DevSecOps Digest
Щоденний DevSecOps дайджест

DevSecOps дайджест — 12 жовтня 2026

posts · 2026-10-12

Ключові новини

  • GitHub додав автентифіковану атрибуцію push. Відтепер для кожного commit окремо зберігається користувач, який виконав push, незалежно від полів author і committer, що їх можна підробити. Нове правило Committer must match pusher допомагає закрити цей шлях підміни в аудиті та перевірках ланцюжка постачання. Функція доступна в обмеженому public preview для GitHub Enterprise (12 жовтня 2026; GitHub Changelog).

  • Docker розкрив критичну помилку в Docker Hub. Під час перетворення особистого облікового запису на організацію personal access token міг перейти новому власнику без зміни секрету: зловмисник зберігав token і отримував права цільового користувача в registry. Docker виправив потік 30 вересня, деактивував знайдені перенесені tokens 8 жовтня та повідомив уразливих користувачів; ознак використання не виявлено. Для automation Docker радить organization access tokens (12 жовтня 2026; Docker security advisory).

  • Citrix попередив про масовану серію уразливостей NetScaler. Бюлетень охоплює вісім CVE, зокрема дві уразливості з CVSS 9.5: unauthenticated remote code execution та memory overflow. Citrix повідомляє про спостережувану експлуатацію CVE-2026-88771 і CVE-2026-88772 та радить негайно оновити ADC/Gateway; перша уразливість стосується навіть типової конфігурації (11 жовтня 2026; Citrix bulletin CTX697096).

3 матеріали, які варті часу

  • DORA: Platform engineering — практичний підхід до internal developer platform як внутрішнього продукту: почати з одного golden path, зменшувати cognitive load і вимірювати не лише швидкість, а й стабільність та досвід команд.
  • Google Cloud: Data incident response process — приклад розподілу ролей incident commander, security, SRE, forensics і legal. Корисний шаблон для перевірки, чи готова ваша організація до cloud-інциденту, а не лише до alert.
  • OWASP SAMM — risk-driven модель для вимірювання зрілості secure SDLC. Вона допомагає перетворити вимогу «робити безпечно» на ітеративну програму з конкретними практиками, метриками та доказами.

Практичний висновок

Цього тижня варто перевірити не тільки версії компонентів, а й довіру до ідентичності та зміни повноважень. У GitHub це означає розділяти автора commit і автентифікованого push-користувача; у registry — заборонити неявну передачу особистих token під час зміни власника; для edge-пристроїв — мати інвентар NetScaler, умови вразливості та короткий шлях до оновлення. Staff-рішення тут — перетворити ці перевірки на один повторюваний golden path із журналом доказів, а не залишити їх ручним checklist після інциденту.