מהדורה חדשה: SonarQube 2026.5 – סוכני AI, קוד מאובטח וניהול מרכזי
|
Getting your Trinity Audio player ready...
|
מהדורה SonarQube Server 2026.5, שהושקה ב־29 בספטמבר 2026,
היא גרסת ה־ LTA החדשה של Sonar: מהדורת Long-Term Active המיועדת לשמש בסיס לעבודה לאורך זמן. היא מרחיבה את יכולות הבדיקה, האבטחה והתיקון של קוד, עם דגש על פיתוח באמצעות סוכני AI ועל ארגונים שמפעילים SonarQube בתשתיות שבשליטתם.
במאמר זה את החידושים המרכזיים (הרלוונטים למפתחים ומפתחות, מנהלי פיתוח, איכות, DevOps ו־AppSec ), את משמעותם לתהליכי העבודה ואת הנקודות שכדאי לבדוק לקראת שדרוג.
מוזמנות ומוזמנים לפנות אלינו בשאלות – הפרטים בהמשך.
עיקרי החידושים ב־SonarQube 2026.5
- ניתוח קוד מעמיק יותר: שיפורים לשפות C ול־ ++C, תמיכה חדשה בשפות DataWeave וב־ R, והרחבת הניתוח של Rust ושפות נוספות.
- ניהול ו- Compliance (ציות): דשבורדים מותאמים, ארכיטקטורה חוצת פרויקטים ב־Beta, פרופילי איכות חדשים ודוחות MISRA ונגישות.
- סוכני AI בהתקנה עצמית: Sonar Vortex, Remediation Agent ו־Hunter Agent מגיעים ל־SonarQube Server, עם יכולות להכוונת כתיבת קוד, הצעת תיקונים ואיתור חולשות מורכבות.
- אבטחת שרשרת האספקה: ניתוח Reachability לתעדוף חולשות בתלויות, עיבוד מקומי של קובצי התלויות והתראות על סיכונים קריטיים במסגרת Advanced Security.
סוכני AI: מהכוונת כתיבת הקוד ועד להצעת תיקון
Sonar Vortex: בדיקה בתוך תהליך העבודה של הסוכן
Sonar Vortex מספק לסוכן הפיתוח הקשר על הפרויקט: מבנה הקוד, הנחיות כתיבה, אילוצי ארכיטקטורה ומדיניות תלויות. הוא מוסיף כלי ניווט בקוד ובדיקות תוך כדי יצירתו, כדי שהסוכן יוכל לתקן בעיות כבר במהלך העבודה.
היכולת משתלבת עם כלים כמו Claude Code, Cursor ו־Codex, בין היתר דרך תוספים, SonarQube CLI או MCP. עבור צוותים שמייצרים יותר קוד באמצעות AI, המשמעות היא אפשרות להקדים את המשוב ולהקטין סבבי תיקון בהמשך ה־Pipeline.
Remediation Agent: תיקונים שמגיעים כ־Pull Request
Remediation Agent מאפשר להקצות ממצאים לסוכן שמציע תיקון, בודק אותו באמצעות רכיב הניתוח של Vortex ופותח בקשת מיזוג ב־GitHub, ב־GitLab או ב־Azure DevOps.
אפשר להפעילו גם לטיפול מתוזמן בצבר ממצאים ולהגביל את מספר בקשות המיזוג הפתוחות.
הסוכן תומך בתיקונים עבור C#, Java, JavaScript/TypeScript ו־Python, בכפוף לכללים הנתמכים. האישור והמיזוג נשארים בידי הצוות; הסוכן אינו ממזג את השינויים בעצמו.
Hunter Agent: חיפוש חולשות שדורשות הבנת הקוד
Hunter Agent מוסיף ניתוח מבוסס AI שמיועד לאתר בעיות כגון בקרת גישה לקויה ושגיאות בלוגיקה העסקית. הממצאים מופיעים כ־Issues בתוך SonarQube, ומשתלבים בתהליכי הסיווג, ההקצאה והטיפול הקיימים.
