Sur un même déploiement Kubernetes, quatre contrôleurs d’autoscaling peuvent exiger en même temps 3, 11 ou 24 réplicas, chacun agissant sur une variable isolée. Les quatre collisions qui en résultent ne se règlent pas avec un cinquième contrôleur, mais en traitant le dimensionnement comme une équation unique et couplée.
Le 6 octobre 2026, Rook 1.21.0 rend le protocole msgrv2 obligatoire par défaut pour Ceph, ce qui exige un noyau Linux 5.11 ou plus récent. Avant de mettre à niveau, vérifiez la version du noyau de vos nœuds, sinon désactivez explicitement msgrv2 dans le CephCluster.
Le 14 octobre 2026, les mainteneurs de Kueue publient un guide Headlamp-first pour tracer l’admission d’un Job Kubernetes, désormais lisible dans l’UI via un plugin alpha. Avant de chercher pourquoi vos Pods sont en attente, la première question devient : Kueue a-t-il admis le Workload ?
Fin septembre 2026, le comité sécurité de Kubernetes corrige deux failles moyennes : CVE-2026-19444, un path traversal de kubectl cp sur Windows, et CVE-2026-2270, un confused deputy du contrôleur StatefulSet. La leçon vaut pour tous : mettre à jour le plan de contrôle ne protège ni votre poste d’administration, ni l’isolation entre namespaces.
Le 8 octobre 2026, l’ambassadeur CNCF Mauro Morales pose la question qui hante les équipes plateforme : sous quelles conditions confier l’exploitation d’une machine à un agent autonome. Sa réponse tient en un principe : hôte immuable, isolation de la charge et proposition d’état qui passe par la forge logicielle.
Le 5 octobre 2026, un billet officiel Kubernetes documente le swap de nœud, disponible en GA depuis la v1.34, avec des gains mesurés jusqu’à 3× de densité sur SSD local. Activez-le pour les charges best-effort et les agents IA, mais jamais pour masquer une fuite mémoire.
Kubernetes a déprécié cgroup v1 et prévoit sa suppression complète en v1.38 ; depuis la v1.35, le kubelet refuse de démarrer sur un nœud resté en cgroup v1. Si vos nœuds tournent encore sous cgroup v1, migrez-les vers cgroup v2 avant de monter en version, sinon le cluster refusera de démarrer.
Google lance en preview le CPU startup boost de GKE, qui élève temporairement le CPU d’un conteneur pendant son initialisation puis le ramène à son niveau de croisière sans redémarrage, grâce à l’In-place Pod Resize de Kubernetes. Les services Java, Node.js et Python qui souffrent de cold starts lents y gagnent un démarrage jusqu’à deux fois plus rapide sans payer de marge CPU au repos.
Dell a comblé six vulnérabilités de sévérité maximale dans ses Container Storage Modules, la couche qui relie ses baies PowerStore, PowerScale ou PowerFlex à Kubernetes. Sans aucune authentification, un attaquant récupère les identifiants d’administration des baies, obtient un root sur les nœuds et lit tous les Secrets : passez en CSM 1.18.0 sans attendre.
La plupart des équipes plateforme ont rebaptisé leurs barrières « garde-fous » sans changer les mécanismes, et les développeurs les contournent. Le levier n’est pas dans la validation qui bloque, mais dans la mutation et la génération qui rendent la bonne configuration automatique.
L’alpha v1.38.0-alpha.1 introduit le support bêta de ML-DSA pour la signature des certificats de pods et des CSR, préparant le plan de contrôle à l’ère post-quantique. Activez la feature-gate CertificateSigningRequestMLDSA sur un cluster de test et cartographiez vos dépendances gRPC avant la montée de version.
Le 26 août 2026, Kubernetes publie la version 1.37 « Garhwal », qui cumule 67 améliorations dont 16 passées en stable. Le HorizontalPodAutoscaler sait désormais ramener un workload à zéro pod par défaut, et l’apiserver cesse de saturer etcd pendant le réchauffement de son cache.
Le 8 septembre 2026, la CNCF a annoncé la graduation de Karmada, l’orchestrateur multi-cluster qui déploie une application sur plusieurs clusters sans la modifier. Si vous pilotez trois clusters ou plus, ou préparez une infrastructure multi-cluster pour l’IA, c’est le moment d’évaluer ce passage au statut de projet mature.
