Nyheter i Eficode ROOT: juni 2026

Uppstädningsteamet höll tempot uppe genom att uppgradera Rocket Chat 7.13.8, Hashicorp Vault 2.0.1, KeyCloak 26.5.7 och Dependency Track 4.14.1 till de senaste stabila versionerna. Framåt kommer juli att vara en period med driftsättningsstopp – men det betyder inte att vi lägger upp fötterna och jobbar på brännan. I stället fokuserar vi på nödvändigt underhåll av backend, övervakar hotlandskapet aktivt och implementerar CVE-patchar där de verkligen påverkar vår miljö, för att hålla våra kunder trygga och vår miljö säkert optimerad. Glöm inte att läsa avsnittet om borttagningar i artikelsektionen för GitLab och GitHub!

Jenkins

Även om GitHub Actions-policyer på organisations- eller repositorynivå vanligtvis begränsar uppladdning av workflows kan administratörer nu använda standardkonfigurationen för att aktivera kodskanning. Uppdateringen säkerställer att säkerhetsskanningar fortsätter att fungera och inte blockeras av begränsningar i Actions-policyer. Läs mer här.

Den här releasen innehåller CodeQL CLI version 2.23.9, som driver CodeQL action för avancerad kodskanning. Sedan versionen som ingår i GitHub Enterprise Server 3.19 har flera större förbättringar introducerats:

Förbättringar för språk och ramverk

• Stöd för Rust: Rust-analys är nu allmänt tillgänglig, vilket gör det möjligt för utvecklare att skydda bibliotek och applikationer mot alla kategorier i OWASP Top 10, med undantag för A06:2021.

• Uppdateringar för Swift och Kotlin: CodeQL har nu stöd för Swift version 6.2 och 6.2.1 samt Kotlin-versionerna 2.2.0x och 2.2.2x. Observera att stödet för Kotlin 1.6 och 1.7 fasas ut.

• Buildless Scanning för C/C++: Analys av C/C++-projekt utan krav på builds är nu allmänt tillgänglig, med det nya standardläget "none" för build-mode som förenklar införandet i nya repositories.

Förbättringar av prestanda och workflows

• Inkrementell analys: För bättre prestanda har CodeQL nu stöd för inkrementell analys för alla språk som stöds.

• Migrering till Action v4: Användare av avancerad konfiguration måste migrera till CodeQL Action v4 (som körs på Node.js 24) innan v3 tas ur bruk i december 2026. Användare av standardkonfiguration migreras automatiskt.

Optimeringar av queries: Ett brett urval av förbättringar och ändringar har genomförts i CodeQL-queries för alla språk som stöds.

Jira

Resan mot en kraftfullare och smidigare utvecklingsmiljö når nästa milstolpe med en underhållsuppgradering av ekosystemet till Jira version 10.3.21. Med målet att hålla din huvudsakliga arbetsyta för projektledning i linje med de högsta standarderna för enterprise samlar denna underhållsrelease viktiga felrättningar i bakgrunden och uppdaterar alla grundläggande marketplace-plugins till de senaste versionerna. För alla som använder plattformen innebär det en stabil och avbrottsfri arbetsyta där workflows fungerar smidigt och data är konsekvent strukturerad.

Du får direkt nytta av viktiga stabilitetsfixar som eliminerar frustrerande plattformsfel, till exempel problemet där stängda uppgifter felaktigt visades i planer i Advanced Roadmaps trots strikta exkluderingsregler. Dessutom säkerställer de senaste plugin-versionerna smidiga verktygsintegrationer, snabbare laddningstider för dashboards och högsta möjliga prestanda för uppföljning, så att dina projekt kan fortsätta framåt utan avbrott.

Viktiga underhållsfixar i den här cykeln:

• Integritet i Advanced Roadmaps: Åtgärdar en kritisk regression där lösta och stängda ärenden oväntat kunde kringgå exkluderingsregler och visas i planer i Advanced Roadmaps.

• Uppdatering av plugin-ekosystemet: Synkroniserar alla installerade app-tillägg till de senaste versionerna, minskar integrationsfel och säkrar beteendet för anpassade fält.

Stabil systemprestanda: Åtgärdar fördröjningar i UI-navigeringen, med fokus på renderingsproblem i desktopvyn och störningar vid filtrering, för en snabbare användarupplevelse.

