Warum LTS die richtige Wahl ist
Alle sechs Wochen startet ein neuer Minor-Zyklus. Ein normaler Minor bekommt danach in der Regel keine Bugfixes mehr, der Nachfolger löst ihn ab. Wer nicht alle sechs Wochen hebt, läuft also ungepatcht. Aktueller Minor: 3.15, zuletzt 3.15.1 (21.10.2026).
LTS: ausgewählte Releases bekommen
ein Jahr lang Fixes für ausgewählte
Probleme hoher Schwere (CVSS ab 7.0), nach Möglichkeit weitere
Bug- und Doku-Fixes, als Best Effort der Community. Ausgenommen
sind experimentelle Features und alles, was die
Stability-Guarantees als instabil führen, darunter
Server-TLS/Basic-Auth (web.config.file), Remote Read
und Service Discovery außer
static/file/http_sd.
3.13 ist LTS (01.07.2026), Support bis 31.07.2027, zuletzt 3.13.5 (21.10.2026).
3.5 war die vorige LTS (14.07.2025), Support endete am 31.07.2026. Nächste LTS: geplant Juni 2027, Support bis 31.07.2028.
Sicherheit: 3.13.5 und 3.15.1 sind mit Go
1.26.10 bzw. 1.27.3 gebaut. Damit verwirft crypto/x509
Ketten über die kompromittierten eMudhra-Intermediates
(CVE-2026-111943), bei jedem ausgehenden TLS
(tls_config, etwa bei Scrape, Remote-Write und Alerting),
auch mit eigenem ca_file. Die Container-Images
streichen zusätzlich „emSign ECC Root CA - G3“ und
„Comodo AAA Services root“ aus dem CA-Store. Ältere
Releases und eigene Builds mit älterer Go-Toolchain haben
diesen Filter nicht. Den Filter haben auch Alertmanager ab 0.34.2,
Prometheus Operator ab 0.94.2, Thanos ab 0.42.5 und Mimir ab
3.2.3/3.1.8.
Für Plattform-Betrieb heißt das: auf der LTS-Linie bleiben und einmal jährlich auf die nächste heben, statt dem Sechs-Wochen-Takt hinterherzulaufen.