Nesta edição, o foco é reduzir exposição em bordas HTTP, validar inspeção de tráfego e preparar transições de plataforma. Entram no radar a atualização do Envoy v1.38.4, a configuração de inspeção HTTP/2 do AWS WAF em ALB e a disponibilidade estável de metrics.k8s.io/v1 no Kubernetes v1.37. Também há padrões operacionais para alta disponibilidade de inferência, migrações entre organizações AWS e investigação de incidentes.
Leitura de aproximadamente 5 minutos
Em 30 segundos
Atualize e valide o Envoy v1.38.4: o release reúne correções para bypass de autorização, falhas de memória, encerramentos anormais e riscos de corrupção de conexões.
Em ambientes AWS WAF com ALB, valide a configuração de inspeção de corpos HTTP/2; o boletim relata que requisições elaboradas em múltiplos frames poderiam ter inspeção parcial.
No Kubernetes v1.37, metrics.k8s.io/v1 torna-se estável sem mudança de campos em relação a v1beta1, mas a implementação de métricas precisa servir v1 e expor a APIService correspondente.
01Kubernetes & Cloud Native
v1.38.4
Release do Envoy v1.38.4 com várias correções de segurança, incluindo riscos de bypass de autorização, corrupção de conexão, uso após liberação e encerramento anormal de processos.
Por que importa em produção
A versão corrige vulnerabilidades que podem causar comprometimento de autorização, indisponibilidade, corrupção de tráfego ou falhas de memória em proxies Envoy.
O que verificar
Inventariar deployments Envoy afetados, priorizar a atualização para v1.38.4 e validar configurações de recursos com flags de reversão mencionadas no release.
AWS WAF: valide a inspeção de corpos HTTP/2 em ALB
O boletim 2026-048-AWS descreve CVE-2026-13762 e CVE-2026-13763, relacionados à inspeção de corpos de requisições HTTP/2 em múltiplos frames pelo AWS WAF. Para CloudFront, a correção foi aplicada no lado do serviço e não requer ação do cliente. Para AWS Application Load Balancer (ALB), sob determinadas condições, uma requisição HTTP/2 elaborada poderia resultar em inspeção parcial do corpo; o problema foi tratado no ALB, e a proteção completa depende da configuração da inspeção de corpos HTTP/2 no WAF.
Por que importa em produção
Inspeção parcial reduz a cobertura efetiva de regras que dependem do corpo da requisição. O risco é específico a workloads protegidos por AWS WAF em ALB e requer confirmação de configuração, mesmo após o tratamento informado para o ALB.
O que verificar
Identifique Web ACLs associadas a ALBs e revise a configuração de inspeção de corpos HTTP/2 conforme o boletim. Teste requisições HTTP/2 multipartes contra regras relevantes e documente a condição de proteção dos ambientes. Para CloudFront, registre que não há ação de cliente indicada.
Posicionamento de Inference Components para alta disponibilidade Multi-AZ
A Salesforce usou o posicionamento de Amazon SageMaker AI Inference Components, por meio do parâmetro SchedulingConfig, para distribuir cópias de modelos entre múltiplas Availability Zones. O objetivo foi atender requisitos de alta disponibilidade Multi-AZ mantendo a eficiência de custo da co-hospedagem multimodelo.
Por que importa em produção
Distribuir cópias entre zonas trata a disponibilidade como requisito de agendamento e capacidade, sem abandonar necessariamente o padrão de hospedagem de múltiplos modelos. A aplicação do padrão depende de haver capacidade e comportamento de falha avaliados por zona.
O que verificar
Avalie a distribuição de cópias por zona, a capacidade necessária em cada zona e os cenários de perda de zona antes de adotar o padrão. Execute testes de falha e confirme que o desenho mantém os requisitos de disponibilidade e custo do endpoint.
Migração de AWS Organizations: preserve AWS RAM e permissões Lake Formation
Em uma migração de 382 contas entre organizações AWS, um processador global de pagamentos usou compartilhamentos temporários para preservar permissões do AWS Lake Formation. O padrão parte do fato de que compartilhamentos de recursos do AWS RAM vinculados à organização são rompidos quando contas mudam de organização, com perda de acesso no plano de controle. Depois da transição, os compartilhamentos originais foram restaurados como fonte durável de verdade.
Por que importa em produção
Migrações de organizações podem interromper acessos que não aparecem apenas na movimentação da conta. Dependências de AWS RAM e Lake Formation precisam ser tratadas como parte do plano de corte e da recuperação operacional.
