DevSecOps Digest
Щоденний DevSecOps дайджест

DevSecOps дайджест — 4 жовтня 2026

posts · 2026-10-04

Ключові новини

  • Fortinet підтвердив експлуатацію уразливості FortiMail у wild (1 жовтня 2026). Неавтентифікований запит може записати довільний файл через поєднання path traversal і NULL-byte обробки. До оновлення Fortinet радить вимкнути IBE або закрити доступ до webmail з інтернету; для SOC це також сигнал перевірити IoC, а не обмежитися встановленням виправлення. Першоджерело: Fortinet PSIRT FG-IR-26-175

  • CISA опублікувала чотири уразливості в платформі Monta для зарядних станцій (1 жовтня 2026). Найвища оцінка — CVSS 9.4: відсутність автентифікації на OCPP WebSocket може дозволити підміну зарядної станції. Для cloud/platform-команд висновок ширший за OT: кожен зовнішній control-plane endpoint має мати перевірювану ідентичність пристрою та окремий контур телеметрії. Першоджерело: CISA ICSA-26-274-02

  • Microsoft опублікувала Digital Defense Report 2026 (2 жовтня 2026). Звіт фіксує зсув до взаємопов’язаного ризику: атакують довірені ідентичності, сервіси, партнерські зв’язки та AI як нову поверхню атаки. Практичний наслідок для архітектури — threat model має охоплювати не лише застосунок, а й ланцюг доступу, постачальників та облікові записи автоматизації. Звіт Microsoft

  • OpenTofu 1.13.0 скоротив невизначеність у планах і додав експериментальне вбудоване linting (29 вересня 2026). Реліз також містить офіційні збірки для Windows ARM64, прибирає WinRM із provisioner-ів і продовжує security support до серпня 2027 року. Для платформи важливо не лише оновити CLI, а й перевірити сумісність провайдерів, policy checks для unknown values та відтворюваність планів. Реліз OpenTofu

3 матеріали, які варті часу

  1. Guardrails, not gates: rethinking policy in platform teams — CNCF показує, як policy-as-code перетворити з черги відмов на paved road: mutation, зрозумілі повідомлення та вимірювання того, чи проходять команди через платформу, а не обходять її.
  2. Incident Response — розділ Google SRE Workbook про розподіл ролей, координацію та комунікацію під час інциденту. Корисний як основа для перевірки, чи здатна команда одночасно стримати атаку, відновити сервіс і зберегти доказову базу.
  3. NIST SP 800-218: Secure Software Development Framework — компактний стандарт для зв’язку практик розробки з результатами безпеки: запобіганням уразливостям, зменшенням наслідків і роботою з постачальниками. Його зручно використовувати як рубрику для platform-рішень і вимог до ланцюга постачання.

Практичний висновок

У доступному новинному вікні не було трьох нових першоджерел, достатньо сильних для окремої практичної новини, тому важливіші свіжі публікації мають дати 29 вересня — 2 жовтня. Спільний сигнал — контрольна площина стає головним об’єктом захисту: FortiMail, зарядні станції, AI-ідентичності та IaC-плани не можна оцінювати лише сканером коду.

Команда рівня Staff/Principal має перетворити це на три рішення: інвентаризувати всі control-plane endpoints та їхні ідентичності; відокремити автоматичне стримування від форензики й ротації секретів; додати до platform golden paths політики, які пояснюють і виправляють помилки до production. Успіх — не кількість блокувань, а менший час до виявлення, безпечне відновлення та відсутність обхідних шляхів навколо платформи.