2026-10-15 15:26:29 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

Fortify 静态应用安全测试（SAST）26.4

苏州华克斯
苏州华克斯

华克斯

2026年10月13日 10:05
江苏

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

我们很高兴宣布 OpenText Fortify SAST 26.4 即时上线。

开发团队迅速转向新的语言、框架和构建环境。此次发布帮助团队跟上新工具链和语言支持，将AI驱动的SAST扩展到KornShell脚本，增加了Vue 3的预览覆盖，扩展了后量子密码学和框架覆盖范围，并新增了一个为更精确分析奠定基础的新应用分析器。

引擎更新引入了团队升级后可以使用的新功能。安全内容更新可能会引入新发现、重新分类现有发现，或减少误报，帮助团队了解扫描中可能发生的变化及其原因。

本次公告涵盖了引擎和安全内容的更新。

Engine 更新

Xcode 27

苹果于2026年9月14日发布了Xcode 27，Fortify SAST 26.4在同一发布窗口内加入了覆盖，同时Swift 6.4也同步发布。苹果开发者可以在应用安全流程中保持静态分析的同时，采用最新的Xcode工具链和SDK，在更新编译器和构建环境时减少阻力。

更新后的T-SQL

Fortify SAST 26.4 使 T-SQL 分析更新，并获得 SQL Server 2014、2016、2017、2019、2022 和 2025 的验证覆盖。团队可以随着应用和数据库开发实践的发展，继续扫描存储过程、函数、触发器及其他数据库逻辑。

KornShell（KSH）利用AI驱动的SAST扫描

AI驱动的SAST现已涵盖扫描KornShell（KSH）文件。团队可以将静态分析扩展到KornShell脚本，发现自动化、部署和系统管理代码中可能超出传统应用语言覆盖范围的安全问题。

.NET 11

Fortify SAST 26.4 增加了 .NET 11 和 C# 15 的覆盖，使团队在评估和采用下一版 .NET 时能够分析应用。截至本次公告发布时，Microsoft已发布.NET 11版本候选版1，并附带上线支持许可证，预计于2026年11月正式发布。

Kotlin 2.4

Fortify SAST 26.4 增加了 Kotlin 2.4 的覆盖，使团队能够扫描使用最新 Kotlin 语言和工具更新构建的应用程序，同时在项目现代化过程中保持安全覆盖。

Vue 3（预览版）

Vue 3 是一个用于构建用户界面和单页应用程序的 JavaScript 框架。Fortify SAST 26.4 增加了对 Vue 3 单文件组件（.vue 文件）的初步覆盖，涵盖了 Vue 生命周期的钩子以及被扫描的 .vue 文件中包含的 JavaScript 和 HTML 代码。要启用此预览，请设置[FEATURE FLAGS TBD： confirm with SSR]。

新应用分析器

本版本引入了新的应用分析器，能够更深入地理解应用程序及其特性。该分析器为Fortify产品组合的更广泛集成奠定了基础，并将随着时间推移被用于帮助减少噪声并进一步提升分析准确性。

安全内容更新

以下规则包更新是最可能影响扫描结果的更改。团队可能会发现新的发现、不同类别报告的发现，或在以下领域出现更少的误报。

扩展的后量子密码学覆盖范围

后量子密码学（PQC）覆盖范围现包括PyCryptodome、.NET Core密码API和弹跳城堡for .NET。扩展的覆盖帮助团队识别不具备PQC韧性的密码算法，并识别设计为量子韧性的实现。使用这些库的应用程序升级后可能会产生新的PQC结果。

PQC发现默认被禁用，通常通过com.fortify.sca.rules.enablePQCRules=true属性启用。通过Fortify SAST 26.4，当扫描检测到Java或JavaScript代码中的PQC安全算法时，适用的PQC规则会自动启用。团队可以使用 com.fortify.sca.rules.disablePQCAutoDetect 属性关闭自动检测，并且显式启用 PQC 规则依然优先。

新Python、.NET和Go库覆盖

Fortify SAST 26.4 增加了 Python 中的 SQLAlchemy 和 .NET 中的 HtmlSanitizer 覆盖，同时新增了 Go，涵盖 gorilla/mux、Echo、Beego、chi 和 zap。这些新增内容帮助Fortify理解框架特定的API、数据流和安全控制，从而产生更完整、更精确的发现。使用这些库的应用升级后可能会产生新的发现。

.NET 新不安全字符串转换类别

在Fortify团队今年早些时候在DEF CON 34和Black Hat USA上展示的研究基础上，本版本新增了C#中动态代码评估：不安全字符串转换类别的相关内容。与动态代码评估相关的：不安全反序列化，该类别涵盖可能导致转换层代码远程执行的弱点。

