Сами, но не с усами

В комментариях часто встречаются коллеги старой закалки, которые с гордостью рассказывают о том, что сами собирают себе пакеты. Ну, собирают и собирают, какая нам от этого печаль? Но последние события в мире ПО заставили посмотреть на это под новым углом.

С массовым привлечением ИИ к разработке и анализу кода уязвимости начали находиться гораздо быстрее и также гораздо быстрее закрываться. Сегодня и дня не проходит, чтобы в сводке новостей не промелькнуло, что ИИ нашел очередную уязвимость.

А после того, как вы собрали собственный пакет, у вас тут же возникают обязанности по его поддержке. В былые времена это не было сильно затратным делом, ну собрал новую версию раз в полгода или когда нашли что-то серьезное.

Сейчас же правила игры сильно изменились. Обновления пекутся как горячие пирожки, а сидеть с незакрытой уязвимостью это риск не гипотетический, а практический. ИИ и эксплойт напишет, и пояснит как им пользоваться, так что доступно сие развлечение будет даже школьникам.

А чтобы не быть голословным, я посчитал обновления ПО на рабочих серверах, где вся нагрузка крутится в Docker. И это только за один месяц.

🔹Traefik – 5 обновлений - 05.06, 06.06, 11.06, 23.06, 24.06
🔹Angie – 3 обновления - 26.05, 16.06, 20.06
🔹Caddy – 5 обновлений - 04.06, 05.06, 10.06, 23.06, 25.06
🔹Redis – 4 обновления - 27.05, 29.05, 23.06, 24.06
🔹Postgres 17 – 3 обновления - 12.06, 13.06, 25.06
🔹Wordpress FPM – 3 обновления - 12.06, 16.06, 25.06

И, глядя на даты выхода, складывается понимание, что апгрейды эти были далеко не плановыми и явно не новые фишечки выкатывали, а старательно что-то латали, да перелатывали.

В таком темпе свои пакеты вам придется срочно пересобирать, да не по одному разу, практически только этим и занимаясь, плюс начать серьезно отслеживать новостные бюллетени на предмет выхода новых релизов у используемого софта.

На практике это делает поддержку собственной сборки очень дорогой и заморочной, либо вам придется настраивать автоматический конвейер, который будет сам пересобирать ПО на каждый коммит в репозитории, но это уже совсем другой уровень и другая история.

🧐 А что думаете по этому вопросу вы? Готовы включиться в эту гонку?