Devsecops

Rust 1.100 ที่กำหนดออกวันที่ 12 พฤศจิกายน 2569 จะรองรับ dependency cooldown ใน Cargo แบบ stable ให้ปฏิเสธเวอร์ชันแพ็กเกจที่อายุยังไม่ถึงเกณฑ์ที่ตั้งไว้ ฟีเจอร์นี้เป็นแบบ opt-in ค่าเริ่มต้นยังเป็นศูนย์ ต้องตั้ง global-min-publish-age เอง เหตุผลมาจากกรณี arrayref, internment และ append-only-vec ที่ถูกยึดเมื่อสิงหาคม และอยู่บน crates.io 86-107 นาทีก่อนถูกถอด รายการใน Cargo.lock เดิมไม่ถูกตรวจย้อนหลัง และ cooldown ไม่ได้พิสูจน์ว่าแพ็กเกจปลอดภัย

GitLab ออกแพตช์ความปลอดภัยนอกรอบแก้ CVE-2026-19478 ที่บริษัทจัดระดับวิกฤตด้วยคะแนน CVSS 9.4 ช่องโหว่นี้เปิดทางให้ผู้ที่ไม่ผ่านการยืนยันตัวตนแก้ไขหรือลบโปรเจกต์สาธารณะและข้อมูลผู้ใช้จากระยะไกลผ่าน GraphQL directive ภายใต้เงื่อนไขบางอย่างที่บริษัทไม่ระบุ แพตช์อยู่ในเวอร์ชัน 19.2.4, 19.1.6, 19.0.8 และ 18.11.11 โดยมีเพียงการติดตั้งแบบ self-managed ที่ต้องลงมือ ส่วนรุ่น 18.2 ถึง 18.10 อยู่ในช่วงที่ได้รับผลกระทบแต่ไม่มีแพตช์รองรับ

GitLab ออกอัปเดตความปลอดภัยให้ทั้ง Community Edition และ Enterprise Edition ปิดช่องโหว่รวม 13 รายการ โดยมี 3 รายการระดับความรุนแรงสูง ตัวที่ร้ายแรงที่สุดคือ CVE-2026-10086 ซึ่งเป็น XSS ใน Analytics dashboard ของ GitLab EE ตามด้วย CVE-2026-10712 ที่เป็น XSS ใน Web IDE ซึ่งผู้โจมตีที่ไม่ต้องยืนยันตัวตนใช้ประโยชน์ได้ และ CVE-2026-12053 ที่เปิดให้เข้าถึงข้อมูลสำคัญ แพตช์อยู่ในเวอร์ชัน 19.1.1, 19.0.3 และ 18.11.6

นักวิจัย Novee Security เปิดโปงช่องโหว่ workflow CI/CD รูปแบบใหม่ชื่อ Cordyceps ที่เปิดทางให้ผู้โจมตียึด workflow และเจาะ open-source supply chain ได้ จากการสแกน repo สำคัญ 30,000 แห่ง พบกว่า 300 แห่งถูกเจาะได้เต็มรูปแบบ รวมถึง repo ของ Microsoft, Google, Apache และ Cloudflare ผู้ใช้ที่ไม่ผ่านการยืนยันตัวตนและมีบัญชีฟรีก็สามารถปลอมการอนุมัติ push โค้ด หรือขโมย credential ได้

Emphere สตาร์ทอัปจากซีแอตเทิลระดมทุน pre-seed 2.1 ล้านดอลลาร์จาก AI2 Incubator และ Outsiders Fund เพื่อพัฒนาแพลตฟอร์มแก้ช่องโหว่อัตโนมัติด้วย AI แนวทางของบริษัทตอบโจทย์ยุคที่ซอฟต์แวร์ประกอบจากแพ็กเกจโอเพนซอร์ส dependency และ OS layer แพลตฟอร์มจะวิเคราะห์ dependency graph เพื่อเข้าใจว่าช่องโหว่ใดถูกโจมตีได้จริง แล้วลงมือแพตช์ ตรวจสอบ และส่งผลลัพธ์อัตโนมัติโดยไม่ทำให้ระบบปลายน้ำพังหรือถูกเครื่องมือความปลอดภัยบล็อก

GitLab ออกแพตช์ความปลอดภัยฉุกเฉินทั้ง Community และ Enterprise Edition แก้หลายช่องโหว่ใน Duo AI, DoS และ authorization โดยปล่อยเวอร์ชัน 19.0.1, 18.11.4 และ 18.10.7 เมื่อ 27 พฤษภาคม 2569 ช่องโหว่ร้ายแรงสุดคือ CVE-2026-4868 (CVSS 8.2) ใน Duo AI workflow runner ที่เปิดให้ผู้ใช้ที่ล็อกอินสั่ง workflow ทำงานในชื่อผู้ใช้คนอื่น นำสู่การเคลื่อนตัวด้านข้างและใช้สิทธิ์ในทางที่ผิด GitLab เร่งให้แอดมินอัปเกรดทันที