DevSecOps Digest
Щоденний DevSecOps дайджест

DevSecOps дайджест — 21 вересня 2026

posts · 2026-09-21

Ключові новини

  • npm отримав stage-only tokens для безпечнішої automation. Workflow може лише підготувати реліз через npm stage publish, а публікація потребує maintainer approval з 2FA; прямий npm publish з таким токеном відхиляється (GitHub Changelog). Це правильний компроміс для пакетів, які ще не перейшли на trusted publishing: automation швидка, але blast radius токена менший.
  • Kubernetes v1.37 закриває давню прогалину writable volumes. Bind mount options і emptyDir permissions дають native спосіб ставити noexec, nosuid, nodev і sticky bit без init-container chmod workaround-ів (Kubernetes). Для platform teams це має стати policy default для shared writable storage, а не per-app ручною домовленістю.
  • Node lifecycle conditions роблять maintenance видимим для людей і automation. Kubernetes вводить DrainInProgress, Drained, MaintenancePlanned, MaintenanceInProgress і GracefulNodeShutdownInProgress як спільну мову для node operations (Kubernetes). Reliability-рішення тут не в новому прапорці, а в тому, щоб dashboards, alerts і runbooks бачили однаковий machine-readable стан.
  • CodeQL 2.27.0 посилює platform scanning у великих org. Реліз додає Linux arm64 як first-class platform і дозволяє Code Scanning Default Setup використовувати приватні registry configurations для custom queries/packs (CodeQL). Staff-рівень висновок: security tooling має працювати там, де реально запускається build fleet, включно з arm64 і приватними артефактами.

3 матеріали, які варті часу

  1. Stage-only npm tokens for safer automation — короткий migration path від bypass-2FA publish tokens до staged releases; перевірити варто всі CI jobs, які ще тримають npm write tokens.
  2. Kubernetes v1.37: Hardening Container Storage — практичний матеріал для Pod Security baseline: writable volume без noexec часто ламає ідею read-only root filesystem.
  3. Operationalizing least privilege: Automate IAM remediation through your CI/CD pipeline — корисний cloud-security кут: IAM remediation треба вбудовувати в delivery loop, інакше least privilege лишається ручним audit-проєктом.

Практичний висновок

Цього тижня варто зробити три точкові зміни: перевести npm automation на staged publishing або trusted publishing, додати volume mount hardening у Kubernetes policy, і винести node maintenance state в єдиний observable signal для SRE, platform і application teams.