DevSecOps Digest
Щоденний DevSecOps дайджест

DevSecOps дайджест — 5 жовтня 2026

posts · 2026-10-05

Ключові новини

  • Dell випустила виправлення для критичних уразливостей Container Storage Modules (5 жовтня 2026). CVE-2026-63688 і CVE-2026-63692 мають CVSS 10.0 та дають неавтентифікованому мережевому нападнику змогу отримати облікові дані адміністраторів сховищ або повний контроль над сервісом авторизації. Уразливості також охоплюють доступ до Kubernetes Secrets і root на вузлах; потрібен CSM 1.18.0+, вилучення застарілого karavi-authorization і ротація JWT та облікових даних. Розбір CERT University of Toronto

  • Dell System Update виправляє віддалене виконання коду з root-привілеями (1 жовтня 2026, дата первинного випуску бюлетеня). CVE-2026-86360 у версіях до 2.3.0.0 використовує path traversal; неавтентифікований віддалений нападник може отримати доступ до файлової системи та скомпрометувати ОС. Для platform-команд це нагадування: інструмент оновлення серверів є частиною production control plane і має проходити той самий patch-SLA, що й зовнішні сервіси. Бюлетень Dell DSA-2026-324

  • GitHub опублікував ReviewBench — відкритий бенчмарк для AI code review (5 жовтня 2026). Набір містить 219 pull request-ів із 187 відкритих репозиторіїв і 19 мов, а оцінювання розділяє precision/recall, severity та категорії, зокрема security і reliability. Для DevSecOps важливий не сам факт автоматичного review, а вимірюваний сигнал: чи знаходить агент значущі дефекти без потоку шуму та чи корелює offline-оцінка з production-результатом. Опис ReviewBench у GitHub Blog

3 матеріали, які варті часу

  1. ReviewBench — відкритий набір і майданчик для власного оцінювання AI-рецензента. Варто використати як шаблон внутрішнього regression-набору для security review: фіксуйте не кількість коментарів, а precision, recall і пропущені критичні дефекти.
  2. Implementing SLOs — практичний розділ Google SRE Workbook про SLO, error budget і прийняття інженерних рішень. Він допомагає Staff/Principal-інженеру перевести суперечку «безпека проти швидкості» у вимірюваний вибір із ціною ризику.
  3. OWASP Top 10 CI/CD Security Risks — карта ризиків pipeline: від poisoned pipeline execution та слабкого керування ідентичностями до перевірки цілісності артефактів і недостатньої видимості. Зручно застосувати як короткий аудит platform golden path.

Практичний висновок

Свіжі матеріали цього вікна показують одну закономірність: критичний ризик концентрується не лише в застосунку, а в control plane — сховищі, сервісі авторизації, засобі оновлення та автоматизованому review. Тому інвентаризація має охоплювати оператори, плагіни, агенти й службові облікові записи, а не тільки образи контейнерів.

Рішення рівня Staff/Principal: визначити єдиний patch-SLA для platform-компонентів; автоматично виявляти застарілі оператори та секрети за замовчуванням; вимагати доказову перевірку артефактів і SLO для security-контролів. Добра платформа не просто блокує небезпечний реліз — вона дає команді короткий, перевірюваний шлях до безпечного виправлення.