Rocket Chat

En viktig utveckling för teamkommunikation kommer med övergången till Rocket.Chat version 7.13.8. Den här riktade uppdateringen möter det kritiska behovet av en säkrare och mer minneseffektiv infrastruktur, samtidigt som den löser specifika flaskhalsar i prestandan för ljud- och videosamtal. För hela organisationen innebär det en betydligt mer tillförlitlig arbetsyta där samtal sker direkt och datadelning förblir strikt skyddad.

Kommunikationen blir direkt smidigare tack vare en omskriven mediemotor som förhindrar tappade samtal och ser till att ljudnotiser alltid hörs som de ska. Dessutom eliminerar optimeringar bakom kulisserna serverkrascher vid stora filöverföringar och stärker sessionssäkerheten, vilket ger dig en helt friktionsfri miljö för samarbete.

Viktiga underhållsfixar i den här cykeln:

• Resursoptimering: Åtgärdar ett fel i streaming i backend där uppladdning av stora filer kunde orsaka kraftiga toppar i CPU- och minnesanvändningen, vilket säkerställer serverstabilitet vid omfattande filöverföringar.

• Tillförlitliga samtal och ljud: Löser kommunikationsproblem genom robust hantering av ljudenheter och korrigerade notifieringstriggers, vilket förhindrar tappade anslutningar och ljudlösa ringsignaler.

• Sessions- och tokenstyrning: Åtgärdar autentiseringsflöden för företag och säkerställer att inaktiverade användarsessioner och inaktiva OAuth-token rensas bort helt när de avslutas.

Strikt validering av uppladdningar: Förstärker den interna filfiltreringen för att hindra otillåtna filtyper från att kringgå systemets säkerhetsbegränsningar om de byter namn under uppladdningen.

Hashicorp Vault

En viktig underhållsuppdatering för livscykeln kommer med uppgraderingen till HashiCorp Vault version 2.0.1. Den här mindre releasen åtgärdar inledande regressioner i plattformen, uppdaterar grundläggande säkerhetsbibliotek och stabiliserar kopplingar för användarhantering, så att den nyligen driftsatta v2-arkitekturen fungerar med högsta effektivitet. För utvecklingsteamen som förlitar sig på klustret innebär det en mycket motståndskraftig kryptografisk gräns, helt tillförlitlig synkronisering av identiteter och ett friktionsfritt gränssnitt.

Du får direkt nytta av en rad viktiga stabilitetsfixar, bland annat en korrigering av ett kritiskt fel där borttagning av en användare från en Okta-grupp inte återkallade motsvarande åtkomsträttigheter i Vault. Dessutom förbättras dina administrativa arbetsflöden avsevärt genom ett uppdaterat användargränssnitt som eliminerar omladdningar i sidomenyn och åtgärdar tomma resultattabeller vid justering av sidindelning för secret engines. Det ger en snabb och tillförlitlig hanteringsupplevelse.

Viktiga underhållsfixar i den här uppdateringen:

• Okta SCIM-synkronisering: Åtgärdar ett fel i företagsidentitetshanteringen där borttagning från en Okta-grupp inte fick genomslag, så att återkallade gruppmedlemskap korrekt tar bort användaråtkomst i Vault.

• Stabilitet och navigering i användargränssnittet: Löser flera layoutproblem i GUI:t, bland annat flimmer och omladdning av sidomenyn vid routning på engine-nivå samt felaktig sidindelning i tabeller på sidan Secrets Engine.

• Skrivskydd för lagring: Lägger till viktiga valideringskontroller för att förhindra skrivfel i kärnlagringen vid generering och hantering av Time-Based One-Time Password-nycklar (TOTP).

Säkerhetsuppdateringar av beroenden: Uppgraderar grundläggande beroenden för kryptografi och transit engine för att åtgärda sårbarheter i centrala protokoll för JSON Web Signing (JOSE) och transport.

KeyCloak

Den kontinuerliga förbättringen av vår centrala autentiseringsbarriär tar ett tydligt steg framåt med driftsättningen av Keycloak version 26.5.7. Den här livscykeluppdateringen åtgärdar djupt liggande sårbarheter i transportlagret, risker för överbelastningsattacker på applikationsnivå och läckor mellan användarsessioner vid återautentisering. Därmed får din identitetsserver högsta möjliga säkerhetsnivå. För hela organisationen innebär det fullt förtroende för användarnas integritet, robusta gränser för åtkomstkontroll och förutsägbara autentiseringsmönster i alla anslutna mikrotjänster.

