Kadenz & Support
Drei Minor-Releases pro Jahr. Aktuell: 1.37 (26.08.2026, zuletzt 1.37.2 vom 27.10.2026), daneben 1.36 und 1.35. 1.34 ist seit 27.10.2026 EOL (letzter Patch 1.34.13). 1.35 geht am 28.12.2026 in den Maintenance-Mode, EOL 28.02.2027.
CVE-2026-2270 (kube-controller-manager): Schreibrecht auf StatefulSet und ControllerRevision reicht für Pods in fremden Namespaces. Fix ab 1.37.1, 1.36.5, 1.35.9. Empfohlen: 1.37.2, 1.36.6, 1.35.10, gebaut mit Go 1.26.10 (sperrt kompromittierte eMudhra-Intermediates, CVE-2026-111943).
1.38 ist für den 16.12.2026 geplant (Code-Freeze 16.11.2026 AoE).
Patch-Support je Minor: rund 14 Monate (12 Monate regulär, danach zwei Monate Maintenance-Mode). Gepflegt werden die drei jüngsten Minors, im Überlappungsfenster kurz vier.
Upgrade-Falle: seit 1.35 startet das kubelet auf
cgroup-v1-Nodes nicht mehr (failCgroupV1: true per
Default). failCgroupV1: false nur als Übergang,
die Entfernung von v1 hat noch keinen Termin, frühestens 1.38
(KEP-5573).
Vor 1.38 prüfen: containerd 1.7 ist seit
30.09.2026 EOL. Laut KEP-4033 soll das kubelet ohne den
CRI-Aufruf RuntimeConfig (containerd 1.7) nicht mehr starten, geplant
für 1.38, Umsetzung offen. Mindestens containerd 2.0 oder CRI-O 1.28,
betroffene Nodes meldet kubelet_cri_losing_support.