kubernetes 更改，请参阅 Kubernetes v1.36.4 变更日志。

组件更新

以下部分提供了有关此补丁版本中特定 GKE 系统组件更新的信息。

accelerator-operator

将 accelerator-operator 组件从 1.35.1 版更新到了 1.36.7 版。

  • 功能：
    • 将 GKE 1.34+ 集群的默认 NCCL 插件版本映射更新为 v1.1.2。
    • 将 NCCL 版本映射更新为 1.34 及更高版本的 v1.1.2。
  • bug 修复：
    • 从 RDMA NCCL 安装程序容器入口点中移除了 --install-nccl，以防止覆盖工作负载的 NCCL 核心库。
  • 安全修复程序：
    • 将 Go 运行时更新为 1.25.14，并将 gRPC 库更新为 v1.82.1，以解决漏洞，包括 CVE-2026-33186、CVE-2026-39821 和 CVE-2026-27144。
    • 将 google.golang.org/grpc 从 v1.82.1 更新为 v1.83.1，以解决 GO-2026-6348。
    • 将 go.opentelemetry.io/otel 从 v1.43.0 更新到 v1.44.0，以解决 GO-2026-5158。
    • 将 golang.org/x/net 更新为 v0.56.0，将 golang.org/x/sys 更新为 v0.46.0，将 golang.org/x/text 更新为 v0.39.0，以解决 GO-2026-5942、GO-2026-5024 和 GO-2026-5970。
  • 其他：
    • 将 Go 基础映像更新为版本 1.25.9。
    • 将 go.opentelemetry.io/contrib/instrumentation/net/http/otelhttp 从 v0.53.0 更新到了 v0.61.0。

filestorecsi

将 filestorecsi 组件从 1.36.20 版更新到了 1.36.23 版。

  • 安全修复程序：
  • 其他：
    • 更新了组件配置，为 webhook 服务器添加了明确的证书和密钥选项。

gcsfusecsi

将 gcsfusecsi 组件从版本 1.36.43 更新到了 1.36.46。

  • bug 修复：
    • 将 GCSFuse 二进制文件升级到 v3.11.3：
    • 针对 DirectPath 连接验证停用了内部 Go SDK 重试。
    • 通过跳过冗余的 DirectPath 连接检查，加快 Rapid 存储桶的启动速度。
    • 修复了窗口化列出中隐式目录的统计信息缓存负条目 bug。

gke-metrics-agent

将 gke-metrics-agent 组件从 2.136.20-gke.3 版更新到 2.136.20-gke.4 版。

  • 功能：
    • 实现了 node-daemon 压力失速信息 (PSI) 收集。
  • 其他：
    • 通过优化供应商管理和依赖项修剪，将容器映像大小从 64MB 缩减至 47MB。
    • 更新了多租户集群检测和按租户渲染的配置表达式。

gpu-device-plugin

将 gpu-device-plugin 组件从 1.36.5-gke.3 版更新到 1.36.5-gke.6 版。

  • 功能：
    • 通过引入 cloud.google.com/gke-gpudirect-storage 节点标签添加了对 GPUDirect Storage (NVIDIA FS) 的支持，该标签可在 GPU 驱动程序安装期间启用 --nvidia-fs 标志。
  • 其他：
    • 将 gpu-device-plugin 提升至 v1.36.5-gke.0 以修复漏洞。
    • 将 nvidia-partition-gpu 升级到了 v1.36.5-gke.0，以修复漏洞。
    • 将 nvidia-persistenced-installer 提升至 v1.36.5-gke.0 以修复漏洞。
    • 更新了 gpu-fraction-divisor 路径，以使用下划线代替连字符。

pdcsi

将 pdcsi 组件从 1.36.25 版更新到了 1.36.28 版。

  • 安全修复：
    • 更新了 Go 模块和容器基础映像，以解决安全漏洞。
    • 更新了容器基础映像和 Go 依赖项，以解决 CVE-2026-78662 和 CVE-2026-84304 问题。
  • 其他：
    • 更新了 csi-provisioner、csi-node-driver-registrar、csi-snapshotter 和 snapshot-controller 的容器基础映像。

tpu-device-plugin

将 tpu-device-plugin 组件从 1.36.9-gke.0 版更新到了 1.36.9-gke.1 版。

  • 其他：
    • 将构建器映像更新为 Golang 1.27.0，并将运行时基础映像更新为基于 Debian 13 的 distroless 版本。

1.36.4-gke.1495000

以下部分介绍了此补丁版本与上一个补丁版本 1.36.4-gke.1391000 相比所做的更改。如需了解上游 Kubernetes 变更，请参阅 Kubernetes v1.36.4 变更日志。

