K3s v1.35.9+k3s1 版本发布：Kubernetes升级与Traefik Breaking Change

技术要点

本次发布的K3s版本为v1.35.9+k3s1，其核心变更围绕Kubernetes内核升级与内置组件更新展开。

1. Kubernetes内核升级：Kubernetes版本从v1.35.8升级至v1.35.9。具体的Kubernetes新特性与修复需参考Kubernetes官方发布说明。
2. Traefik Chart重大变更：内置的Traefik Helm Chart升级至v40.x版本。此升级包含一个Breaking Change：在进行ingress-nginx迁移时，provider的名称从kubernetesIngressNginx变更为kubernetesIngressNGINX。用户需据此调整相关配置。
3. 组件版本Bump与安全修复：
   • 将rancher/mirrored-coredns-coredns镜像版本进行升级。
   • 升级gateway-api和traefik镜像版本。
   • 将Traefik主版本升级至v3.7.13。
   • 为修复CVE-2026-84445，将google.golang.org/grpc库升级至v1.83.2。
   • 将etcd升级至v3.7.1-k3s3，以支持非阻塞日志。
   • 将kine升级至v0.17.1。
   • 将helm-controller进行升级。
   • 将k3s-io/kubernetes及相关Go依赖进行升级。
4. 多项功能修复与优化：
   • 修复了从压缩的etcd快照恢复的问题。
   • 在riscv64构建中启用了seccomp。
   • 使用ginkgo CLI运行测试。
   • 升级k3s-io/api至v0.2.0。
   • 为servicelb支持多个lbpools。
   • 修复了minio.Object在读取后未关闭的问题。
   • 修复了--flannel-cni-conf配置未传递到嵌入式flannel的问题。
   • 在check-config命令中，当stdout非终端时抑制颜色输出。
   • 修复了deploy controller在mtime被固定到epoch时不重新应用manifests的问题。
   • 要求节点密码informer同步完成后再使用缓存。
   • 拒绝匿名访问supervisor router（spegel/pprof/metrics）。
   • 改进了CA哈希验证。

原理与背景

本次版本更新的主要动机源于上游项目的迭代与安全维护。

Kubernetes作为K3s的核心，其版本升级旨在获取上游的最新功能、性能改进与bug修复。v1.35.9作为v1.35系列的一个点版本，通常包含对稳定性与安全性的重要修补。

Traefik Chart的升级至v40.x并引入provider名称的Breaking Change，通常是上游Traefik项目为了统一命名规范、增强配置清晰度或适配新架构而做出的设计决策。这种变更要求用户主动调整配置，以确保Ingress路由规则的正确解析与转发，避免因名称不匹配导致的服务中断。

对google.golang.org/grpc等依赖库的升级，直接对应于已知的安全漏洞（如CVE-2026-84445）。这是软件供应链安全维护的标准实践，通过更新依赖来消除潜在的安全风险。

其他组件的Bump（如CoreDNS、etcd、kine）以及多项功能修复，则体现了K3s团队对内置组件稳定性、兼容性及用户体验的持续优化。例如，启用riscv64的seccomp是为了增强该架构下的安全隔离；修复etcd快照恢复问题则是为了保障数据备份与恢复功能的可靠性。

落地建议

对于使用K3s的用户，在考虑升级至v1.35.9+k3s1版本时，建议遵循以下通用实践：

1. 充分评估与备份：在升级前，务必仔细阅读本次发布的完整说明，特别是关于Traefik provider名称变更的Breaking Change。对生产环境进行完整备份，包括集群状态、持久化数据及关键配置。
2. 测试Breaking Change：如果集群中使用了Traefik作为Ingress控制器，并配置了ingress-nginx相关的provider，必须在测试环境中预先验证kubernetesIngressNGINX新名称的配置是否生效，确保服务流量不受影响。
3. 关注安全补丁：本次版本包含了针对特定CVE的安全修复。评估该漏洞是否影响您的业务环境，并优先安排升级以消除风险。
4. 渐进式升级：对于大规模集群，建议采用分批、渐进式的升级策略，先升级非关键节点或测试集群，观察稳定性后再全面推广。
5. 验证组件功能：升级后，应全面验证K3s内置组件（如CoreDNS、Flannel、Traefik等）的基本功能是否正常，确保集群网络、服务发现与负载均衡等核心能力不受影响。
6. 查阅官方文档：升级过程中遇到的任何具体问题，应优先参考K3s官方文档与发布说明，获取权威指导。