DevSecOps Digest
Щоденний DevSecOps дайджест

DevSecOps дайджест — 8 жовтня 2026

posts · 2026-10-08

Ключові новини

  • GitLab зібрав ризик організації в одному поданні. 8 жовтня GitLab представив бета-версію панелі, яка зводить вразливості з усіх груп і сканерів, зокрема SARIF, та рахує оцінку з урахуванням критичності, віку, KEV і EPSS. Для security-платформи це краща основа для пріоритизації, ніж сума знахідок без власника (GitLab, 8 жовтня).

  • GitHub перебудовує Git під агентну розробку. У матеріалі, оновленому 7 жовтня, GitHub описує зростання push-операцій і CI та розділення масштабування читання, довговічності й запису. Важливо, що разом із пропускною здатністю команда зберігає branch protection, обов’язкові перевірки, аудит і спостережуваність — масштаб платформи не має знижувати контроль (GitHub, оновлено 7 жовтня).

  • Splunk випустив критичні виправлення для Enterprise. У бюлетені від 7 жовтня наведено кілька CVE, зокрема відсутність автентифікації для критичної функції Patroni REST API (CVE-2026-76268, CVSS 9.8), а також проблеми доступу до REST API й підвищення привілеїв. Потрібне оновлення до 10.4.3, 10.2.7, 10.0.10 або 9.4.15 чи новішої версії; для Secure Gateway є окремі версії виправлення (Splunk, 7 жовтня).

  • CERT-EU закликав терміново закрити Atlassian CVE-2026-21589. Повідомлення від 7 жовтня описує неавтентифікований довільний доступ до файлів у восьми Data Center-продуктах із CVSS 9.3. Першими слід оновити інтернет-доступні екземпляри, перевірити журнали запитів і, за ознак компрометації, ротувати потенційно розкриті секрети (CERT-EU, 7 жовтня).

3 матеріали, які варті часу

  • OWASP Application Security Verification Standard 5.0.0 — практичний набір вимог для перевірки технічних контролів вебзастосунків і безпечної розробки. Його зручно перетворити на критерії для шаблонів репозиторіїв, threat modeling і платформених пайплайнів.
  • Google SRE Workbook: Postmortem Practices for Incident Management — розбір того, як перетворювати інциденти на конкретні запобіжні дії, а не на пошук винних. Особливо цінний приклад із помилкою автоматизації та контролем радіуса ураження.
  • SLSA: Security levels — коротка модель зрілості походження артефактів: від наявності provenance до ізольованого загартованого складання. Допомагає обрати реалістичний наступний рівень захисту ланцюга постачання.

Практичний висновок

Сьогоднішній пріоритет — не ще один сканер, а замкнений контур: інвентаризація інтернет-доступних Atlassian і Splunk, оновлення, перевірка журналів та ротація секретів за потреби. Для платформи варто мати єдину оцінку ризику з власником і терміном виправлення, але не ховати за нею першопричини. Агентне масштабування CI слід приймати лише разом із branch protection, аудитом, provenance та вимірюваним error budget: швидший запис без цих обмежень просто прискорює поширення помилки.