[2026-10-15] Rancher 社区双周报｜聚焦 Longhorn：V2 热升级、CPU 隔离与卷组快照

ksd · 2026 年10 月 15 日 06:08

各位 Rancher 社区的朋友们，大家好！

欢迎阅读新一期的 Rancher 社区双周报。

本期汇总了 10 月上半月 Rancher 生态的重要动态。Rancher 发布多个安全维护版本，集中修复 Rancher Server 与 Fleet 组件中的多项安全漏洞；K3s 和 RKE2 同步更新，正式支持 Kubernetes v1.37.1，RKE2 也进一步推进默认 Ingress 控制器向 Traefik 的过渡。

存储方面，Longhorn v1.13.0 正式发布，为 V2 数据引擎带来期待已久的热升级（Live Upgrade）功能，并引入卷组快照、基于时间的保留策略等多项重要增强。

以下是本期双周报的详细内容。

Longhorn

Longhorn v1.13.0 正式发布。本次更新重点增强了 V2 数据引擎的可维护性与资源利用效率，同时引入多项数据保护、存储调度和运维管理能力，为生产环境提供更加灵活的存储管理体验。

V2 数据引擎增强

支持热升级（Live Upgrade）：V2 卷现在支持在 Longhorn 升级期间保持挂载状态，Instance Manager 升级不再强制要求卸载卷，有助于减少升级维护对业务的影响。
全中断模式（Full Interrupt Mode）：引入事件驱动的 SPDK Reactor 实现，在空闲或低 I/O 负载下避免持续轮询 CPU，降低计算资源消耗，同时保持较低的 I/O 响应延迟。
默认启用 CPU 隔离：新安装环境默认启用 V2 数据引擎 CPU 隔离策略，减少内核后台任务干扰，提高存储性能稳定性。

数据保护与存储管理

卷组快照（Volume Group Snapshot）：支持通过单次请求对一组相关卷创建快照，并提供 CSI 接口支持，简化分布式数据库等多卷应用的数据保护流程。
基于时间的保留策略：Recurring Jobs 新增 age-based 策略，支持按照保留时长而非数量管理快照与备份，例如保留最近 720 小时的数据。
克隆与还原增强：修复 V2 Linked-Clone 在源卷缺失时的还原校验问题，进一步提高数据恢复的可靠性。

调度与运维架构优化

卷拓扑约束（Volume Topology Constraint）：新增 StorageClass 参数，支持将卷副本限制在工作负载所在的可用区（Zone）或地域（Region），优化数据本地性并减少跨区流量。
Scheduler Extender：通过集成 kube-scheduler 扩展，使 Kubernetes 能够感知 Longhorn 磁盘容量与副本分布，为 Pod 调度提供更准确的存储信息。
Global Manager 解耦：引入 longhorn-global-manager 控制器，将集群级管理逻辑从 DaemonSet 迁移至 Deployment，降低大规模集群中的 API Server 压力。

如需详细了解完整更新内容，请查阅：

Longhorn v1.13.0 Release Notes

Rancher

Rancher 发布了 v2.15.2、v2.14.6、v2.13.10、v2.12.14 及 v2.11.18 等多个安全维护版本，重点修复 Rancher Server 和 Fleet 组件中的安全漏洞，并进一步优化权限管理、集群供应及组件兼容性。

安全漏洞修复

本次更新修复了多项值得关注的安全问题：

CVE-2026-88805（会话管理漏洞）：修复用户注销后，API 会话令牌未在服务端同步删除的问题，防止已注销令牌在过期前被继续利用。
CVE-2026-88804（未授权设置篡改与 XSS 风险）：修复部分未授权只读 API 路由可被修改的问题，降低由登录页面设置引发的 XSS 攻击风险。
CVE-2026-93537（Fleet 路径穿越漏洞）：修复 fleet.yaml 中 valuesFiles 可能读取 Bundle 目录之外文件的问题，防止敏感信息泄露。
CVE-2026-88808（Fleet 权限绕过）：修复 Fleet Agent 处理 downstreamResources 时使用自身高权限凭证而非指定 ServiceAccount 的问题。
CVE-2026-93539（Fleet Webhook 拒绝服务风险）：修复未配置 Webhook Secret 时，未授权调用者可能修改 GitRepo 轮询间隔、延迟 Git 变更同步的问题。