שלושת המוצרים מוצעים ברכישה נוספת ללקוחות Enterprise ו־Data Center. השדרוג ל־2026.5 לבדו אינו מקנה את המנויים הנוספים או מפעיל את הסוכנים.
לפרטים נוספים פנו אלינו (הפרטים בהמשך).
שליטה בתשתית ובחיבור למודלי AI
רכיבי הסוכנים נפרסים בקונטיינרים לצד השרת, באמצעות Kubernetes או Docker Compose. ההתקנה כוללת רכיבי תזמור, סביבת הרצה מבודדת ואחסון משותף, ולכן דורשת תכנון תשתיתי מעבר לעדכון SonarQube עצמו.
ממשק LLM Providers מרכז את הגדרת הספקים והמודלים שבהם משתמשים הסוכנים, עם אפשרויות כגון Azure AI Foundry, AWS Bedrock וחיבור דרך Gateway או Proxy ארגוני. לכל יכולת יש לבדוק תאימות למודלים שהיא תומכת בהם.
התקנה עצמית אינה מבטיחה שכל העיבוד נשאר בארגון: כאשר הסוכן משתמש במודל ענן, קוד ופרטי ממצאים נשלחים לספק שנבחר. לכן יש לבחון את זרימת הנתונים, אזור העיבוד והרשאות הרשת בהתאם למדיניות הארגונית.
חיזוק ניתוח השפות: C/C++ , DataWeave, R ו־ Rust
ניתוח אבטחה וזרימת מידע ב־ C וב־ ++C
ניתוח Taint לשפות C ול־C++ זמין כעת (במהדורות המסחריות של המוצר).
הניתוח עוקב אחר נתונים לא מהימנים כדי לזהות שימוש מסוכן בהם.
במקביל, מנגנון ה־Symbolic Execution משתפר בניתוח בין קובצי מקור, ומביא בחשבון התנהגות של פונקציות המוגדרות בקובץ אחר.
עבור מערכות גדולות, שבהן הקוד מחולק לרכיבים רבים, ההרחבה יכולה לסייע בזיהוי בעיות שקשה להבין מתוך קובץ בודד.
שפות חדשות והרחבת הכיסוי
- Rust: נוספו כללי אבטחה וכללים נוספים, לצד האפשרות לייבא ממצאי Clippy ולרכז את המעקב בתוך SonarQube.
- DataWeave ו־MuleSoft: תמיכה בקוד DataWeave ובמיקומים נתמכים שבהם הוא מוטמע בקובצי Mule XML, החל ממהדורת Enterprise. זהו חידוש שימושי לצוותי אינטגרציה וזרימות מידע בין מערכות.
- R: ניתוח סקריפטים וקוד בתוך R Markdown, כללי איכות, מדדים וייבוא ממצאים ודוחות כיסוי בדיקות.
- שפות ותשתיות נוספות: נוספו חוקים ל־Java, ל־JavaScript/TypeScript ול־Python, וכן תמיכה בניתוח Containerfiles לצד Dockerfiles.
אבטחת תלויות וסודות
Reachability ותעדוף סיכוני שרשרת אספקה
ב־Advanced Security נוסף ניתוח Reachability, שנועד לזהות אם קוד האפליקציה קורא לקוד הפגיע בתוך ספריית צד שלישי. לפי הערות הגרסה, התמיכה כוללת Java, C# ו־Python. כך ניתן לתת קדימות לתלויות שבהן זוהה מסלול שימוש רלוונטי; היעדר מסלול מזוהה אינו הוכחה שהחולשה אינה מסוכנת.
בנוסף, במצב Local parsing, שהוא ברירת המחדל, קובצי Manifest ו־Lockfiles מעובדים בתוך סביבת SonarQube. השרת פונה לשירות Sonar לקבלת מידע על רישיונות וחולשות בתלויות, כך שעדיין נדרשת קישוריות לשירות החיצוני.