Du får direkt nytta av korrigerade OpenID Connect-endpoints (OIDC) som korrekt tillämpar strikt validering mot path traversal. Det hindrar angripare från att kringgå omdirigeringsregler och förfalska auktoriseringstoken. Dessutom har backendens dataströmmar optimerats för att säkerställa att autentiseringscookies är helt isolerade vid samtidiga inloggningscykler, vilket skyddar din digitala identitet från sammanblandning mellan användare medan du arbetar.

Viktiga underhållsfixar i den här uppdateringen:

• Åtgärd för kontaminerade sessioner: Löser ett allvarligt fel vid återanvändning av sessioner, där överlappande autentiseringstoken kunde leda till att användarkonton exponerades mellan användare vid snabb återautentisering.

• OIDC-kringgåenden via sökvägar: Korrigerar kritiska endpoints för redirect URI:er för att neutralisera path traversal-exploateringar som kan lura systemet att läcka aktiva auktoriseringskoder till externa domäner.

• Stabilisering av scope-bearbetning: Eliminerar en sårbarhet för överbelastningsattacker på applikationsnivå som orsakas av instabila bearbetningsloopar på servern vid omfattande utvärderingar av API-scope.

Integritet för åtkomstkontroll: Uppdaterar interna REST-endpoints för administration och UMA 2.0-lager för att hindra obehöriga klienter från att lista organisationsmedlemskap eller läsa känslig metadata om roller.

Dependency Track

Vi uppdaterar vår plattform för mjukvarusäkerhet och transparens, Dependency-Track, från version 4.13.6 till version 4.14.2. Med denna större uppgradering får du ett betydligt mer träffsäkert ramverk för riskbedömning och bättre kontroll över din leveranskedja för mjukvara. Säkerhets- och complianceteam kan nu minska bruset och fokusera bättre med plattformens inbyggda regelverk, moderna hotmått och intelligentare automatisering. Det gör att dina utvecklare kan lägga mindre tid på att granska falsklarm och mer tid på att leverera säkert värde till dina kunder.

Här är de viktigaste nyheterna i denna release:

• Ekosystemanpassad matchning av sårbarheter. Plattformen spårar och utvärderar nu versionsnummer för mjukvara med de inbyggda regelverk som är unika för specifika programmeringsspråk och operativsystem, till exempel Alpine Linux, Debian, Ubuntu, NPM och Maven. Den känner också igen när OS-utvecklare bakåtdaterar säkerhetsfixar till äldre versioner. Fördelen: Funktionen minskar antalet falska positiva träffar avsevärt. Dina team behöver inte längre lägga tid på skenlarm om sårbarheter som redan har åtgärdats eller inte gäller i just er miljö.

• Nästa generations ramverk för risk (stöd för CVSSv4). Dependency-Track hämtar nu in och visar den senaste branschstandarden för riskbedömning, CVSSv4, tillsammans med befintliga data. Fördelen: Du får en mer förfinad och flerdimensionell bedömning av sårbarheters allvarlighetsgrad, vilket ger dig den mest aktuella och heltäckande bilden av din faktiska hotbild.

• Utökad EPSS Threat Intelligence. Poäng från Exploit Prediction Scoring System (EPSS) – som uppskattar sannolikheten för att en säkerhetsbrist utnyttjas av illasinnade aktörer i verkligheten – omfattar nu även sårbarheter från GitHub Advisories. Fördel: Det gör att ditt säkerhetsteam intuitivt kan prioritera åtgärdsflöden och direkt fokusera på de hot som aktivt utnyttjas i det vilda.

• Automatiserade policyer för programvarans ålder och status. Policy-motorn har utökats med stöd för regler baserade på en komponents driftstid och ”versionsavstånd” (hur många uppdateringar en komponent ligger efter). Fördel: Du kan enkelt införa grundläggande skyddsräcken för att identifiera föråldrad programvara, systematiskt förhindra ”programvaruförfall” och hålla dina digitala produkter moderna, underhållbara och motståndskraftiga.

• Prestandaförbättringar och optimerad sökning. Optimeringar under huven har förbättrat hastigheten för databasspegling, infört projektspecifika filter i komponentvyn för sökning och förfinat den internationella lokaliseringen, inklusive uppdateringar för tyska och kinesiska. Fördel: Du får ett smidigare och mer responsivt användargränssnitt samt snabbare datasynkronisering, vilket minskar tiden du lägger på att navigera i dashboards.

____________________________________________________________________________

Det var allt för juni! Vi ses i augusti!