Resumo
O Traefik 2.11.58 corrige cinco avisos de segurança que afetam NTLM, Negotiate, TLS e condições negadas. A versão também corrige o transporte fixo por ServersTransport e a cópia de datagramas UDP. Antes de atualizar, confira os backends com autenticação vinculada à conexão e os ServersTransport com configurações de TLS distintas.
Novidades
A versão não anuncia recursos novos.
Melhorias
- Traefik 2.11.58 — Dependências: o Docker CLI sobe para 29.8.1 e o golang.org/x/crypto para 0.57.0.
- Traefik 2.11.58 — UDP: os datagramas são copiados para buffers do tamanho correto antes de entrar na fila.
Correções
- Traefik 2.11.58 — Segurança: as falhas GHSA-cw35-4q88-3rmp, GHSA-fh26-gfpp-7xxx, GHSA-qm9f-w54v-q2qh, GHSA-2272-4vv8-65ww e GHSA-mhjw-hmjv-p99x deixam de afetar a linha 2.11. O transporte fixo fica dedicado por ServersTransport, o estado de TLS é sempre definido e conexões NTLM ou Negotiate preautenticadas deixam de contaminar o pool compartilhado.
- Traefik 2.11.58 — Casamento de rotas: matchers negados são ignorados ao extrair os domínios da rota, o que evita conflito de opções TLS em hosts que não deveriam participar.
- Traefik 2.11.58 — Servidor: o estado de TLS das requisições recebidas em conexão TLS é sempre definido, mesmo em compilações com Go 1.27.
Ponto de Atenção
A correção do transporte fixo altera o reaproveitamento de conexões entre serviços com ServersTransport diferentes. Backends que usam NTLM ou Negotiate e mantêm keep-alive precisam ser acompanhados depois da atualização. Rotas com matcher Host negado deixam de considerar o host excluído na resolução de opções TLS.
Teste sugerido: em homologação, configure dois ServersTransport com CAs e certificados de cliente diferentes e acesse os dois serviços pela mesma conexão de frontend. Confirme no backend que cada serviço recebe a configuração de TLS esperada. Repita com um cliente preautenticado em NTLM ou Negotiate e verifique que outra conexão de frontend não herda a identidade.
Notas da versão
O release oficial do Traefik 2.11.58 foi publicado em 06/10/2026 às 07h44 UTC. O guia de migração da linha 2.11 descreve o aliasHeadersStrategy e as mudanças de pesos em serviços TCP e UDP, publicadas em 2.11.56.