DevSecOps Digest
Щоденний DevSecOps дайджест

DevSecOps дайджест — 13 жовтня 2026

posts · 2026-10-13

Ключові новини

  • Ivanti Connect Secure отримав екстрене виправлення для експлуатованої уразливості. 13 жовтня Ivanti оприлюднила CVE-2026-104935 — обхід автентифікації, що дає віддаленому неавторизованому нападнику виконання команд; оцінка CVSS — 8,6. Вендор підтвердив експлуатацію до розкриття, тому це emergency change для власників ICS, а не звичайне планове оновлення (13 жовтня 2026; бюлетень Ivanti, аналіз Rapid7).

  • Volexity показала, чому одного patch недостатньо для edge-пристрою. У розслідуванні, опублікованому 13 жовтня, описано UTA0576: ланцюжок уразливостей дав root-доступ до повністю оновленого VPN, після чого нападники шукали облікові дані Active Directory, LAPS-паролі та ключі відновлення BitLocker і чистили журнали. Для таких систем потрібні збір пам’яті та диска, threat hunting і перевірка довіри до підключених ідентичностей (13 жовтня 2026; звіт Volexity).

  • Ahold Delhaize оновила повідомлення про кіберінцидент у мережі. Компанія підтвердила, що 13 жовтня команди продовжували оцінювання та стримування проблеми. Цінний урок для SRE — рішення тимчасово вимкнути частину систем має бути заздалегідь підготовленим механізмом збереження безпеки й доступності, а не імпровізацією під час кризи (13 жовтня 2026; оновлення Ahold Delhaize).

  • Gemini 4 Argon став доступним у GitHub Copilot. Модель для складних, агентних і reasoning-задач поступово розгортається для планів Pro+, Max, Business та Enterprise, а адміністратори можуть керувати доступом через політики моделей. Це не лише нова функція IDE: поява сильнішого агента змінює модель ризику CI/CD і вимагає окремих оцінок, бюджетів та обмеження дозволів (13 жовтня 2026; GitHub Changelog).

3 матеріали, які варті часу

  • AWS Builders’ Library: Making retries safe with idempotent APIs — пояснює, як унікальний ідентифікатор запиту перетворює повтори після збою на безпечний механізм. Корисно для проєктування control plane, provisioning і recovery-операцій.
  • CNCF: Don’t give AI agents root. Make them propose the next system state. — сильна архітектурна рамка для агентів: спостереження та пропозиція зміни окремо від схвалення, підписання й розгортання відтворюваного стану.
  • Microsoft Well-Architected: Architecture Best Practices for AKS — чітко розділяє відповідальність платформи й команд навантажень та пов’язує ізоляцію, ідентичності, моніторинг і відновлення. Добрий матеріал для рев’ю внутрішньої Kubernetes-платформи.

Практичний висновок

Сьогоднішня спільна тема — довіра до межі системи. Для VPN це означає патчити й проводити форензичну перевірку навіть після успішного оновлення; для інцидентів — мати безпечний режим деградації та чітке право вимкнути частину сервісів; для агентів — видавати не root-доступ, а вузькі, журналювані операції через контрольований шлях зміни. Staff/Principal-рішення — закріпити ці межі в платформі й політиках за замовчуванням, щоб безпека не залежала від героїзму чергової команди.