# containerd发布记录 containerd是一个轻量、工业级标准的容器运行时，负责管理容器的生命周期管理。 本文介绍containerd运行时的变更记录。 #### containerd 2.x版本 | **版本号** | 支持的集群版本 | **变更内容** | 发布时间 | **变更影响** | |:---|:---|:---|:---|:---| | 2.3.1 | v1.35 v1.36 | - 依赖升级： - 升级runc至1.4.2版本。 - 升级Go至1.26.3版本。 - 缺陷修复： - 修复containerd CVE漏洞[CVE-2026-46680](https://github.com/containerd/containerd/security/advisories/GHSA-fqw6-gf59-qr4w)。 - 修复当containerd在执行完CNI ADD后,但尚未将CNI结果写入磁盘前崩溃退出时，恢复后调用StopPodSandbox会跳过CNI DEL，详见[#12617](https://github.com/containerd/containerd/pull/12617)。 | 2026年7月 | 此次升级不会对业务造成影响。 | | 2.2.1 | v1.35 v1.36 | - 功能特性 - 支持NRI（Node Resource Interface）能力，已在containerd配置中默认启用。 - 支持CDI（Container Device Interface）能力，已在containerd配置中默认启用。 - 支持Sandbox API。 - 废弃功能和API - 废弃配置registry.auths、registry.configs、registry.mirrors。 - 不再支持Docker Schema 1镜像，例如application/vnd.docker.distribution.manifest.v1+json 或 application/vnd.docker.distribution.manifest.v1+prettyjws，拉取时会被拒绝。请参见[检查是否存在Docker Schema 1镜像](https://support.huaweicloud.com/bulletin-cce/cce_bulletin_0116.html#cce_bulletin_0116__section82028351824)进行识别。 - io_uring_\* 从containerd的默认Seccomp配置文件中移除。容器默认没有权限进行io_uring_\*系统调用。 - 移除CRI v1alpha2 API。Kubernetes自1.26起开始弃用该API，containerd 2.2随之同步移除。 - kubernetes上游功能特性 - [支持用户命名空间 (User Namespaces)](https://kubernetes.io/zh-cn/docs/concepts/workloads/pods/user-namespaces/)：通过底层的隔离技术，允许 Pod 内的 root 用户映射为主机上的非特权用户。这大幅提升了容器的安全隔离性，同时 Kubernetes 会相应地放宽对此类 Pod 的安全标准限制（如 runAsNonRoot 检查），注意：该特性还依赖linux 6.3+内核，请确认内核支持情况，推荐使用HCE 3.0。 - [支持容器镜像卷 (Image Volumes)](https://kubernetes.io/zh-cn/docs/tasks/configure-pod-container/image-volumes/)：支持将 OCI 镜像的内容直接作为数据卷（Volume）挂载到 Pod 内部。借助 containerd 的支持，您可以复用镜像仓库的分发能力来下发静态配置、模型文件或构建产物，而无需将其作为独立容器运行（注：自 K8s 1.33 起进一步支持 subPath 挂载）。 | 2026年3月 | 此次升级不会对业务造成影响。 | #### containerd 1.x版本 | **版本号** | 支持的集群版本 | **变更内容** | 发布时间 | **变更影响** | |:---|:---|:---|:---|:---| | 1.7.32 | v1.29 v1.30 v1.31 v1.32 v1.33 v1.34 | - 依赖升级： - 升级runc至1.4.2版本。 - 升级Go至1.26.3版本。 - 缺陷修复： - 修复containerd CVE漏洞[CVE-2026-46680](https://github.com/containerd/containerd/security/advisories/GHSA-fqw6-gf59-qr4w)。 - 修复当containerd在执行完CNI ADD后,但尚未将CNI结果写入磁盘前崩溃退出时，恢复后调用StopPodSandbox会跳过CNI DEL，详见[#12617](https://github.com/containerd/containerd/pull/12617)。 | 2026年6月 | 此次升级不会对业务造成影响。 | | 1.7.29 | v1.28 v1.29 v1.30 v1.31 v1.32 v1.33 v1.34 | - 依赖升级： - 升级runc至1.3.3版本。 - 升级Go至1.24.10版本。 - 缺陷修复： - 修复containerd CVE漏洞 [CVE-2024-25621](https://github.com/containerd/containerd/security/advisories/GHSA-pwhc-rpq9-4c8w)、[CVE-2025-64329](https://github.com/containerd/containerd/security/advisories/GHSA-m6hq-p25p-ffr2)。 - 修复runc CVE漏洞 [CVE-2025-31133](https://github.com/opencontainers/runc/security/advisories/GHSA-9493-h29p-rfm2)、[CVE-2025-52565](https://github.com/opencontainers/runc/security/advisories/GHSA-qw9x-cqr3-wc7r)、[CVE-2025-52881](https://github.com/opencontainers/runc/security/advisories/GHSA-cgrx-mc8f-2prm)。 | 2025年11月 | 此次升级不会对业务造成影响。 |