Kubernetes 更新

k8s-api

将 k8s-api 同类群组从版本 1.36.4-gke.200 更新到了 1.36.4-gke.400。

  • 其他：
    • 更新了 1.36 分支的 Go 运行时和容器基础映像。

组件更新

以下部分提供了有关此补丁版本中特定 GKE 系统组件更新的信息。

clouddns

将 clouddns 组件从版本 36.3.3 更新到了 36.3.5。

  • bug 修复：
    • Cloud DNS 控制器：改进了多租户环境中 Cloud DNS 控制器的关闭逻辑。改进后的逻辑有助于确保在控制器关闭时正确清理协调器、更新器和通知器，从而防止资源泄露。

filestorecsi

将 filestorecsi 组件从 1.36.19 版更新到了 1.36.20 版。

  • 安全修复：

gcp-controller-manager-combined

将 gcp-controller-manager-combined 组件从 36.2.0 版更新到了 36.2.3 版。

  • 功能：
    • 在 nodeannotator 中添加了对为 TPU8i 填充 TPU 分区拓扑标签的支持。
  • 安全修复：
    • 已将 github.com/google/cel-go 更新至 v0.29.2，以解决安全漏洞 GHSA-gcjh-h69q-9w9g。
  • 其他：
    • 将自定义签名者名称委托的标志名称更新为 allow-signing-kubelet-serving-for-non-gcp。
    • 将自定义 signerName 委托的配置标志更新为 allow-signing-kubelet-serving-for-non-gcp。
    • 更新了 gcp-controller-manager 容器映像。

gcsfusecsi

将 gcsfusecsi 组件从版本 1.36.42 更新到了 1.36.43。

  • 安全修复：
    • 更新了 Go 模块、基础映像和 csi-node-driver-registrar 组件，以解决安全漏洞。
  • 其他：
    • 将 Go 运行时更新到了 1.27.1 版。

gke-metrics-agent

将 gke-metrics-agent 组件从版本 2.136.20-gke.1 更新为 2.136.20-gke.3。

  • 功能：
    • 实现了 node-daemon 压力失速信息 (PSI) 收集。
    • 添加了对节点守护进程的压力失速信息 (PSI) 收集的支持。
  • 其他：
    • 通过在 Prometheus 升级后优化供应商依赖项管理，优化了容器映像大小。
    • 更新了配置，以包含 Starlark 选项文件。
    • 已将 Workload Autoscaler 更新到 0.27.0-gke.18 版。

gvisor

将 gvisor 组件从 1.36.23 版更新到了 1.36.24 版。

  • 其他：
    • 更新了容器基础映像。

kube-controller-manager

将 kube-controller-manager 组件从 8.1.0 版更新到了 8.1.3 版。

  • 其他：
    • 更新了配置，以包含 options.star Starlark 文件。

kubedns

将 kubedns 组件从 36.0.3 版更新到了 36.0.5 版。

  • 功能：
    • 添加了配置支持，可自动计算单栈 IPv6 和 IPv4 集群的 KubeDNS 集群 IP。
  • bug 修复：
    • 优化了内存请求和限制逻辑，以便根据 DNS 引擎类型和控制平面节点大小进行动态扩缩。
  • 安全修复程序：
  • 其他：
    • 为在集群范围内使用 Cloud DNS 且采用 Dataplane V2 的 Autopilot 集群引入了迁移防护机制。
    • 更新了组件选项，以包含用于监控端点和项目特定元数据的导入。

