Resumo
O Portainer 2.45.3 deixa de aceitar certificados TLS afetados da eMudhra e restringe o uso dos tokens de kubeconfig ao proxy Kubernetes. A atualização também corrige a sobreposição de consultas GitOps e falhas no acesso a ambientes Docker. Antes de atualizar, você precisa conferir os certificados dos serviços utilizados na autenticação e nas integrações.
Novidades
A versão não anuncia novos recursos independentes das alterações de segurança e manutenção.
Melhorias
- Portainer 2.45.3 — Dependências: a distribuição atualiza o Go para 1.26.10 e golang.org/x/net para 0.60.0. A imagem do shell kubectl recebe Helm 4.3.1, com Go 1.27.2 e oras-go/v2 2.6.2, para incorporar correções de segurança.
Correções
- Portainer 2.45.3 — Stacks: com Hide bind mounts for non-administrators habilitado, ações de criação, atualização, início e redeploy feitas por perfis sem administração rejeitam stacks Compose ou Swarm que utilizem
volumes_from. A restrição evita herdar os bind mounts de outro container. - Portainer 2.45.3 — Tokens Kubernetes: tokens de kubeconfig ficam restritos ao proxy
/api/endpoints/{id}/kubernetes. As outras rotas retornam 403. Kubeconfigs obtidos após a atualização recebem um token separado e limitado ao respectivo ambiente. - Portainer 2.45.3 — GitOps: uma consulta ainda em execução faz a próxima consulta agendada ser ignorada, evitando redeploys sobrepostos. O redeploy manual pelo Git também registra o estado da referência e do caminho do arquivo.
- Portainer 2.45.3 — Docker: iniciar um container com corpo vazio na requisição deixa de falhar com erro 400 nos ambientes standalone e Swarm com agente. A detecção da versão do agente e dos limites do Docker Hub recebe correções para APIs posteriores à 1.47.
- Portainer 2.45.3 — Business Edition: perfis sem administração com acesso ao ambiente deixam de receber erros 403 nas rotas
/agent/dockere/agent/host, que mantinham vazios os seletores de Nodes do Swarm. - Portainer 2.45.3 — Interface: a aba YAML dos detalhes de Nodes Kubernetes preserva seu conteúdo ao alternar abas ou retornar ao navegador. A pesquisa nos logs de autenticação volta a filtrar pelo nome de usuário.
Breaking changes
O Portainer deixa de confiar nos certificados eMudhra emSign afetados, após o comprometimento de oito autoridades intermediárias associado a CVE-2026-111943. As imagens Linux removem as raízes emSign, e cadeias com as intermediárias comprometidas são rejeitadas. Integrações OAuth/OIDC, LDAPS, registries e servidores Git que apresentem certificados afetados deixam de conectar após a atualização.
Confira e substitua os certificados afetados antes da atualização. Quando o provedor de autenticação estiver nessa condição, as notas informam que somente o administrador inicial conseguirá entrar.
Ponto de Atenção
O suporte ao Podman permanece limitado a CentOS 9 com Podman 5 rootful. O script de inclusão automática não aceita esses ambientes, e a conexão por socket não permite misturar servidor Docker com ambiente Podman ou o inverso. Em Async Edge, a navegação por snapshots ainda pode mostrar uma data inválida no agendamento de atualização.
Teste sugerido: confira a cadeia TLS do provedor de autenticação e dos serviços Git e registry antes de atualizar. Em homologação, valide o login, execute uma consulta Kubernetes com o kubeconfig correspondente e confirme o retorno 403 desse token numa rota fora do proxy permitido. Acompanhe um repositório Git lento para verificar que as consultas não se sobrepõem.
Notas da versão
O release oficial do Portainer 2.45.3 foi publicado em 21/10/2026 às 23h20 UTC como versão estável. As notas técnicas foram acrescentadas depois da captura inicial, que ainda indicava publicação em andamento.