O que verificar
Mapeie previamente compartilhamentos AWS RAM, permissões Lake Formation e consumidores dependentes. Teste o uso de compartilhamentos temporários, defina critérios de validação após a movimentação e planeje a restauração dos compartilhamentos originais.
Kubernetes v1.37 promove Metrics API para metrics.k8s.io/v1
O Kubernetes v1.37 promove a Metrics API para a versão estável metrics.k8s.io/v1. A API fornece uso de CPU e memória para nós e Pods, serve kubectl top e autoscaling baseado em métricas de recursos. A superfície de v1 é idêntica à de v1beta1, exceto pela versão da API: não há campos renomeados, campos novos ou mudança no significado dos valores retornados. A v1beta1 permanece disponível no Kubernetes v1.37; kubectl top prefere v1 quando presente, enquanto o controlador HPA ainda suporta apenas v1beta1 nessa versão.
Por que importa em produção
A graduação formaliza as garantias de estabilidade, mas não torna v1 disponível automaticamente em todo cluster. A implementação escolhida para métricas precisa servir v1.metrics.k8s.io e ter a APIService associada registrada. A transição precisa preservar clientes que ainda dependem de v1beta1, incluindo o HPA no v1.37.
O que verificar
Verifique as versões servidas em metrics.k8s.io e a disponibilidade de v1.metrics.k8s.io. Confirme que a implementação de métricas, como metrics-server, serve v1 e que a APIService correspondente está registrada. Mantenha v1 e v1beta1 durante a transição dos clientes.
Cosmos3-Edge, Cosmos3-Nano e Cosmos3-Super estão disponíveis no Amazon SageMaker JumpStart. O Cosmos3-Edge é voltado a controle de robôs no dispositivo e raciocínio visual em tempo real em hardware de borda. O Cosmos3-Nano é um modelo omnimodal de 16B parâmetros para geração de mundos e raciocínio físico. O Cosmos3-Super tem 64B parâmetros e é direcionado a geração e simulação de maior fidelidade, geração de dados sintéticos e fluxos de aprendizado de políticas.
Por que importa em produção
A disponibilidade amplia as opções para workloads de IA física, com perfis distintos de borda, raciocínio multimodal e simulação. A escolha operacional deve considerar requisitos de infraestrutura e o perfil de processamento de cada modelo.
O que verificar
Antes de um piloto, avalie hardware, latência, custo e governança para o caso de uso. Delimite métricas de qualidade e operação para robótica, visão computacional, simulação ou geração de dados sintéticos e inicie em ambiente controlado.
A página de download da versão 12.3.11 do Grafana destaca a informação de segurança CVE-2026-17183. O material fornecido não detalha a natureza, a severidade, o escopo afetado ou a remediação da CVE.
Por que importa em produção
Ferramentas de observabilidade fazem parte do plano operacional e podem concentrar dados e acessos relevantes. Sem os detalhes da CVE, a decisão de atualização deve começar pela identificação da versão instalada e pela consulta às notas oficiais de segurança.
O que verificar
Identifique instâncias e versões de Grafana em uso. Verifique a descrição, a severidade, as versões afetadas e a orientação de correção para CVE-2026-17183 nas notas oficiais; então planeje a atualização conforme a política de segurança.
RCA orientada por IA com AWS DevOps Agent e Splunk
O artigo apresenta análise de causa-raiz orientada por IA usando AWS DevOps Agent e Splunk para correlacionar métricas, logs e históricos de implantação. O ponto de partida é que aplicações cloud-native geram telemetria rica, mas correlacionar sinais em múltiplas ferramentas sob pressão ainda é um desafio. A análise de causa-raiz permanece em grande parte manual e dependente de conhecimento institucional e experiência de operadores.
Por que importa em produção
A automação de correlação pode apoiar a investigação de incidentes, mas seu uso operacional depende da qualidade dos dados de telemetria e da validação das hipóteses produzidas. O processo precisa separar assistência diagnóstica de mudanças efetivas no ambiente.
O que verificar
Conduza um piloto limitado a diagnóstico. Meça tempo de investigação e precisão das hipóteses frente a incidentes conhecidos ou exercícios controlados. Mantenha revisão humana antes de executar mudanças mitigadoras com base nas conclusões geradas.
Faça uma revisão conjunta de borda HTTP: atualize os deployments Envoy para v1.38.4 e, nos ALBs protegidos por AWS WAF, confirme a configuração de inspeção de corpos HTTP/2. Registre resultados de testes com tráfego representativo e exceções pendentes.