managed-opentelemetry

将 managed-opentelemetry 组件从版本 1.36.21-gke.2 更新到了 1.36.21-gke.3。

  • 其他：
    • 将自定义 OpenTelemetry 收集器映像更新到了版本 0.153.0-gke.5。

networkpolicy-calico

将 networkpolicy-calico 组件从 4.36.1 版更新到了 4.36.2 版。

  • 安全修复程序：
    • 将 Go 运行时更新为 v1.25.12，并将 golang.org/x/crypto 模块更新为 v0.52.0，以解决 CVE-2026-39822。

nodelocaldns

将 nodelocaldns 组件从 36.1.2 版更新到了 36.1.5 版。

  • 安全修复程序：
    • 更新了 Go 模块，以解决安全漏洞。

pdcsi

将 pdcsi 组件从版本 1.36.24 更新到了 1.36.25。

  • 安全修复：
    • 更新了 Go 模块、Go 运行时和容器基础映像，以解决 Persistent Disk CSI 驱动程序及其边车组件（包括 csi-resizer、csi-snapshotter、csi-provisioner 和 csi-attacher）中的安全漏洞。

tpu-device-plugin

将 tpu-device-plugin 组件从 1.36.7-gke.1 版更新到了 1.36.9-gke.0 版。

  • 功能：
    • 更新了 ACS 代理映像，以包含 FatalErrorInfo 和 TPU 停止诊断收集。
    • 通过 --enable-baremetal-mode 引入了 TPU 裸机节点支持。
    • 已跳过 TPU8i 的 MDS 分区拓扑标签轮询（由 cloud-provider-gcp 填充）。
    • 添加了多切片网络、计算和传输大小/延迟时间指标。
    • 添加了对 enable_full_hierarchy_labels KCP 特性的支持。
    • 将 ACS 代理 (acs-agent) 容器从 tpu-device-plugin DaemonSet 移至 ai-telemetry-collector DaemonSet，以防止客机诊断遥测失败影响设备插件健康状况和调度可用性。
  • bug 修复：
    • 在 TPU 设备插件指标中添加了对桶数量的边界检查。
    • 已恢复 vbar.sock 条权限更改日志。
    • 将 ACS Agent 映像还原为 sha256:2c2cad2eff5811c906334bced6a00b6f938d4308a26921bab9f5fc7d7ef445fb，以防止同步 informer 缓存同步停滞阻止 TPU 设备插件注册，并解除对集群自动扩缩器资格认证的阻止。
  • 安全修复程序：
    • 将 google.golang.org/grpc 更新到了 1.82.1 版，以解决安全漏洞 GO-2026-6061。
    • 通过将 vbar 目录以只读方式装载到工作负载中并强制执行 safeChmod，阻止了 vbar.sock 符号链接提权。
    • 将运行时基础映像更新为 gcr.io/distroless/static-debian13，并将构建器更新为 Golang 1.27.0，以修复基础映像漏洞。
  • 其他：
    • 更新了 gke-distroless/bash 基础映像。

workloadautoscaler

将 workloadautoscaler 组件从版本 19.11.0 更新到了 19.14.0。

  • 其他：
    • 将 Pod 纵向自动扩缩器组件（admission-controller、recommender 和 updater）以及 autoscaling-metrics-adapter 更新到了 0.27.0-gke.19 版。

1.36.4-gke.1391000

以下部分介绍了此补丁版本与上一个补丁版本 1.36.4-gke.1247000 相比所做的更改。如需了解上游 Kubernetes 更改，请参阅 Kubernetes v1.36.4 变更日志。

