DevSecOps Digest
Щоденний DevSecOps дайджест

DevSecOps дайджест — 11 жовтня 2026

posts · 2026-10-11

Ключові новини

  • Розрив між GHSA та CVE став операційним ризиком. У зверненні від 10 жовтня зафіксовано, що для вразливості Code Embed (WordPress) опублікована 21 серпня рекомендація GHSA досі не потрапила до GitHub Advisory Database, а CVE-2026-92163 має статус RESERVED у CVE та NVD. Виправлена версія — 2.6.4; сам ланцюг поширення даних про вразливість потребує окремого контролю (GitHub Advisory Database, 10 жовтня).

  • У Copilot для JetBrains з’явилося явне керування межами агента. Оновлення від 10 жовтня дозволяє адміністраторам задавати типову модель для нових діалогів, а також вимикати автоматичний запуск MCP-серверів. Це корисний шаблон для platform engineering: інструменти не повинні активуватися лише тому, що вони присутні в конфігурації (GitHub Changelog, 10 жовтня).

  • Відбувається друге в історії перенесення ключа кореня DNSSEC. Cloudflare нагадує, що 11 жовтня кореневий KSK-2024 замінює KSK-2017. Резолвери, які не довіряють новому ключу, можуть зробити справні сайти недоступними; оператори DNSSEC-резолверів мають перевірити trust anchor (Cloudflare, опубліковано 6 жовтня).

  • Міжнародне попередження пов’язує AI-інструменти з масштабованими атаками на мережі. NCSC 8 жовтня повідомив про кампанії, пов’язані з Integrity Technology Group: автоматизоване сканування, великі ботнети та ручна експлуатація використовуються для компрометації організацій і крадіжки даних. Для захисту потрібні інвентаризація зовнішніх активів, зменшення поверхні атаки та готовність до аналізу ознак компрометації (NCSC, 8 жовтня).

3 матеріали, які варті часу

  • The Shift to cgroup v2 in Kubernetes — практичний план міграції та перелік наслідків для kubelet, QoS, OOM і пам’яті. Важливо прочитати до оновлення до Kubernetes 1.35: вузол із cgroup v1 за типовою конфігурацією не запуститься.
  • NIST SP 800-207: Zero Trust Architecture — базовий документ, який переводить розмову про «периметр» до ресурсів, суб’єктів, автентифікації та авторизації. Корисний як рамка для IAM, внутрішніх сервісів і хмарних середовищ.
  • SLSA v1.0 specification — компактна специфікація для поступового посилення безпеки ланцюга постачання, зокрема через provenance та атестації. Це добра основа для розмови про те, які докази збірки має вимагати платформа.

Практичний висновок

Сильна інженерна реакція цього тижня — не додати ще один сканер, а перевірити межі довіри в системі. Для DNSSEC підтвердьте готовність резолверів до KSK-2024. У внутрішніх платформах вимикайте автоматичний запуск агентних інструментів за замовчуванням, фіксуйте дозволені моделі та MCP-сервери, а для кластерів і конвеєрів постачання плануйте міграцію на cgroup v2 і збір перевірюваних атестацій. Це зменшує blast radius і дає онколу докази, а не припущення.