DevSecOps Digest
Щоденний DevSecOps дайджест

DevSecOps дайджест — 25 вересня 2026

posts · 2026-09-25

Ключові новини

  • Kiteworks закликав до превентивного 6-годинного вимкнення серверів. Отримавши достовірне попередження від правоохоронних органів про потенційний zero-day, компанія надіслала глобальне повідомлення з рекомендацією на суботу, 26 вересня; для Центральної Європи вікно — 04:00–10:00 EEST (BleepingComputer). Виявлення та реагування на подібні сценарії має бути не питанням теоретичної готовності, а затвердженого runbook-а з визначеними власниками, комунікаційними каналами й fallback-планами для критичних сервісів.
  • CISA додала до KEV каталог чотири критичні вразливості. WSO2 API Manager authentication bypass (CVE-2026-5430, JWT signature verification), Adobe Commerce authorization flaw (CVE-2026-71362), Microsoft SharePoint code injection (CVE-2026-65660), Mikrotik RouterOS SSH state-machine bypass (CVE-2026-67279). Для федеральних агентств дедлайн — неділя, 27 вересня; CISA рекомендує пріоритезувати всі організаціям (BleepingComputer).
  • SOC 2 стикається з реальною загрозою ірелевантності через AI agents. Звіт Token Security аналізує, як автономні агенти порушують чотири базові припущення фреймворку: контрольований owner облікового запису, детермінований identity в логах, явне схвалення доступу та обмежена зона відповідальності аккаунту. Більше двох третин організацій не можуть надійно розрізняти дії agent-ів і людей у access reviews (Token Security / BleepingComputer).
  • CSRF- flaws Elementor дозволяє створювати адміністраторів без автентифікації. Плагін (10 млн сайтів, ~2 млн із вразливими версіями 4.3.0–4.3.1) пропускає REST nonce, коли URI містить elementor/v1/events/; один клік по посиланню адміністратора → створення нового адміна (BleepingComputer).

3 матеріали, які варті часу

  1. With the Rise of AI Agents, SOC 2 Should Adapt or Risk Irrelevance — Token Security / BleepingComputer, 25 вересня 2026: структурований виклик compliance-фреймворків перед масовим впровадженням autonomous agents; конкретні приклади контролю, що стають «hollow» без зміни оцінки design relevance. Staff-рівень висновок: agent identity має бути окремою категорією з окремим lifecycle і audit trail.

  2. ShinyHunters hacked Clop leak site using Grav CMS path traversal flaw — BleepingComputer, 25 вересня 2026: детальна інженерна реконструкція атаці через CVE-2026-42608; ризик у тому, що Grav 1.7.43 залишався незапатченим, і атакуючий використовував форматування __unique_form_id__ для path traversal. Наочно демонструє, чому asset inventory і patch SLA важливі навіть для нішевих компонентів.

  3. U.S. Soldier Gets 70 Months in Prison for AT&T, Verizon Extortions — Krebs on Security, 25 вересня 2026: кейс Kiberphant0m/Cameron Wagenius — крадіжка metadata 100M+ клієнтів AT&T через експоновані credentials у Snowflake, шантаж телекомів. Висновок: Snowflake вже mandates MFA, але lesson remains — expose-first posture на third-party platforms є системним ризиком для всього ланцюга поставок.

Практичний висновок

Чотири вектори цього дня потребують immediate attention:

  1. Preventive shutdowns — якщо vendor надсилає such advisory, мати затверджений runbook з decision tree: who authorizes, what gets taken offline first, communication template, rollback procedure. Без цього — chaos in execution.
  2. KEV triage priority — WSO2 JWT bypass + SharePoint injection = high blast radius across API surfaces. Пріоритет патчингу має слідувати KEV deadlines, не backlog priority.
  3. Agent identity governance — SOC 2 review procedures need agent-aware controls: distinct identity class, separate audit trail, behavioral baselining, и explicit operator attribution. Without it, access reviews are blind.
  4. Plugin dependency hygiene — Elementor CSRF показує, що even popular open-source components can introduce trivially exploitable escalation paths. Inventory critical plugins, track versions automatically, and set automated alerts on CVE publication.