/blog
Caderno de campo
Notas sobre operar software nativo de nuvem — Kubernetes, service mesh, GitOps e observabilidade. Um artigo novo por semana.
2026 · Outubro
-
CoreDNS 1.15: cache de SERVFAIL muda o comportamento quando o upstream cai
A nova versão passa a cachear falhas geradas por timeout do upstream e deixa mais claro quando serve respostas vencidas.
-
Vitess corrigiu 14 falhas de segurança de uma vez — 9 são SQL injection
Em 13 de outubro o Vitess lançou v24.0.5 e v23.0.8 corrigindo 14 advisories simultâneos: nove são SQL injection dentro do próprio proxy, mais CSRF e um RBAC ...
-
Harbor 2.15.4: o patch que destrava o pipeline também muda seus defaults de segurança
Webhooks internos e assinatura com cosign voltam a funcionar por padrão, mas o upgrade exige revisar as exceções que protegem o registry.
-
Canary release com Gateway API: o Flagger desacopla o rollout do mesh que você escolheu
Canary com Istio VirtualService ou com TrafficSplit do Linkerd te amarra naquele mesh específico. Com Gateway API + Flagger, o rollout gradual e o rollback a...
-
OpenTelemetry Collector v0.163.0: hash que colide, queue que trava e CPU que não desce de 100%
O patch v1.69.0/v0.163.0 do Collector corrige quatro bugs sérios de uma vez: colisão de hash que mistura séries diferentes, deadlock na fila com block_on_ove...
-
Dapr corrige bypass de ACL que a correção de abril deixou pela metade
Em abril o Dapr corrigiu um bypass de controle de acesso em service invocation. Em 9 de outubro descobriu-se que a correção não cobria nomes de método com %2...
-
Flux 2.9.6 resolve o HelmRelease que travava pra sempre — e fecha um vazamento de secret no postBuild
O patch de 1º de outubro do Flux corrige três bugs operacionais de verdade: HelmRelease que ficava preso em Ready=Unknown após falha de drift, CRDs sendo rea...
-
ApplicationSet no Argo CD: um Application por cluster, gerado a partir de uma pasta no Git
Três clusters, três Applications quase idênticos, copiados e colados — até alguém esquecer de atualizar um. O ApplicationSet do Argo CD gera os Applications ...
-
Karmada virou Graduated no CNCF — e o v1.19 muda um default de scheduling
Karmada alcançou o topo da maturidade do CNCF em 8 de setembro, junto com o v1.19.0. O selo importa menos do que quatro mudanças do release: um bug de creden...
2026 · Setembro
-
KEDA 2.21 corrige CVE 9.9: sua TriggerAuthentication podia virar admin do cluster
Em 23 de setembro o KEDA lançou 2.21.0 pra corrigir uma remediação incompleta de outra CVE — a combinação dá CVSS 9.9 e deixa um tenant com permissão de cria...
-
Autorização por rota no Linkerd: mTLS ligado não é tráfego autorizado
Injetar o Linkerd te dá mTLS entre pods, mas não te dá controle de quem pode chamar o quê. AuthorizationPolicy + MeshTLSAuthentication fazem esse trabalho — ...
-
cert-manager 1.21.2: por que resposta de ACME não devia ir parar no Events do seu cluster
Até o cert-manager 1.21.1, o corpo da resposta do seu servidor ACME ou Vault podia ir parar no status do Issuer e nos Events do cluster — objetos que muita g...
-
Cilium 1.20: o Gateway API virou camada de tráfego completa — com duas pegadinhas pra testar antes
Cilium 1.20 salta de Gateway API v1.4 pra v1.6.1 de uma vez: ListenerSets, TCPRoute/UDPRoute e ExternalAuth chegam juntos. Duas combinações específicas merec...
-
Kyverno corrigiu 6 falhas de segurança de uma vez — uma delas dá cluster-admin a qualquer tenant
Em 10 de setembro o Kyverno lançou o v1.19.1 cobrindo 6 advisories, incluindo uma CVSS 9.9 que deixa um tenant de namespace virar cluster-admin. Se você dele...
-
Desligar um ambiente inteiro por horário com o cron scaler do KEDA
Homolog e dev ligados 24/7 é dinheiro parado. O cron scaler do KEDA desliga os serviços fora do expediente e religa antes de alguém chegar — sem CronJob de k...
-
Envoy corrigiu 13 CVEs de uma vez — e algumas são bypass de RBAC, não só crash
Em 27 de agosto o time do Envoy lançou patch simultâneo pras quatro branches ativas cobrindo 13 CVEs, incluindo bypass de autorização e XSS armazenado no adm...
-
3 erros que quebram o Prometheus em produção e como corrigir cada um
Cardinalidade, retention e scrape interval: três formas silenciosas de derrubar o Prometheus — como detectar cada uma antes do incidente e como corrigir.