Resumo
O Traefik 2.11.60 corrige a falha de compartilhamento de conexão do ForwardAuth com autenticação NTLM e Kerberos. A versão acompanha a correção publicada na linha 3.7 e não traz outros recursos. Antes de atualizar, confira as rotas que usam ForwardAuth contra servidores com autenticação integrada do Windows.
Novidades
A versão não anuncia recursos novos. A mudança de comportamento se limita à correção de segurança no ForwardAuth.
Melhorias
A versão não traz melhorias independentes da correção de segurança.
Correções
- Traefik 2.11.60 — Segurança: a falha GHSA-hrpp-p4fc-wwf8 deixa de permitir que a conexão autenticada por um usuário seja reaproveitada na subconsulta de outro cliente. O ForwardAuth isola o pool do servidor de autenticação por conexão de frontend.
- Traefik 2.11.60 — Autenticação: o suporte a NTLM e Kerberos no ForwardAuth recebe o mesmo tratamento aplicado à linha 3.7.
Ponto de Atenção
A correção altera o reaproveitamento de conexões entre o Traefik e o servidor de autenticação. Se o serviço de autenticação depende de keep-alive para reduzir o custo do handshake, acompanhe a taxa de novas conexões depois da atualização. Rotas sem autenticação vinculada à conexão não mudam de comportamento.
Teste sugerido: em homologação, configure ForwardAuth contra um servidor com NTLM ou Negotiate e acesse a rota protegida por duas conexões de frontend distintas. Confirme que a segunda conexão não recebe a identidade da primeira e que os acessos legítimos continuam autenticando.
Notas da versão
O release oficial do Traefik 2.11.60 foi publicado em 20/10/2026 às 15h05 UTC. A linha 2.11 permanece em manutenção e recebe a correção no mesmo dia da linha 3.7.