Последние новости: CI/CD

Разработчикам PHP-проектов рекомендуют срочно обновить Composer до версий 2.9.8, 2.2.28 LTS или 1.10.28. Исправление закрывает уязвимость CVE-2026-45793, из-за которой Composer мог вывести полный GitHub Actions GITHUB_TOKEN или GitHub App installation token в stderr, а затем — в логи CI. Проблема …

Checkmarx предупредила клиентов о поддельной версии своего Jenkins AST Scanner — плагина, который подключает проверки безопасности Checkmarx One к пайплайнам Jenkins. Вредоносная сборка 2026.5.09 появилась в Jenkins Marketplace 9 мая 2026 года и была доступна до 10 мая. Компания советует …

Свежие npm-пакеты больше не попадают в сборку сразу: pnpm 11 вводит обязательную паузу в 24 часа, чтобы остановить вредоносные релизы на входе.

Jenkins закрыл серию опасных уязвимостей в популярных плагинах: одна из них позволяет записывать файлы в произвольные места на сервере и при определённых настройках может привести к удалённому выполнению кода.

GitHub Actions, токены и релизы стали новой поверхностью атаки. Доверять пакетам «потому что они популярные» больше нельзя.

Gemini CLI доверял чужому коду и запускал команды: Google срочно закрыл критическую уязвимость

Python под угрозой: asyncio ломает память и открывает путь к RCE

Исследователь показал, как GitHub-комментарии, issue и заголовки PR можно использовать для prompt injection против Claude Code, Gemini CLI Action и GitHub Copilot Agent. Атака позволяет вытаскивать токены и API-ключи из окружения.

Популярная JavaScript-библиотека axios оказалась в центре серьезного инцидента с цепочкой поставок ПО (supply chain attack). Исследователи StepSecurity сообщили, что в npm были опубликованы две вредоносные версии пакета, axios@1.14.1 и axios@0.30.4.

Supply chain-атака на Trivy: скомпрометированы релизы, GitHub Actions и Docker-образы

LiteLLM скомпрометировали через PyPI: вредоносные версии крали ключи и токены