其他显著改进

除了新功能外，Fortify SAST 还带来了若干小的改进。正则表达式分析现在可以通过 -regex-scan-minified 选项或 com.fortify.sca.regex.ScanMinifiedJS 属性扫描压缩后的 JavaScript 和 TypeScript 文件。AI驱动的SAST现在支持通过环境变量配置数据库连接属性，并且新增属性允许在模型更换时重新生成缓存的LLM结果。已验证的平台和工具链兼容性现包括 AlmaLinux 10.x、SUSE Linux Enterprise Server 16、macOS 26 和 27、Go 1.27、MSBuild 18.x、gcc 14 以及 LLVM Clang 21.1.6。

Foritfy 26.4规则库更新内容

OpenText SSR 很高兴宣布，Fortify SAST 应用安全内容（英文版，版本 2026.4.0）、Fortify DAST SecureBase（通过 SmartUpdate 可用）和 Fortify Premium Content 的更新已立即上线。

OpenText软件安全研究（SSR）团队将前沿研究转化为支持Fortify产品组合的安全情报，包括SAST[1]，以及 DAST[2].如今，OpenText应用安全内容支持1770个漏洞类别，涵盖47+语言，涵盖超过一百万个独立API。

SAST应用安全内容

此次发布中，SAST应用安全内容检测了1545个独特类别的漏洞，涵盖47+语言，覆盖超过一百万个独立API。总之，本次发布包含以下内容：

[新]KornShell脚本的AI驱动弱点检测[3]

26.1 引入的 AI 驱动 SAST 功能，扩展了对 KornShell（ksh）脚本的安全分析，涵盖 20 个现有类别及以下新类别：不可信搜索路径。

Java SE 更新（支持版本：25）

Fortify 对 Java SE 25 的覆盖范围已扩展，增加了对更多 Java API 的安全分析，包括基于读者的脚本引擎评估、JDBC 4.2 大型更新语句和 ResultSet 访问器、StAX XML 流读写 API、java.lang.invoke 方法句柄、X509TrustManager 实现、JMX MXBean 数据访问以及 JShell 执行控制 API。支持提升了六个现有类别的覆盖范围。

Go Standard 库更新（支持版本：1.27）

扩展了Go 1.27标准库的覆盖范围，包括后量子密码学、JSON处理、数据库操作和实用API。支持提升了两个现有类别的覆盖范围。

[新]Go Beego（支持版本：2.3.x）

Beego 是一个开源的 Go 编程语言 MVC 框架。它是一个全栈的网络框架，用于快速开发网页应用和 RESTful API。在本次发布中，Fortify全新的支持涵盖了12个现有类别。

[新]Go Chi（支持版本：5.3.x）

Chi 是一款轻量级、符合惯用法的路由器，用于在 Go 中构建 HTTP 服务。Fortify已为Chi专用路由和中间件API增加了覆盖，超出现有Go网络/HTTP建模，包括URL参数、请求ID、客户端IP、日志条目、响应头和日落链接。支持涵盖三个现有类别。

[新]Go Echo（支持版本：4.15）

Echo 是一个高性能、极简的 Web 框架，用于在 Go 中构建 REST API 和 Web 应用。支持涵盖10个现有类别。

[新]Go gorilla/mux（支持版本：1.8.x）

Gorilla/mux 是 Go 的请求路由器和调度器，负责将收到的 HTTP 请求匹配到处理器。Fortify已为gorilla/mux路由变量、URL构建API、中间件和路由器匹配添加了支持。

[新]Go Zap（支持版本：1.28）

Zap 是一个为 Go 设计的快速结构化日志库，专为高性能应用设计。Fortify覆盖增加了Go Zap日志API的安全分析。支持涵盖三个现有类别。

[新]动态代码评估：不安全的字符串转换

能够检测新类别的规则，C# 中的动态代码评估：不安全字符串变换。该新类别与动态代码评估：不安全反序列化相关，能够实现转换层的远程代码执行（如Black Hat 2026和DEF CON 34所示）。

[新] .NET HtmlSanitizer（支持版本：9.2.x）

HtmlSanitizer 是一个 .NET 库，可以去除潜在危险的 HTML、属性和 CSS，帮助防止跨站脚本攻击（XSS）。为 HtmlSanitizer 数据流行为增加了 Fortify 覆盖，模拟了净化和编码值如何通过库的 HTML 和 URL 净化 API 传播。

.NET Core 加密更新（支持版本：10）

对 C# .NET 核心加密的支持已更新，包含对新的后量子密码学 API 的支持，以及检测非 PQC 算法使用。已新增对以下类别的支持：弱加密：非PQC弹性算法。

[新]C# .NET PQC 版的弹跳城堡（支持版本：2.7.x）

Bouncy Castle 项目为 C# 提供了支持密码学和密码协议的开源 API。Bouncy Castle 包含对后量子密码学（PQC）安全算法的支持。新增支持检测非PQC算法的使用，以涵盖两类现有算法。

PyCryptodome PQC 更新（支持版本：1.31.x）

PyCryptodome 是一个自包含的 Python 包，包含底层密码学原语，分支自曾经流行但现已未维护的 pycrypto 库。新增了对弱密码学原语检测以及跨三类不符合PQC算法的支持。

