Chainguard

Версии PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35 вышли 21 октября, на день раньше плана, из-за утечки CVE-номеров. Обе уязвимости получили CVSS 9.2, входа для эксплуатации не нужно, а видео с PoC по ошибке выложили в открытый доступ.

В треде администратор, который спешно обновлял несколько серверов, написал, что трёхстрочное правило nginx, блокирующее multipart-загрузки, тихо защищало машину, которую он не мог выключить.

Minimus публикует сотни distroless-образов с процентами снижения уязвимостей на каждый: nginx — 100%, python — 98%. Теперь они бесплатны без SLA и гарантий сроков патчей — платные тарифы получают исправления первыми.

Тред при участии сооснователя крутится вокруг одного: бесплатные уровни исчезают, когда на них уже опираются. Инженеры также давят на неотвеченные базовые вопросы: нет Dockerfile, непонятное лицензирование, и разрыв доверия к цепочке поставок по сравнению с открытым Wolfi.