Le suivi des blocs modifiés pour les drivers CSI de Kubernetes, en alpha depuis septembre 2025, passe en bêta avec la version 1.0.0 d’external-snapshot-metadata et retire l’API v1alpha1 sans conversion automatique. Les éditeurs d’outils de sauvegarde et les mainteneurs de drivers CSI doivent réappliquer le CRD et migrer leurs manifestes vers v1beta1.
Le 10 septembre 2026, deux ambassadeurs CNCF ont publié trois scénarios de panne reproductibles qui séparent le fait d’avoir des sauvegardes de celui de pouvoir réellement restaurer. Testez la restauration complète dans un cluster qui n’a jamais tourné, validez les données contre un résultat attendu et chronométrez le tout.
La version 1.37 de Kubernetes introduit deux réglages de sécurité du stockage, encore en alpha : des options de montage bind (noexec, nosuid, nodev) et un mode de permission sur les volumes emptyDir. Activez les feature gates VolumeBindMountOptions et EmptyDirVolumeMode pour remplacer les contournements par conteneur d’initialisation.
Le 11 septembre 2026, le PDG de Portainer a annoncé que la 3.0, désormais centrée sur Kubernetes, ne sortira pas en édition communautaire : la CE reste figée sur la branche 2.x. Les auto-hébergeurs sous Docker peuvent rester sur la 2.45 LTS, qui continue de recevoir des correctifs de sécurité, mais doivent préparer leur trajectoire.
La version 3.6.0-rc1 d’Argo CD, publiée le 16 septembre 2026, ajoute des métriques et des conditions au progressive sync des ApplicationSets et enrichit la bibliothèque de health checks — CloudNativePG, cert-manager, Prometheus Operator, Kyverno. Les équipes qui déploient en vague sur plusieurs clusters devraient planifier la mise à niveau dès la sortie stable.
Cilium 1.20, publié le 14 septembre 2026, fait du Gateway API sa couche de routage complète et comble le fossé IPv6 en mode ENI sur AWS. Les équipes qui doivent migrer d’ingress-nginx ou étendre leur CNI y trouveront une raison de franchir le pas.
Le 3 septembre 2026, Broadcom a mis à jour VMware Cloud Foundation en 9.1.1 avec le partage multi-tenant de modèles en disponibilité générale, une passerelle vers plus de 150 modèles et une échelle Kubernetes multipliée par 2,6. Pour l’inférence sur données réglementées, comparez le coût total d’un parc de GPU consolidé sur site au prix au jeton d’un hyperscaler avant de trancher.
Avec Kubernetes 1.37, la fonctionnalité Pod-Level Resource Managers passe en bêta (désactivée par défaut) : Topology Manager, CPU Manager et Memory Manager lisent désormais directement les déclarations .spec.resources. Les workloads à latence critique peuvent réserver des cœurs NUMA exclusifs au conteneur principal tout en plaçant les sidecars dans un pool partagé isolé du pod.
Kubernetes 1.37 active par défaut les histogrammes natifs de Prometheus, qui remplacent les buckets statiques par des buckets exponentiels dynamiques. Les composants restent compatibles via une double exposition : activez scrape_native_histograms puis migrez vos requêtes histogram_quantile.
La fonctionnalité Memory QoS de Kubernetes, qui guide le noyau Linux dans la gestion de la mémoire des conteneurs via cgroup v2, passe en bêta et s’active par défaut dans la version 1.37. Le changement clé est ailleurs : le facteur de throttling implicite disparaît, ce qui rend la mise à niveau sans surprise pour les clusters existants.
Le 12 novembre 2025, Kubernetes a annoncé la retraite d’ingress-nginx ; la maintenance amont s’est arrêtée en mars 2026 et la dernière passerelle de correctifs, celle d’AKS, expire en novembre 2026. Chaque annotation de votre flotte doit désormais devenir une route Gateway API — ou rester une vulnérabilité sans correctif.
Le 10 septembre 2026, Kubernetes 1.37 introduit, derrière la feature gate InPlacePodVerticalScalingSchedulerPreemption, la préemption du planificateur pour les redimensionnements de pods en place restés bloqués à l’état Deferred. Les opérateurs peuvent désormais bin-packer leurs nœuds avec des charges basse priorité sans risquer de bloquer la montée en charge des services critiques.
