DevSecOps Digest – 21 Квітня 2026

Ключові новини

1. NIST NCCoE випустив нові живі вказівки для безпечної розробки ПЗ – документ охоплює практики з NIST Secure Software Development Framework (SSDF) та демонструє їх інтеграцію у сучасні DevSecOps пайплайни. Коментарі приймаються до 24 квітня 2026 р. Джерело

2. Microsoft та Adobe випустили Patch Tuesday за квітень 2026 – 163+ вразливостей, включаючи 8 критичних, один zero‑day, що вже експлуатуються в wild. Ключові патчі: CVE‑2026‑12345 (Windows Kernel) та CVE‑2026‑34621 (Adobe Acrobat). Microsoft Update, Кризис у CrowdStrike

3. GitHub Actions запровадив новий сканер залежностей SBOM‑first – інструмент автоматично генерує та верифікує Software Bill of Materials перед збіркою, підвищуючи прозорість ланцюжка постачання. Відкритий у бета‑версії, доступний у всіх репозиторіях без додаткових налаштувань. GitHub Blog

3 варти статті для вивчення

• «Secure Software Development Framework (SSDF) – практичний посібник» – детальний огляд рекомендацій NIST, включаючи приклади CI/CD інтеграцій. PDF
• «Zero‑day експлуатація CVE‑2026‑34621 у Adobe Acrobat» – аналіз атаки, векторів та рекомендацій щодо миттєвого реагування. Кребсон
• «CI/CD as a Security Platform: Lessons from 2025‑2026» – стаття про те, як великий виробничий оператор масштабував політики побудови безпечних образів Docker, використовуючи автоматичне підписання та OPA‑policy enforcement. Medium

Практичний висновок

Впровадьте автоматичний SBOM‑first сканер у ваші GitHub Actions: це швидко підвищить видимість залежностей, допоможе виявити вразливості ще до етапу збірки та полегшить відповідність новим вимогам NIST SSDF.