k3s v1.36.5-rc1+k3s1 版本发布：镜像升级与安全补丁

技术要点

本次发布的 k3s 版本为 v1.36.5-rc1+k3s1，发布时间为 2026-09-24T01:44:31.000Z。该版本主要聚焦于依赖组件的版本更新与安全加固，具体变更条目如下：

1. 镜像版本升级：
   • 升级了 rancher/mirrored-coredns-coredns 镜像版本。
   • 更新了 gateway-api 和 traefik 的镜像版本。
   • 将 Traefik 升级至 v3.7.13 版本。
   • 升级了 helm-controller。
   • 升级了 k3s-io/kubernetes 和 Go 语言引用。
2. 安全漏洞修复：
   • 为修复 CVE-2026-84445 漏洞，将 google.golang.org/grpc 库升级至 v1.83.2 版本。
3. 功能与稳定性改进：
   • 引入了 Require node password informer sync before using cache 的变更，要求在使用缓存前确保节点密码信息器已完成同步。

原理与背景

本次版本更新的核心动机在于维护 k3s 集群的稳定性、安全性与兼容性。

• 依赖组件更新：k3s 作为轻量级 Kubernetes 发行版，深度集成了 CoreDNS（用于集群内部服务发现）、Traefik（作为默认 Ingress 控制器）等组件。对这些组件的镜像版本进行升级，主要是为了获取上游项目修复的 Bug、性能优化以及新功能支持。例如，将 Traefik 升级至 v3.7.13，可以确保 k3s 用户能够使用 Traefik 的最新稳定特性与修复。
• 安全漏洞应对：CVE-2026-84445 是 google.golang.org/grpc 库中存在的一个安全漏洞。gRPC 是 k3s 内部组件间通信的重要协议。及时将该库升级至 v1.83.2 版本，是消除潜在安全风险、保护集群通信安全的必要措施。
• 内部机制优化：Require node password informer sync before using cache 这一变更，旨在解决 k3s 内部节点认证信息同步可能存在的竞态条件或数据不一致问题。通过强制要求信息器同步完成后再使用缓存数据，可以提高节点认证过程的可靠性与一致性，避免因缓存旧数据而导致的安全或认证问题。

落地建议

对于使用 k3s 的用户或运维工程师，在考虑升级至 v1.36.5-rc1+k3s1 或类似版本时，可以参考以下通用做法：

1. 评估变更影响：在升级前，仔细审阅发布说明中的变更条目。重点关注涉及核心组件（如 CoreDNS、Traefik）的版本升级，以及安全漏洞修复。评估这些变更是否会对现有集群应用或配置产生影响。
2. 遵循升级流程：k3s 的升级通常涉及控制平面节点和工作节点。建议遵循官方推荐的升级步骤，先在非生产环境或测试集群中进行验证，确保升级过程平滑，业务不受影响。
3. 关注安全补丁：对于包含安全漏洞修复的版本，应优先评估并安排升级。及时应用安全补丁是维护集群安全基线的重要环节。
4. 备份与回滚计划：在进行任何版本升级操作前，备份重要的集群配置和数据。同时，制定清晰的回滚计划，以便在升级出现问题时能够快速恢复集群到之前的稳定状态。
5. 测试兼容性：升级后，应测试集群的基本功能，如 Pod 调度、服务发现、Ingress 路由等，确保所有组件在新的版本组合下工作正常。