Security Alerts מאפשרות להתריע לקבוצות מוגדרות על סיכוני תלויות ברמת Blocker, כולל חבילות זדוניות וחולשות מוכרות שמנוצלות בפועל. יכולות אלו דורשות מנוי Advanced Security נוסף, הזמין החל מ־Enterprise.
הסתרת סודות בתצוגת הקוד
נוספה אפשרות להסתיר ערכים של סודות שזוהו, בתצוגת קוד המקור ובתשובות API שמחזירות אותו. הממצא עצמו נשאר גלוי לצורך טיפול. האפשרות כבויה כברירת מחדל ודורשת הפעלה בידי מנהל מערכת; השינוי חל ללא סריקה חוזרת או הפעלה מחדש.
ניהול ארגוני (Enterprise), ארכיטקטורה ו- Compliance
דשבורדים וכיסוי הסריקות בארגון
דשבורדים מותאמים, הזמינים החל מ־Enterprise, מאפשרים לרכז מדדי איכות ואבטחה, מגמות ודירוגים בפרויקטים ובפורטפוליו. מנהלי פיתוח יכולים להתאים את התצוגה לצורכי המעקב של הארגון ולרדת מהמדד לממצאים שמרכיבים אותו.
מסך Project coverage מציג למנהלי המערכת אילו מאגרים מחוברים, מיובאים ונסרקים. כאן מדובר בכיסוי מאגרי הקוד באמצעות SonarQube, ולא בכיסוי בדיקות יחידה.
ארכיטקטורה חוצת פרויקטים ודוחות חדשים
Enterprise architecture, ב־Open Beta ללקוחות Enterprise ו־Data Center, מרחיבה את ניתוח הארכיטקטורה לקשרים בין פרויקטים. ניתן למפות קשרים, להגדיר דפוסים ארגוניים ולהציג חריגות כממצאים בתהליך העבודה הרגיל.
בתחום הציות נוספו דוחות MISRA ו־WCAG במהדורות Enterprise ומעלה, הורחב המיפוי להנחיות MISRA C:2012 ושופר דוח CRA כך שיכלול גם סיכוני תלויות וייצוא PDF. הדוחות מסייעים בבקרה ובתיעוד; הם אינם מהווים כשלעצמם אישור לעמידה מלאה בתקן או ברגולציה.
פרופילי איכות ושליטה בממצאים
SonarQube מציעה כעת שלושה פרופילי Sonar way מובנים: Core, Extended ו־Comprehensive. הם מאפשרים לבחור את היקף כללי האמינות והתחזוקתיות, כאשר שלושתם מפעילים את כל כללי האבטחה.
Core הוא ברירת המחדל בהתקנות חדשות. בשדרוג, הפרויקטים ופרופילי ברירת המחדל הקיימים נשמרים. זה מאפשר לצוות להתחיל עם הממצאים המשמעותיים ביותר ולהרחיב את המדיניות בהמשך באופן יזום.
בנוסף, תאריך ממצא חדש מתבסס כעת על השינוי האחרון בשורת הקוד, כאשר נתוני SCM זמינים. לכן ממצא שהתגלה בעקבות כלל חדש בקוד שלא השתנה עשוי להיחשב לקוד ישן, ולהשפיע אחרת על ה־Quality Gate.
הגרסה כוללת גם מסלול להעברת Security Hotspots קיימים לסוגי הממצאים החדשים, במסגרת הוצאת המנגנון הישן משימוש. מנהל מערכת יכול לבצע את ההעברה לפרויקט בודד או לכל המערכת, תוך שמירת ההיסטוריה, ההערות והשיוך למטפלים. מומלץ לבחון את ההשפעה בפיילוט לפני מעבר רוחבי.