Le 11 septembre 2026, Kubernetes 1.37 fait passer les histogrammes natifs Prometheus en beta, activés par défaut. Les métriques de latence exposent désormais des buckets exponentiels dynamiques qui réduisent le nombre de séries temporelles jusqu’à 90 %, à condition de suivre la migration en quatre étapes.
Le 9 septembre 2026, Kubernetes 1.37 réserve cinq conditions de nœud bien connues — DrainInProgress, Drained, MaintenancePlanned, MaintenanceInProgress et GracefulNodeShutdownInProgress — pour donner aux équipes une façon partagée de dire pourquoi un nœud est indisponible. Publiez-les dès maintenant dans votre automatisation de maintenance, sans attendre que les contrôleurs du cœur les consomment.
La version 1.37 de Kubernetes (Garhwal) fait passer en bêta les API Workload et PodGroup, le gang scheduling et la préemption workload-aware, et introduit l’API CompositePodGroup pour planifier des groupes hiérarchiques de Pods destinés à l’IA/ML et au calcul distribué. Les équipes qui font tourner des charges par lots peuvent commencer à évaluer cette base native.
La version 1.37 de Kubernetes active par défaut KubeletInUserNamespace : kubelet, runtimes et CNI peuvent désormais tourner en tant que non-root dans un user namespace. Activez-le sur vos nœuds pour confiner les failles de type container-breakout loin des privilèges root de l’hôte.
Le 2 septembre 2026, Kubernetes 1.37 active par défaut la mise à l’échelle horizontale jusqu’à zéro réplica (Beta) dès qu’une métrique objet ou externe, comme la longueur d’une file d’attente, le permet. Les consommateurs de files et les traitements par lots peuvent libérer les CPU et GPU réservés pendant l’inactivité, à condition d’accepter la latence de démarrage à froid.
Passée en mode maintenance le 27 août 2026, la version 1.34 de Kubernetes atteint sa fin de vie le 27 octobre, et AWS, Azure et Google facturent alors 0,60 dollar par cluster et par heure — soit 438 dollars par mois — pour continuer à la patcher. Migrez avant l’échéance, car ce surcoût n’achète aucune fonctionnalité, seulement la survie d’un plan de contrôle dépassé.
Le 31 août 2026, l’API storagemigration.k8s.io/v1 et son contrôleur passent en disponibilité générale dans Kubernetes 1.37. Les équipes plateforme peuvent désormais déprécier d’anciennes versions de CRD et faire tourner les clés de chiffrement au repos avec un simple objet déclaratif, au lieu de scripts kubectl get/replace artisanaux.
Le 27 août 2026, Portainer a fait passer sa ligne LTS de la 2.39.6 à la 2.45.0, en consolidant un an de versions intermédiaires. La nouveauté qui compte n’est pas cosmétique : c’est l’arrivée des politiques Pod Security Standards, du RBAC natif Kubernetes et du nettoyage automatisé d’images dans l’interface.
Kubernetes 1.37 atteint la disponibilité générale le 26 août 2026 avec seize fonctionnalités promues en stable, dont SELinuxMount activé par défaut. Trois changements cassants, la dépréciation d’IPVS, la fin des références aux secrets dans les pods statiques et le durcissement de cgroup v2, exigent un audit avant mise à niveau.
La version 3.18 du CI/CD auto-hébergé Woodpecker impose une migration de base qui touche le stockage des journaux — sauvegarde et fenêtre de maintenance recommandées avant de mettre à jour. Elle durcit aussi la sécurité : les variables d’environnement additionnelles et de matrice ne sont plus injectées automatiquement dans les plugins.
Le 20 août 2026, Amazon EKS a annoncé la rotation automatisée de l’autorité de certification de chaque cluster, avec un cycle de vie géré et des garde-fous. Les clusters créés depuis 2018 arrivent au bout de la validité de dix ans de leur CA : la rotation est une responsabilité partagée, et la partie nœuds et clients externes reste à la charge de l’exploitant.
Le 17 août 2026, la CNCF a fait passer Kubeflow au statut Graduated, le plus haut niveau de maturité de la fondation, après un audit de sécurité tiers et une gouvernance formalisée. Pour les équipes plateforme, c’est le signal que l’industrialisation de l’IA sur Kubernetes est désormais une base stable, pas un pari.