组件更新

以下各部分提供了有关此补丁版本中特定 GKE 系统组件更新的信息。

customer-logs-exporter

将 customer-logs-exporter 组件从版本 1.36.0-gke.11 更新到了 1.36.0-gke.12。

  • 安全修复程序：
    • 将 google.golang.org/grpc 更新为 v1.82.1，以解决安全公告 GO-2026-6061 中描述的问题。

filestorecsi

将 filestorecsi 组件从 1.36.17 版更新到了 1.36.19 版。

  • 其他：
    • 将 Go 运行时更新至 1.25.11 版，并刷新了 csi-provisioner、csi-resizer、csi-snapshotter、snapshot-controller 和 snapshot-validation-webhook 的容器基础映像。
    • 已将基础映像更新为最新的 distroless 版本，以提高安全性和稳定性。
    • 在组件清单中将内部初始化容器明确命名为 imgSpnpInitContainer。

gcsfusecsi

将 gcsfusecsi 组件从 1.36.41 版更新到了 1.36.42 版。

  • 其他：
    • 将 Go 运行时更新到了 1.27.1 版，并更新了 CSI 驱动程序、节点驱动程序注册器、边车装载器、Webhook 和元数据预提取器的容器映像。

gpu-device-plugin

将 gpu-device-plugin 组件从 1.36.3-gke.2 版更新到了 1.36.5-gke.3 版。

  • 其他：
    • 将 gpu-device-plugin 升级到 v1.36.4-gke.0
    • 将 nvidia-partition-gpu 升级到 v1.36.4-gke.0
    • 将 nvidia-persistenced-installer 升级到 v1.36.4-gke.0
    • 更新了 gpu-fraction-divisor 路径，以使用下划线代替连字符。

kube-addon-manager

将 kube-addon-manager 组件从版本 35.0.2 更新为 35.0.5。

  • 功能：
    • 添加了对多架构版本的支持。
  • 其他：
    • 更新了 kubectl prune 许可名单，以包含运行 Kubernetes 1.23.0 及更高版本的集群的流控制资源（FlowSchema 和 PriorityLevelConfiguration）。
    • 添加了配置选项，用于管理插件管理器的领导者选举模式。

pdcsi

将 pdcsi 组件从 1.36.23 版更新到了 1.36.24 版。

  • 安全修复程序：
  • 其他：
    • 将 Go 运行时更新到了 1.26.5 版。
    • 更新了 CSI 驱动程序、快照程序和相关边车组件的 debian-base 和 distroless-static 容器基础映像。

1.36.4-gke.1247000

以下部分介绍了此补丁版本与上一个补丁版本 1.36.4-gke.1082000 相比的变化。如需了解上游 Kubernetes 更改，请参阅 Kubernetes v1.36.4 变更日志。

组件更新

以下各部分提供了有关此补丁版本中特定 GKE 系统组件更新的信息。

gcp-controller-manager-combined

将 gcp-controller-manager-combined 组件从 36.1.4 版更新到了 36.2.0 版。

  • 功能：
    • 在组件配置中添加了对 ToLocalhost 类型的支持。
    • 添加了 --fetched_cert_validity 标志，以便为提取的凭据配置证书 TTL。
  • 其他：
    • 将自定义签名者名称委托标志重命名为 allow-signing-kubelet-serving-for-non-gcp，以更清晰地了解如何在非 GCP 节点上签名 kubelet 服务证书。
    • 移除了 /etc/srv/kubernetes/pki 的旧版宿主路径卷装载，以及集群 CA 文件（--cluster-root-ca-file 和 --cluster-ca-bundle）的相关命令行标志，转而使用 DCD。

gke-metrics-agent

将 gke-metrics-agent 组件从 2.136.20-gke.0 版更新到了 2.136.20-gke.1 版。

  • 功能：
    • 为节点守护程序实现了压力失速信息 (PSI) 收集。
  • 其他：
    • 通过优化供应商依赖项剪裁，减小了容器映像大小。

l7-lb-controller-combined

将 l7-lb-controller-combined 组件从 1.41.3-gke.0 版更新到了 1.41.4-gke.0 版。

  • 功能：
    • 通过 ip-collection-v6 注解添加了对 BYOIPv6 NetLB 的支持。
  • 问题修复：
    • 改进了独立 NEG LB 控制器，具有更好的事件消息传递、规则排序、IP 清理和用户错误分类（包括 BackendNotAttached 条件）。
    • 允许使用没有 ip-collection-v6 注解的静态 BYOIPv6 地址，并在 ILB 上错误地使用该注解时添加警告。
    • 重构了 L4 独立 NEG 控制器逻辑。
  • 安全修复程序：
    • 通过在将 LB VIP 写入服务状态之前验证服务 NEG 是否已附加到 LB 后端服务，解决了独立 NEG 控制器中的混淆代理漏洞。

