Schema V.M.F (ab 2.0)
V = Major, startet einen Support-Lifecycle; M = Feature-Release; F = Fix-Release. Fixes nur auf dem jüngsten Minor einer Major-Linie, kein Backport über Minor-Grenzen: Mit 2.1.0 endete die Pflege von 2.0, mit 2.2.0 die von 2.1. Aktuell ist 2.2.1 (22.10.2026).
Enterprise 2.x: IBM Support Cycle-2, 2 Jahre Base, 1 Jahr Extended (kritische Fixes), 3 Jahre Sustained (ohne Fixes). Letzte LTS ist 1.19, Extended Maintenance bis April 2027.
Community: Patches nur auf der aktuellen Linie, letzte Community-1.21er ist 1.21.4. Aktuelle Patchstände: vault-cheatsheet.de/lifecycle.
Upgrade auf 2.x: Stolpersteine
sys/rekey, sys/generate-root und
DR-generate-operation-token verlangen ab 2.0.0
Key-Shares und ein gültiges Token;
Altverhalten nur per enable_unauthenticated_access
in der Server-Config.
Offizielle Container-Images ab 2.0.2 ohne
IPC_LOCK: disable_mlock = true, Swap
aus oder verschlüsselt.
Doppelte HCL-Attribute in Config und Policies sind seit 1.21
ein Fehler. Bis 2.0.4 hilft noch
VAULT_ALLOW_PENDING_REMOVAL_DUPLICATE_HCL_ATTRIBUTES,
ab 2.1.0 gibt es keinen Ausweg mehr; vor dem Upgrade, noch auf 1.20 oder älter, die Server-Logs
auf “policy contains duplicate attributes”
prüfen.
ACL: LIST mit abschließendem Slash umgeht ab
2.0.3 keine spezifischere deny-Regel mehr.
RSA-Schlüssel über 8192 Bit lehnt Vault ab 2.0.2 ab
(CVE-2026-39829, im CHANGELOG unter secrets/ssh),
vorher inventarisieren.
Identity-Templates in Policy-Pfaden: Rendert ein Metadatenwert
+ oder *, gibt es ab 2.0.1
“permission denied”. Ein / im Wert
erzeugt weitere Pfadsegmente (HCSEC-2026-32); der Schutz ab 2.0.4
ist opt-in: deny_slash_in_templated_paths = true.
UBI-Images ab 2.0.4 ohne gnupg,
openssl, procps: Probes und
Debug-Skripte prüfen.
Raft ab 2.1.1: max. 20 parallele retry_join-Worker,
darüber Fehler “too many concurrent raft retry joins
in progress”.
Ab 2.1.2 (Enterprise 1.19.23, 1.20.17, 1.21.12): ACL-Regeln
für Namen von Rollen, Policies, Zertifikaten und
Userpass-Usern matchen den kleingeschriebenen Namen; ein
deny mit gemischter Schreibweise greift nicht mehr
und gibt frei, bis es kleingeschrieben ist (HCSEC-2026-43).
Policy-Namen mit . oder .. als Segment
werden abgelehnt (HCSEC-2026-42, Lücke nur in Enterprise). Plugin-Catalog-Einträge
außerhalb von plugin_directory werden
verweigert, die Mounts beim Start übersprungen; Plugin neu
registrieren (HCSEC-2026-41).
2.2.0: AWS-Auth und AWS-Secrets-Engine nehmen konfigurierte WIF-Credentials (Workload Identity Federation) vor Umgebungsvariablen.
Mehrere dieser Änderungen kamen per Enterprise-Patch auch
in die 1.x-Linien, z. B. Templates ab 1.19.17, 1.20.11,
1.21.6; IPC_LOCK und RSA ab 1.19.18, 1.20.12, 1.21.7.
Enterprise-Patchstand vor dem Upgrade gegen den CHANGELOG
prüfen.