[新]自动PQC规则启用[3]

当Java或JavaScript代码检测到PQC安全的算法时，Fortify现在会自动启用适用的后量子密码学规则。这提升了覆盖范围，而无需手动激活规则。

客户可以通过 com.fortify.sca.rules.disablePQCAutoDetect 禁用自动检测;明确启用PQC规则依然优先。

[新]SQLAlchemy（支持版本：2.0.x）

SQLAlchemy库支持构建SQL语句以及高级对象关系映射器（ORM）。它可以成功与包括 MySQL 和 SQLite 在内的多种数据库系统交互。在本次发布中，Fortify全新的支持涵盖了五个现有类别。

T-SQL 更新（支持版本：SQL Server 2017–2025）[3]

T-SQL 分析已迁移到 Flight 引擎，后者使用专用的 T-SQL 解析器和数据流分析。它模拟了 T-SQL 的特定行为，包括通过 EXEC 和 sp_executesql、xp_cmdshell、PRINT 输出和密码学函数实现动态 SQL。更新后的检测涵盖了20个现有类别。

规则包维护政策更新

随着OpenText Fortify SAST（Fortify Static Code Analyzer）现已与安全编码规则包更新同步，我们正在相应同步规则包维护窗口。

从规则包27.1版本开始，安全编码规则包只会在其当前维护窗口内的Fortify SAST版本中加载。因此，Fortify SAST 25.2之前的版本将无法加载27.1规则包（预计于2027年初发布）。

杂项勘误

假阳性减少及其他显著检测改进

• 访问控制：缺少授权检查。当Fortify SAST 25.2启动嵌套授权检查时，保护的ABAP调用事务语句的误报已被移除

•凭证管理：硬编码API凭证。通过改进目标JWT格式和base64编码令牌的持有令牌匹配，消除了所有语言的误报
•密钥管理：硬编码加密密钥。新检测到硬编码FlaskSECRET_KEY值的真实阳性

•空去引用。在 .NET 项目中，当用HasValue检查Nullable<T>值或使用GetValueOrDefault、ToString或GetHashCode时，会消除误报

•密码管理：硬编码密码。在packages.lock.json和project.assets.json
中移除了NuGet依赖元数据的误报

•密码管理：配置文件中的密码。在HOCON配置文件中检测到新的真阳性
•隐私侵犯。当@FortifyNotPrivate应用于与上下文无关的Java变量时，误报被消除
•系统信息泄露：外部。当Flask应用程序启用调试模式运行时检测到新的真阳性

•加密弱：RSA填充不足。在使用 Apple Security 框架的 Objective-C 和 Swift 项目中，以及使用 Microsoft CryptoAPI 签名和验证函数的 C/C++ 项目中，RSA 签名操作的误报已移除

•[多类别]。在使用System.Runtime.CompilerServices.Unsafe类时，.NET项目中检测到新的真阳性

类别更名

为了提高各类别报告的一致性，本版本中已重新命名以下类别：

26.3 类别名称	26.4 类别名称
Dockerfile 错误配置：依赖混淆	Dockerfile Misconfiguration： Unpinned Dependency Version

加强DAST（WebInspect）SecureBase

Fortify DAST SecureBase 结合了数千个漏洞的检查与策略，指导客户立即通过 SmartUpdate 获得的更新。

漏洞支持

SQL 注入改进[4]

本版本在以下领域提升了具有动态响应、重定向和可变响应时间的应用的盲SQL注入可靠性：

• 确认发现保留率：即使次级基于时间的验证噪声较大，或数据提取无法完成时，已确认的盲目SQL注入结果也将持续报告。
• 自适应基于时间的校准：调整服务器响应时间波动的延迟阈值，减少基于时间检测的误报。
• 重定向和空响应处理：当响应包含HTTP重定向、空内容或内容结构变化时，改进基线比较。
• 数据库提取：改进盲式和基于联合数据库的列替换、响应解析和错误恢复。
• 扩展基于错误的覆盖：检测重定向或空响应中的基于错误的SQL注入，并更新积极评估配置文件。

不安全传输：缺少PQC弹性密钥交换[4]

扩展后量子密码学（PQC）评估覆盖范围，以评估混合密钥（X25519MLKEM768，SecP256r1MLKEM768，SecP384r1MLKEM1024）和纯MLKEM1024 MLKEM768密钥封装机制，并通过精细的握手分析防止服务器发出重试请求或协商失败时出现误报。

杂项勘误

减少误报、改进问题审计及其他显著检测改进

• 跨站脚本。通过优化攻击有效载荷传递，改进了脚本源跨站脚本检测。[4]
• 动态码评估：不安全的反序列化。本版本改进了 CVE-2025-53772 的不安全反串行检查，减少了误报并提高了结果准确性。
• 不安全传输：弱SSL协议。把严重程度从中等改成了高。
• JavaScript劫持：JSONP。减少了JSONP检测中的误报。