Часто задаваемые вопросы
Обнаруживает ли SonarQube PHP2Shell (CVE-2026-109618 и CVE-2026-109619)?
Да, в образах контейнеров, которые устанавливают PHP из пакета дистрибутива Linux, таких как apt install php8.x на Debian или Ubuntu. Сканирование контейнеров сообщает об этом на основе рекомендаций по безопасности дистрибутива. Оно не обнаруживает PHP, скомпилированный из исходного кода, включая официальные образы php на Docker Hub.
Работает ли сканирование контейнеров с SonarQube Server?
Пока нет. Сканирование контейнеров доступно в SonarQube Cloud. Поддержка SonarQube Server планируется.
Какие базовые образы контейнеров поддерживаются?
Образы на базе Red Hat Enterprise Linux, Debian 11 и выше, Rocky Linux, AlmaLinux, Ubuntu и Alpine. Поддержка зависит от базовой операционной системы, поэтому образы, созданные на их основе, такие как официальные образы Node.js на базе Debian или Alpine, также охватываются.
Сколько стоит сканирование контейнеров в SonarQube?
Никаких дополнительных затрат нет. Сканирование контейнеров входит в состав SonarQube Advanced Security для тарифных планов SonarQube Cloud Team и Enterprise.
Нужно ли повторно сканировать образ для поиска новых уязвимостей?
Нет. SonarQube Cloud выполняет повторную проверку проанализированных образов на наличие недавно опубликованных уязвимостей в соответствии с настройками повторного анализа вашей организации. Запускайте сканер повторно при изменении самого образа.
