DevSecOps дайджест — 6 жовтня 2026

Сьогоднішній сигнал для інженерів: безпека має бути вимірюваною властивістю платформи, а не чергою ручних термінових дій.

Ключові новини

• Atlassian оприлюднила критичну CVE-2026-21589 (5 жовтня). Неавторизований атакувальник може читати окремі файли з кореня вебзастосунку у восьми самокерованих продуктах Data Center; уразливі всі версії до виправлених. Atlassian радить негайно встановити фікси або обмежити зовнішній доступ і застосувати тимчасове правило WAF. Першоджерело: Atlassian, 5 жовтня 2026
• NetScaler залишається активною зоною експлуатації (5 жовтня). Rapid7 підтверджує використання CVE-2026-88771 і CVE-2026-88772 як zero-day та описує ще одну експлуатовану вразливість CVE-2026-88779, яка може перезапускати SAML-сервіс після повторних запитів. Для периметрових пристроїв патчування треба поєднати з перевіркою ознак компрометації. Дослідження Rapid7, 5 жовтня 2026
• Google SecOps додав Terraform-провайдери та клієнтські бібліотеки (5 жовтня). Через API тепер можна керувати стрічками, парсерами, правилами, дашбордами, watchlist та іншими можливостями SecOps як кодом. Це зменшує ручні зміни, але водночас робить контроль IAM, рев’ю планів і журналювання обов’язковими частинами безпечної платформи. Нотатки про випуск Google SecOps, 5 жовтня 2026
• GitHub додав контроль увімкнення AI Scan для pull request (6 жовтня). Адміністратори організації та підприємства бачать охоплення в Security Overview, можуть фільтрувати репозиторії за станом і вивантажувати CSV. Це корисніше за декларацію «інструмент доступний»: команда отримує вимірюваний сигнал покриття. GitHub Changelog, 6 жовтня 2026

3 матеріали, які варті часу

• Platform Engineering Maturity Model — CNCF TAG App Delivery. Допомагає оцінити платформу як продукт: від тимчасових «геройських» команд до сталої, вимірюваної спроможності з визначеними інвестиціями та власниками.
• Example Error Budget Policy — Google SRE Workbook. Конкретний шаблон, як пов’язати SLO з рішенням про релізи: після вичерпання бюджету зміни зупиняються, крім критичних виправлень і безпекових оновлень.
• Concise Guide for Developing More Secure Software — OpenSSF. Короткий практичний список для життєвого циклу: MFA для привілейованих розробників, перевірка залежностей, захист секретів, автоматизовані тести, оновлення і підписування релізів.

Практичний висновок

Периметрові продукти на кшталт NetScaler і самокеровані платформи на кшталт Atlassian Data Center мають бути окремим класом активів: з інвентаризацією, екстреним шляхом оновлення, перевіркою компрометації та заздалегідь підготовленим обмеженням доступу. Для внутрішньої платформи потрібні ті самі інженерні властивості: безпекове покриття й права доступу мають бути видимими через API, а зміни — відтворюваними як код. На рівні Staff/Principal рішення варто прив’язувати не до кількості знайдених CVE, а до ризику для користувача, доказів контролю та error budget, який прямо визначає, коли команда припиняє додавати функції й відновлює надійність.