osimage

将 osimage 组件从 1.36.95 版更新到了 1.36.99 版。

  • 安全修复程序：
  • 其他：
    • 更新了系统软件包和依赖项：containerd 和 containerd-test 更新到 v2.2.7，fluent-bit 更新到 v4.2.8，unzip 更新到 v6.0_p31，dash 更新到 v0.5.13.5，libverto 更新到 v0.3.2-r1，popt 更新到 v1.19-r1，acl 更新到 v2.4.0-r2，passwdqc 更新到 v2.0.3-r1。
    • 针对 net.ipv4.udp_mem 调整了运行时 sysctl 配置。

1.36.4-gke.1082000

以下部分介绍了此补丁版本与上一个补丁版本 1.36.3-gke.1767000 相比的变化。如需了解上游 Kubernetes 变更，请参阅 Kubernetes v1.36.4 变更日志。

组件更新

以下各部分提供了有关此补丁版本中特定 GKE 系统组件更新的信息。

customer-logs-exporter

将 customer-logs-exporter 组件从 1.36.0-gke.9 版更新到了 1.36.0-gke.11 版。

  • 安全修复程序：
    • 将 google.golang.org/grpc 更新为 v1.82.1，以解决 GO-2026-6061。
  • 其他：
    • 通过 ComponentOptionsConfig 引入了对 Cloud Logging 端点和项目特定元数据的新配置支持。

gke-metrics-agent

将 gke-metrics-agent 组件从 2.136.18-gke.1 版本更新到了 2.136.20-gke.0 版本。

  • 功能：
    • 实现了节点级压力失速信息 (PSI) 收集。
  • 其他：
    • 通过调整供应商依赖项优化了容器映像大小，将映像大小从大约 64MB 减小到 47MB。
    • 已将 Workload Autoscaler 更新到 0.27.0-gke.17 版。

gvisor

将 gvisor 组件从版本 1.36.19 更新为 1.36.23。

  • 其他：
    • 将 gVisor 更新到了版本 20260727.0_RC04。

l7-lb-controller-combined

将 l7-lb-controller-combined 组件从 1.41.1-gke.0 版更新到了 1.41.3-gke.0 版。

  • 问题修复：
    • 改进了 L4 地址管理器 IP 验证，以防止出现误报的子字符串匹配，并强制执行明确的网络层级和负载均衡方案验证。
  • 安全修复程序：
    • Go 版本更新至 1.26.6，Go Kubernetes 客户端依赖项更新至 v1.36.3，将 google.golang.org/api 和 google.golang.org/grpc 更新至最新版本。

osimage

将 osimage 组件从 1.36.75 版更新到了 1.36.95 版。

1.36.3-gke.1767000

以下部分介绍了此补丁版本与上一个补丁版本 1.36.3-gke.1640000 相比的变化。如需了解上游 Kubernetes 更改，请参阅 Kubernetes v1.36.3 变更日志。

组件更新

以下各部分提供了有关此补丁版本中特定 GKE 系统组件更新的信息。

clouddns

将 clouddns 组件从 36.3.2 版更新到了 36.3.3 版。

  • 问题修复：
    • 通过在 clouddns 容器中将 tmp 装载为读写，修复了崩溃循环。

gcsfusecsi

将 gcsfusecsi 组件从 1.36.38 版更新到了 1.36.41 版。

  • 安全修复程序：
    • 将 golang.org/x/mod 从 v0.37.0 更新到 v0.40.0，以解决安全漏洞 GO-2026-6179。

networkpolicy-calico

将 networkpolicy-calico 组件从 4.36.0 版更新到了 4.36.1 版。

  • 安全修复程序：
    • 通过将 Go build 版本更新为 1.25.12，修复了 CVE-2026-39822。
    • 将 golang.org/x/crypto 更新为 v0.52.0，以修复 Calico 节点组件中的安全漏洞。