המשכיות מהגרסאות הקודמות
מהדורה 2026.5 מרכזת גם יכולות שנוספו מאז 2026.1 LTA: חיבור MCP, שיפורים למשתמשי GitLab,
ייצוא VEX וניהול ארכיטקטורה ברמת הפרויקט. ניהול הארכיטקטורה לפרויקט הגיע כבר ב־2026.4;
החידוש כאן הוא ההרחבה הארגונית בין פרויקטים. ההבחנה חשובה למי שכבר שדרגו לגרסאות הביניים ורוצים להבין מה מתווסף כעת.
למי כדאי לבחון שדרוג?
- ארגונים שמאמצים סוכני פיתוח ורוצים לשלב בדיקה ותיקון בתהליך יצירת הקוד.
- צוותי ++C/C שמעוניינים להעמיק את ניתוח האבטחה והבדיקה בין קבצים.
- צוותי אינטגרציה ונתונים המשתמשים ב־MuleSoft, ב־DataWeave או ב־R.
- ארגונים מרובי פרויקטים הזקוקים לתמונה רוחבית של סריקות, ארכיטקטורה וסיכוני תלויות.
לסיכום:
מהדורת SonarQube 2026.5 מרחיבה את תפקיד הפלטפורמה בבדיקת קוד שנכתב בידי מפתחים וסוכני AI, לצד שיפור הניתוח והבקרה הארגונית. את ההטמעה כדאי להתאים לשפות, לתשתיות ולתהליכי העבודה שלכם.
ALM Toolbox היא השותפה הרשמית (והיחידה) של Sonar בישראל, ומספקת רישיונות, ייעוץ ושירותי הטמעה ל־SonarQube.
אנחנו מסייעים בבחירת מהדורה ותוספים, בתכנון שדרוג ובשילוב בדיקות איכות ואבטחה בתהליכי DevOps ו־DevSecOps.
לפרטים ולהתייעצות: sonar@almtoolbox.com או 072-240-5222
סקירה קצרה (5 דקות) על החידושים במהדורה זו:
שאלות ותשובות (FAQ) נפוצות:
מה משמעות ה- LTA והאם כדאי לשדרג אליה?
מהדורת LTA מהדורה לטווח ארוך, שהיצרן מתחייב שיוציא לה תיקוני אבטחה למשך תקופה מוגדרת.
עד כה היתה מהדורת LTA אחת לשנה, כעת היצרן מוציא 2 מהדורות כאלה בשנה.
האם השדרוג מחייב הפעלת AI?
לא. הפעלת הסוכנים דורשת רישוי, פריסה והגדרה נפרדים. אפשר לשדרג ולהשתמש בחידושי הניתוח והניהול בהתאם למהדורה שברשותכם.
האם כל החידושים כלולים ברישיון הקיים?
לא. הזמינות משתנה לפי המהדורה. מוצרי הסוכנים ו־Advanced Security נמכרים בנפרד, ולכן כדאי למפות את הצרכים לפני בחירת הרישוי.
האם כל היכולות מתאימות לסביבה מנותקת לחלוטין?
רובן כן!
יש לבדוק כל רכיב בנפרד.
חיבור למודל ענן דורש תקשורת אליו,
וניתוח SCA נשען על שירות המידע של Sonar ומצריך חיבור אינטרנטי.
איך להיערך לשדרוג?
מומלץ להתחיל בסביבת Staging עם פרויקטים מייצגים ולבדוק זמני סריקה, ממצאים חדשים והשפעה על Quality Gates.
אם אתם מגיעים מגרסה ישנה מ־2026.1 LTA, יש לעבור דרכה לפני המעבר ל־2026.5. בשימוש ב־PostgreSQL נדרשת גרסה 15 ומעלה, ותמיכת Node.js 20 הוסרה ממנתח JavaScript/TypeScript. התקנת ZIP עדיין נתמכת אך הוגדרה כמיועדת להוצאה משימוש בעתיד. יש לעיין גם בשינויי Helm ודרישות הפלטפורמה לפני העדכון.
למי שמתכננים להפעיל סוכנים, כדאי לכלול בפיילוט הרשאות מאגרים, חיבורי LLM, משאבי קונטיינרים ומדיניות סקירת התיקונים.
