Resumo
O Traefik 3.7.15 corrige três falhas no provedor Kubernetes Ingress NGINX e no FastProxy, rejeita todas as requisições CONNECT e muda a escolha de protocolo para backends do Gateway API. A versão também corrige a leitura concorrente de buffers em conexões atualizadas. Antes de atualizar, confira as rotas de túnel e os HTTPRoutes que dependem de HTTPS automático na porta 443.
Novidades
A versão não anuncia recurso novo. As mudanças concentram correções de segurança, rejeição de CONNECT e ajustes de comportamento no Gateway API.
Melhorias
- Traefik 3.7.15 — Dependências: a distribuição atualiza golang.org/x/net para 0.60.0, com as correções da biblioteca.
- Traefik 3.7.15 — Kubernetes CRD: as rotas filhas aceitam metadados de observabilidade.
- Traefik 3.7.15 — Gateway API: a API de Gateway sobe para v1.6.3 e o backend de um HTTPRoute usa HTTP quando a porta do Service não declara appProtocol.
Correções
- Traefik 3.7.15 — Segurança: as falhas GHSA-p8wx-ph99-xgcr, GHSA-ww7c-q3mv-xx22 e GHSA-28hp-c82p-8vqj deixam de afetar a linha 3.7. A exigência de certificado de cliente vale para o host inteiro, a checagem entre namespaces alcança opções TLS compartilhadas e a corrida no buffer do FastProxy deixa de derrubar o processo.
- Traefik 3.7.15 — Servidor: o Traefik rejeita requisições CONNECT antes de chegar ao muxer, independentemente da versão HTTP, e não as encaminha ao backend.
- Traefik 3.7.15 — Ingress NGINX: a autenticação de cliente com auth-tls é aplicada ao host inteiro, e a checagem entre namespaces volta a valer para segredos de CA compartilhados.
- Traefik 3.7.15 — FastProxy: a leitura concorrente do buffer em conexões atualizadas deixa de corromper o estado do leitor. Um teste de regressão cobre CR e LF nos cabeçalhos.
Breaking changes
Toda requisição CONNECT recebe 501 Not Implemented, qualquer que seja a versão HTTP, e não é mais encaminhada ao backend. O CONNECT por HTTP/1 já era recusado desde 3.7.9; a versão estende a recusa a HTTP/2 e HTTP/3. Para tunelar tráfego por um proxy exposto pelo Traefik, use uma rota TCP. Como a recusa acontece antes do roteamento, as requisições não aparecem no log de acesso e só ficam visíveis no nível DEBUG.
No Gateway API, a porta e o nome da porta do Service não selecionam mais HTTPS. Um HTTPRoute cujo Service usa a porta 443 ou um nome iniciado por https é acessado por HTTP simples quando não há appProtocol nem BackendTLSPolicy. Para manter HTTPS, defina appProtocol: https na porta do Service ou anexe uma BackendTLSPolicy.
Ponto de Atenção
A rejeição de CONNECT afeta clientes que usavam o Traefik como proxy de encaminhamento, mesmo que o túnel parecesse funcionar. Revise as rotas TCP antes de atualizar. No Gateway API, confira os HTTPRoutes que dependem do comportamento anterior de HTTPS implícito na porta 443.
Teste sugerido: envie um CONNECT por HTTP/1, HTTP/2 e HTTP/3 e confirme o retorno 501. Em homologação, publique um HTTPRoute com Service na porta 443 sem appProtocol e verifique se o backend recebe HTTP simples. Repita com appProtocol https e confirme o retorno ao protocolo seguro.
Notas da versão
O release oficial do Traefik 3.7.15 foi publicado em 15/10/2026 às 14h41 UTC. O guia de migração da linha 3.7 descreve a rejeição de CONNECT e a mudança de protocolo no Gateway API. A linha 2.11 recebeu a rejeição de CONNECT em 2.11.59.