DevSecOps Digest
Щоденний DevSecOps дайджест

DevSecOps дайджест — 20 вересня 2026

posts · 2026-09-20

Ключові новини

  • GitHub Actions workflow execution protections стали GA. Тепер можна обмежувати, хто і якими подіями запускає конкретні workflow-файли, керувати правилами через REST API і спершу проганяти їх в evaluate mode; окремий акцент — default-захист для ризикових pull_request_target сценаріїв (GitHub Changelog). Для платформ це нормальний control plane для CI, а не ручні домовленості в README.
  • GitHub додав ruleset-блокування PR із новими секретами. Правило вимагає завершеного secret scanning і закритих alerts перед merge, доповнюючи push protection там, де секрет уже потрапив у гілку або generic/custom patterns не блокуються на push (GitHub Changelog). Staff-рівень рішення: секрети мають бути merge gate, не тільки post-incident alert.
  • OpenSSF прямо назвав package registries критичною інфраструктурою. Governing Board підтримав enterprise-фінансування публічних registries, повʼязавши sustainability із signing, trusted publishing, provenance, SBOM/VEX і надійністю registry-сервісів (OpenSSF). Це зрушує розмову з “безкоштовний registry” до залежності production supply chain від чужого недофінансованого SRE.
  • Kubernetes v1.37 просуває rootless nodes і Memory QoS. KubeletInUserNamespace у beta зменшує наслідки container-breakout багів через запуск node components як non-root host user, а Memory QoS у beta дає cgroup v2-контроль без зміни runtime behavior за замовчуванням (Rootless mode, Memory QoS). Це гарний приклад security і reliability змін, які треба планувати через node pool strategy, а не вмикати “бо feature gate уже є”.

3 матеріали, які варті часу

  1. Kubernetes v1.37: DRA Updates — корисно для platform teams, які вводять GPU/accelerator scheduling: DRA extended resources у GA дозволяють мігрувати allocation logic без переписування workload spec.
  2. CodeQL 2.26.4 changelog — варто переглянути через нові GitHub Actions detections, зокрема mutable reusable workflow references і точніші actor checks.
  3. SLSA specification v1.2 — добрий reference для розмови з leadership про build provenance: рівні, tracks і attestation formats дають мову для поетапного maturity plan, а не “давайте одразу все підпишемо”.

Практичний висновок

Цього тижня варто зробити три маленькі, але дорослі речі: увімкнути evaluate mode для GitHub Actions execution protections на критичних workflow, додати PR gate для secret scanning alerts, і записати ownership для package registry risk: хто платить, хто моніторить, хто приймає downtime/security винятки.