K3s v1.36.5+k3s1 发布：Kubernetes 升级与 Traefik 破坏性变更

技术要点

K3s v1.36.5+k3s1 版本的核心更新围绕 Kubernetes 版本升级与关键组件变更展开。

1. Kubernetes 核心版本升级：本次发布将 Kubernetes 升级至 v1.36.5。
2. Traefik Helm Chart 破坏性变更：Traefik chart 升级至 v40.x。此变更包含一个破坏性修改：Ingress provider 的名称从 kubernetesIngressNginx 变更为 kubernetesIngressNGINX。用户需据此调整相关配置。
3. 组件版本批量更新：
   • Traefik 镜像版本更新至 v3.7.13。
   • gateway-api 版本更新至 1.6.1。
   • rancher/mirrored-coredns-coredns 镜像版本提升。
   • google.golang.org/grpc 库升级至 v1.83.2，以修复 CVE-2026-84445 漏洞。
   • etcd 升级至 v3.7.1-k3s3，以支持非阻塞日志。
   • kine 升级至 v0.17.1。
   • helm-controller 版本提升。
   • k3s-io/api 升级至 v0.2.0。
4. 问题修复与功能改进：
   • 修复了从压缩的 etcd 快照恢复的问题。
   • 在 riscv64 构建中启用了 seccomp。
   • 修复了 --flannel-cni-conf 参数未能传递到嵌入式 flannel 的问题。
   • 修复了 deploy controller 在 mtime 被固定到 epoch 时不重新应用 manifests 的问题。
   • 要求在使用缓存前，node password informer 必须完成同步。
   • 拒绝匿名访问 supervisor 路由（spegel/pprof/metrics），提升安全性。
   • 改进了 CA 哈希验证。
   • Servicelb 支持多个 lbpools。
   • 修复了 minio.Object 读取后未关闭的问题。

原理与背景

本次发布的主要动机在于跟进上游 Kubernetes 的稳定版本，并整合社区关键组件的更新与安全补丁。

Kubernetes 作为 K3s 的核心，升级至 v1.36.5 旨在获得该版本包含的功能改进、性能优化及漏洞修复。Traefik 作为 K3s 默认的 Ingress 控制器，其 Helm Chart 的升级（v40.x）通常伴随着 API 或配置结构的调整。provider 名称从 kubernetesIngressNginx 到 kubernetesIngressNGINX 的变更，可能是为了遵循更统一的命名规范或适配 Traefik 内部的新架构，这一破坏性变更要求用户主动更新配置，以确保 Ingress 规则能正确生效。

其他组件的版本提升，如 etcd、kine、grpc 等，主要目的是利用上游版本的新特性（如 etcd 的非阻塞日志支持）或修复已知安全漏洞（如 grpc 的 CVE-2026-84445）。一系列问题修复则针对 K3s 在特定场景下的稳定性与功能性缺陷，例如 etcd 快照恢复、flannel 配置传递等，这些修复有助于提升集群在备份恢复、网络配置等方面的可靠性。拒绝匿名访问 supervisor 路由是一项明确的安全加固措施，旨在防止未经授权的访问探测或信息泄露。

落地建议

对于使用 K3s 的用户，在考虑升级至 v1.36.5+k3s1 或类似版本时，可遵循以下通用做法：

1. 评估破坏性变更：重点关注如 Traefik provider 名称变更这类破坏性更新。在升级前，应检查现有 Ingress 配置，并提前准备相应的配置调整方案。建议在测试环境中先行验证。
2. 备份与回滚准备：任何版本升级都存在潜在风险。升级前，务必对集群状态、重要数据（特别是 etcd 中的数据）进行备份。确保拥有可行的回滚计划，以便在升级出现问题时能快速恢复。
3. 关注安全更新：版本中包含了针对 CVE 漏洞的修复。应评估这些漏洞对自身业务的影响，并优先安排升级以消除安全风险。
4. 逐步验证：升级后，应系统性地验证集群核心功能，包括节点状态、网络连通性、Ingress 服务、持久化存储等，确保所有组件按预期工作。
5. 查阅官方文档：对于更详细的变更说明和升级指南，应参考 K3s 官方发布的完整 release notes 和文档，以获取最准确的信息。