Le 5 août 2026, OpenCost s’associe à llm-d pour publier le premier suivi du coût d’inférence par token sur Kubernetes. La distinction entre coût d’allocation et coût d’usage met fin au calcul trompeur qui justifiait à tort l’auto-hébergement des LLM.
GitOps n’est plus une histoire de synchronisation de manifests Kubernetes. En 2026, les équipes plateforme gèrent des flottes de clusters, isolent les locataires avec Kyverno, déploient en canary avec Flagger et expliquent le drift avec un LLM.
TCPRoute et UDPRoute passent en canal Standard dans Gateway API v1.6, comblant le dernier trou noir pour les bases de données, le DNS et la VoIP sur Kubernetes. La nouvelle ressource XBackend et la séparation du groupe API expérimental redessinent la feuille de route du réseau cloud-native.
La sortie de Kubernetes 1.37, prévue pour septembre 2026, amorce la suppression des Services ExternalIPs et fait passer le Mixed Version Proxy en beta. Voici ce qui attend les administrateurs de clusters.
La version 1.6 de la Gateway API Kubernetes, publiée le 30 juin 2026, fait passer TCPRoute et UDPRoute du canal expérimental au statut Standard. Les workloads qui parlent un protocole brut — bases de données, DNS, VoIP, gaming — n'ont plus besoin de contourner le Gateway par des Services Kubernetes classiques.
Ressources idle, instances surprovisionnées, volumes orphelins, absence de reserved instances : les causes du gaspillage cloud sont connues, chiffrées et corrigibles en moins de 30 jours. Le FinOps n’est pas une lubie de CFO — c’est la seule discipline IT qui génère du cash mesurable sans toucher à vos revenus.
GKE Autopilot, EKS Fargate et AKS Automatic promettent le serverless Kubernetes sans l’administration. En juillet 2026, pour moins de 20 pods et une équipe qui maîtrise Linux, un k3s sur VPS Hetzner à 6 € par mois livre les mêmes déploiements, sans lock-in et sans surfacturation egress.
Sorti le 29 juillet 2025, Cilium 1.18 ajoute le Load Balancing redesign, le chiffrement overlay natif, le contrôle de bande passante entrant et le mTLS sans sidecar. Un an plus tard, cette version marque la bascule définitive du CNI vers une plateforme réseau complète.
Portainer 2.39.5 LTS est sorti le 13 juillet 2026 et la version 2.43 STS apporte le RBAC natif Kubernetes. La Business Edition est gratuite pour 3 nœuds sans limite de temps, avec RBAC, GitOps et audit complet. Pour un homelab jusqu’à trois machines, c’est un no-brainer ; au-delà, le surcoût se justifie dès qu’on gère une équipe.
Istio 1.29.2, Linkerd 2.19 et Cilium 1.18 se disputent le zero-trust réseau dans vos clusters. Lequel maîtrise le triptyque mTLS-observabilité-traffic splitting sans vous noyer sous la complexité opérationnelle.
iptables a 25 ans et repose sur un chaînage séquentiel de règles O(n) qui s’effondre à quelques milliers d’entrées. eBPF injecte du bytecode vérifié et compilé à la volée dans le kernel Linux, et Cilium exploite cette capacité pour router, sécuriser et observer le trafic Kubernetes sans kube-proxy.
La version 1.33, publiée le 23 avril 2025, passe les sidecars en stable, introduit le redimensionnement à chaud des pods et généralise la configuration structurée des autorisations. Les ValidatingAdmissionPolicy deviennent une alternative crédible aux webhooks pour les politiques simples.
La version 1.36, livrée le 22 avril 2026, fait passer la Dynamic Resource Allocation en disponibilité générale. Le GPU n’est plus un entier binaire — il devient une ressource attribuable, partitionnable et planifiée par le scheduler selon les besoins réels des workloads.
Le projet ingress-nginx cesse toute maintenance en mars 2026. Le référentiel GitHub est archivé depuis le 24 mars, aucun correctif de sécurité ne sera plus publié, et la faille CVE-2025-1974 a démontré les risques architecturaux d’un contrôleur bâti sur des annotations arbitraires. Gateway API est la migration obligatoire, et elle est prête.