功能改进与问题修复

Kubernetes v1.36 兼容性：修复因 Chart 兼容性问题导致 Rancher Backups 无法在 UI 中显示的问题。
权限管理优化：修复 Global Roles 中 inheritedFleetWorkspacePermissions 字段引发的对账循环问题，并增强对 LimitRanges、ResourceQuotas 等资源的管理保护。
GKE 集成优化：改进 GKE 集群供应界面，自动过滤所有发行渠道均不支持的 Kubernetes 版本，减少集群创建失败的情况。

建议使用受影响版本的社区用户关注相关安全公告，并结合实际环境评估升级计划。

如需详细了解完整更新内容，请查阅：

Rancher v2.15.2 Release Notes

RKE2

RKE2 发布了 v1.37.1+rke2r1、v1.36.5+rke2r1、v1.35.9+rke2r1 和 v1.34.12+rke2r1 等多个维护版本。此外，面向 Prime 用户的 v1.33.13+rke2r3 也同步发布。

本次更新除了跟进 Kubernetes 上游版本，还进一步推进了默认 Ingress 控制器的调整，并更新多项核心基础设施组件。

Kubernetes 支持与默认 Ingress 调整

Kubernetes 版本更新：同步支持 Kubernetes v1.37.1、v1.36.5、v1.35.9 及 v1.34.12。
Traefik 成为默认 Ingress：随着上游 ingress-nginx 项目退休，RKE2 v1.36 及以上版本新创建的集群默认使用 Traefik。现有集群升级时将保留当前 Ingress 控制器，以确保业务连续性。
离线镜像包调整：rke2-images-core 现已包含 Traefik 镜像。仍需使用 ingress-nginx 的用户，需要单独准备对应的离线镜像包。

核心组件更新

更新 Cilium 至 v1.20.200（适用于 Kubernetes v1.36+），并同步更新 Canal、Calico 等网络组件。
更新 CoreDNS 至 v1.47.102。
更新 Traefik 至 v3.7.13，修复相关 gRPC 安全漏洞。
更新 Harvester CSI 驱动至 v0.1.32，新增对控制器 Pod 安全上下文的支持。

对于计划部署新集群或升级现有集群的用户，建议提前确认 Ingress 控制器的选择，并检查相关配置及离线镜像是否需要调整。

如需详细了解完整更新内容，请查阅：

K3s

K3s 同步发布了 v1.37.1+k3s1、v1.36.5+k3s1、v1.35.9+k3s1 及 v1.34.12+k3s1，在跟进 Kubernetes 上游版本的同时，重点增强了管理平面安全性，并修复数据恢复和网络配置中的已知问题。

安全性与功能改进

Supervisor 安全加固：默认拒绝匿名访问 Supervisor 路由，包括 Spegel、pprof 和 metrics 接口，进一步收敛集群管理面的攻击面。
证书管理优化：改进 CA 摘要（hash）校验逻辑，提升节点加入集群时的身份验证可靠性。
Traefik Helm Chart 升级：更新至 v40。需要注意的是，在 ingress-nginx 迁移场景下，Provider 名称由 kubernetesIngressNginx 调整为 kubernetesIngressNGINX，涉及相关配置的用户应提前检查。
etcd 数据恢复修复：修复从压缩格式的 etcd 快照恢复时可能失败的问题。
Flannel 配置修复：修复 --flannel-cni-conf 参数无法正确传递给内嵌 Flannel 组件的问题。
架构适配：在 riscv64 构建中启用 seccomp 支持。

底层组件升级

本次更新还同步升级了多项关键组件：

Containerd 更新至 v2.3.4。
Runc 更新至 v1.4.2。
Etcd 更新至 v3.7.1-k3s3，支持非阻塞日志记录。
Kine 更新至 v0.17.1。

如需详细了解完整更新内容，请查阅：

写在最后

从 Rancher 的安全维护，到 K3s、RKE2 对 Kubernetes v1.37 的支持，再到 Longhorn V2 数据引擎的持续增强，本期更新涵盖了集群管理、容器运行时、网络入口和云原生存储等多个关键领域。

感谢每一位 Rancher 社区开发者、用户和贡献者的持续支持。无论是在 GitHub 提交 Issue/PR，还是在中文论坛分享使用经验，你们的反馈都是 Rancher 生态持续发展的重要动力。

欢迎大家继续关注 Rancher 社区，与我们共同探索云原生技术的更多可能。

我们下期双周报再见！