Neu in Prometheus

Das Log-Level steht jetzt unter runtime.log_level in der Konfigurationsdatei und lässt sich per Reload ändern, ohne Neustart. --log.level ist abgekündigt. Es steuert nur noch das Logging beim Start und liefert den Wert, solange runtime.log_level fehlt. Wer das Level per Flag setzt, etwa im Helm-Chart, überträgt es in die Konfiguration.

Das zuvor experimentelle Encoding (auf der LTS-Linie 3.13 weiterhin experimentell) wird jetzt über storage.tsdb.chunk_encoding.floats: xor2 in der Konfigurationsdatei gewählt; --enable-feature=xor2-encoding ist abgekündigt. Ohne das Feld gilt xor, implizit xor2, wenn --enable-feature=st-storage oder das alte Flag gesetzt ist. Vor dem Umschalten prüfen, ob alle Leser des TSDB-Verzeichnisses XOR2 verstehen; die Doku nennt ausdrücklich den Thanos-Sidecar. Ein Downgrade auf eine Version ohne XOR2 verlangt das Löschen der betroffenen Blöcke.

--auto-gomemlimit.refresh-interval erkennt das Container- oder System-Memory-Limit periodisch neu und passt GOMEMLIMIT zur Laufzeit an, etwa wenn ein Vertical Pod Autoscaler das Limit ändert. Wirkt nur mit --auto-gomemlimit (Default true). Der Default 0s behält das bisherige Verhalten bei: Das Limit wird nur beim Start erkannt. Ein sinkendes Limit kann vorübergehend mehr GC-Last erzeugen.

Ist das Label __unix_socket__ gesetzt, statisch oder per Relabeling, verbindet sich der Scrape-Client über diesen Socket-Pfad statt über __address__. __scheme__ wählt http (Default) oder https über den Socket. Damit lassen sich Exporter scrapen, die keinen TCP-Port öffnen.

Arithmetik in Range-Selektoren und Subqueries, etwa rate(x[max_of(4 * step(), 1m)]), war experimentell hinter promql-duration-expr. Seit 3.14 ist sie immer aktiv, das Flag ist ein No-Op. Auf der LTS-Linie 3.13 bleibt sie experimentell und ist damit vom LTS-Support ausgenommen.

first_over_time() liefert das älteste Sample im Range-Fenster und brauchte bisher --enable-feature=promql-experimental-functions. Seit 3.14 ist die Funktion stabil und ohne Flag verfügbar.

Für /api/v1/query und /api/v1/query_range sind nur noch stats=true und stats=all vorgesehen. Andere Werte aktivieren weiterhin die Basis-Statistik, liefern aber eine Deprecation-Warnung und werden im nächsten Major-Release abgewiesen. Clients und Proxies, die andere Werte senden, sollten umstellen.

__meta_hetzner_datacenter wird für hcloud-Targets nicht mehr gesetzt, weil die Hetzner-Cloud-API das Feld entfernt hat (abgekündigt seit 3.11). Relabeling-Regeln, die darauf matchen, greifen ins Leere. Als Standort-Label bleibt __meta_hetzner_hcloud_location.

Beide Security-Releases vom 21.10.2026 sind mit Go 1.26.10 bzw. 1.27.3 gebaut. crypto/x509 verwirft damit Zertifikatsketten über die kompromittierten eMudhra-Intermediates (CVE-2026-111943), bei jedem ausgehenden TLS von Prometheus, etwa Scrape, Remote Write und Alerting. Die Container-Images streichen zusätzlich „emSign ECC Root CA - G3“ und „Comodo AAA Services root“ aus dem CA-Store. Dazu golang.org/x/net v0.60.0 gegen mehrere HTTP/2-Lücken (GO-2026-6603, -6610, -6611, -6612, -6617). 3.13.5 behebt außerdem GO-2026-6505 (OpenTelemetry-Exporter-URLs im Info-Log) und braucht zum Bauen Go 1.26 oder neuer.

google.golang.org/grpc v1.83.1 schließt GO-2026-6348, Speichererschöpfung über fragmentierte HTTP/2-DATA-Frames. Die Federation liefert Float-Native-Histograms nicht mehr korrupt aus (#19679). Der Agent ignoriert unbekannte WAL-Record-Typen, damit ein Rollback von einer neueren Version auf 3.13 möglich ist (#19814).

Behebt Out-of-order-Queries, die die Kompaktierung stundenlang blockieren und den Speicher wachsen lassen (#19013), gelöschte Serien, die nach einem Neustart zu fehlenden Samples und Fehlern führen (#19140), und case-insensitive Regex-Matcher, die passende Werte still verwerfen (#19167). Dazu Security-Bumps für klauspost/compress (GO-2026-5841) und golang.org/x/crypto (GO-2026-6303).

HTTP-Clients geben Authorization-Header, Basic Auth, Bearer Token, OAuth2 und konfigurierte Header nicht mehr weiter, wenn ein Redirect auf einen anderen Host zeigt. Betrifft Scraping, Remote Read und Write, Alerting und Service Discovery. Wer Auth hinter einem umleitenden Proxy betreibt, prüft die Ziele vor dem Upgrade.

Die experimentellen Funktionen min() und max() auf Durations heißen jetzt min_of() und max_of(), um die Verwechslung mit den Aggregations-Operatoren zu beenden. Betrifft alle Ausdrücke unter dem Flag promql-duration-expr. Seit 3.14 sind Duration-Ausdrücke ohne Flag aktiv.

Die internen Label __scrape_native_histograms__, __always_scrape_classic_histograms__ und __convert_classic_histograms_to_nhcb__ überschreiben die gleichnamigen Scrape-Config-Optionen pro Target. Damit lässt sich die Migration auf Native Histograms zielgenau statt global ausrollen.

Die Query-Stats zeigen samplesRead, dazu kommt prometheus_engine_query_samples_read_total. Die Zahl bildet echte Storage-I/O ab, anders als totalQueryableSamples, das Samples mehrfach zählt, wenn sie über mehrere Range-Vector-Fenster wiederverwendet werden.

Gebaut mit Go 1.27.3: crypto/x509 lehnt die kompromittierten eMudhra-Intermediates ab, laut Release Notes auch auf Hosts mit veraltetem CA-Store (CVE-2026-111943). Die Container-Images entfernen „emSign ECC Root CA - G3“ und „Comodo AAA Services root“. TLS-Probes gegen Ziele mit Zertifikaten aus diesen Intermediates schlagen danach fehl. Dazu golang.org/x/net v0.61.0 gegen HTTP/2-Lücken.

Seit 0.29.0 startet bzw. lädt der Exporter nicht mehr, wenn ein Modul unter prober einen unbekannten Wert trägt. Vorher nahm er eine solche Konfiguration an, und die Probe scheiterte erst beim Aufruf mit „Unknown prober“. Modul-Configs vor dem Upgrade prüfen.

check_revoked: true (Default false) prüft bei HTTP-, TCP-, gRPC- und Unix-Probes jedes Zertifikat der Kette gegen seine CRL und liefert probe_ssl_crl_*-Metriken. Die Probe selbst schlägt bei einem widerrufenen Zertifikat nicht fehl, alarmiert wird über die Metriken.

Neuer Prober websocket: Verbindung per http_config (TLS, Auth), eigene Header und Send/Receive-Sequenzen über query_response wie beim TCP-Prober. Neue Metriken unter anderem probe_websocket_connection_upgraded und probe_websocket_status_code.

Bis 0.34.1 erlaubte /api/v2 Cross-Origin-Requests von jedem Origin. Erreichte ein Browser einen Alertmanager ohne Authentifizierung, konnte jede geöffnete Website Alerts lesen und Alerts oder Silences anlegen (GHSA-w5g2-x24w-p3fq, hoch). Seit 0.34.2 sendet die API keine CORS-Header mehr. Web-Tools, die /api/v2 direkt aus dem Browser von einem anderen Origin aufrufen, brauchen das neue Flag --web.cors.origin: eine voll verankerte Regex, die Schema und Port einschließt. Für freigegebene Origins sind jetzt auch DELETE-Requests erlaubt, etwa zum Beenden von Silences. Instanzen hinter Authentifizierung waren nicht betroffen.

Gebaut mit Go 1.26.10: crypto/x509 verwirft Zertifikatsketten über die acht kompromittierten eMudhra-Intermediates (CVE-2026-111943). Das betrifft ausgehendes TLS des Alertmanagers, etwa zu Webhook-, Mail- oder Chat-Empfängern.

Behebt mehrere Fehler in der Inhibition, durch die Alerts in manchen Fällen fälschlich wieder ungemutet wurden (#5542, #5449, #5559). Wer Inhibit-Regeln einsetzt, hat damit einen Upgrade-Grund von 0.34.0.

alertmanager_notifications_failed_total unterscheidet jetzt authError (HTTP 401 und 403) und rateLimited (HTTP 429) vom bisherigen Sammelwert clientError. Dashboards und Alerts, die auf reason="clientError" matchen, verlieren genau diese Fälle.

GET /api/v2/silences kennt die Parameter active, expired und pending. Clients müssen nicht mehr alle Silences ziehen und lokal filtern, was bei großen Silence-Beständen spürbar ist.