SonarQube 2026.5 ל־ ++C/C: אבטחת קוד, CTU ו־ MISRA

SonarQube 2026.5 מרחיבה את יכולות אבטחת הקוד ל־C/C++ עם ניתוח זרימת מידע,
בדיקות שחוצות קובצי מקור והרחבת כיסוי MISRA.
אלו החידושים הרלוונטיים למפתחים, למנהלי פיתוח ולצוותי DevSecOps.

אבטחת C ו־C++: ניתוח Taint ושני כללים חדשים

ניתוח מתקדם של Taint Analysis זמין כעת.
הכללים משתלבים בפרופילי Sonar way ועוקבים אחר קלט לא אמין, עד לפעולות רגישות.
הניתוח מסייע לזהות הזרקת פקודות מערכת, מניפולציה בנתיבי קבצים, הזרקה ליומני רישום והרצת קוד דינמית בלתי בטוחה.

נוספו חוקים חדשים:
S2078 לזיהוי הזרקת LDAP
S6390 לזיהוי השהיית תהליכונים שעלולה לאפשר מניעת שירות.

(מידע נוסף ב- Release Notes כאן).

CTU: ניתוח שחוצה קובצי מקור

מנגנון Symbolic Execution מסוגל כעת להבין פונקציות המוגדרות ביחידות קומפילציה אחרות.
היכולת משפרת את איתור הבעיות ומסייעת להפחית התראות שגויות בפרויקטים גדולים.
CTU דורש הפעלה יזומה ומשאבי חישוב ואחסון נוספים.
מומלץ לתכנן ענפים (branches) ייעודיים לניתוח זה.
מידע נוסף כאן.

MISRA: כיסוי מורחב ודוח תאימות

הכיסוי האוטומטי של MISRA C:2012 הורחב ליותר מ־38.4%.
נוסף דוח תאימות MISRA ל־C/C++, המסייע לרכז ממצאים וראיות לביקורת.
עבור צוותי Embedded ומערכות קריטיות, זהו כלי נוסף לתהליך העמידה בתקן.

Quality Profiles וניהול ממצאים בארגון

נוספו פרופילי Sonar way core, extended ו־comprehensive; בשדרוג נשמרים הפרופילים וברירות המחדל הקיימים. ממצאים חדשים מתוארכים לפי השינוי האחרון בשורת הקוד, כשנתוני ניהול הגרסאות זמינים, וכך מופרד חוב ישן מקוד חדש לצורך Quality Gates.

נוספו מיון לפי עדיפות, אפשרות למעבר אוטומטי מ־Sandbox לטיפול לאחר זמן מוגדר, מדד שורות קוד חדשות ומעקב אחר כיסוי מאגרי הקוד. אפשר גם להפעיל הסתרת סודות ולהמיר Security Hotspots לממצאי אבטחה תוך שימור ההיסטוריה. ב־Enterprise ומעלה נוספו לוחות מחוונים מותאמים אישית.

שיפורים ב- AI CodeFix

נעשו שיפורים כדי לאפשר יותר גמישות בבחירת מודלים , כך שהכלי כעת יותר "Model Agnostic".
יכולת זו מאפשרת לשלב מודלי AI לצורך הצעה לתיקונים באגים – וזה מתאפשר גם ברשתות סגורות עם מודלים שלכם!

הכלי מציע כיום עשרות חוקים המותאמים ל- ++C (רשימה ניתן לקבל מאיתנו, ונוסיף אותה בהמשך לכאן).

תמיכה במבחר IDEs

SonarQube תומך במבחר רחב של IDEs , ובפרט כאלה הנוחים למפתחים ב- C/++C כולל מפתחי Embedded .
יכולת זו שימושית מאוד למפתחים, הואיל והם מקבלים חיווי מיידי על בעיות ובאגים ישירות לסביבת העבודה שלהם (בלי צורך מעיק לצאת החוצה) – וזה מקטין מאוד את הבאגים, מקצר את זמני התיקון ומשפר את חווית המשתמש שלה.
הכלי תומך ב- IDEs חדשים וכן בותיקים:
, VS Code, Visual Studio, Eclipse , Cursor, Windsurf , Jetbrains ועוד.

כלי AI לפיתוח ב־ C/C++: מה כלול?

Sonar Vortex בודק קוד שמייצרים סוכני פיתוח, ו־ Hunter Agent מחפש חולשות בלוגיקה, בהרשאות ובאימות.
Vortex תומך ב־C/C++, אך ללא Taint Analysis בשפות אלו בתוך הסוכן.
Remediation Agent, המציע תיקונים אוטומטיים, אינו תומך בהן במהדורה זו.

חלק מכלים אלו מוצעים בתשלום נפרד. לקבלת פרטים מלאים פנו אלינו.

חברת ALM Toolbox היא השותפה הרשמית (היחידה) של Sonar בישראל ובמדינות נוספות,
ומסייעת בבחירת מהדורה, רישוי, תמיכה, הטמעה, שדרוג, אינטגרציה עם כלים משלימים כגון git /GitLab / GitHub / Jenkins ושילוב בדיקות איכות ואבטחת קוד בתהליכי הפיתוח.
לפרטים נוספים פנו אלינו: sonar@almtoolbox.com | 072-240-5222

קישורים רלוונטים:

• מה חדש ב- SonarQube 2026.5 (אוקטובר 2026)
• הסבר על התמיכה של SonarQube ב- ++C
• עמוד SonarQube ישראל
• הקלטת וובינר (עברית) – סקירה על SonarQube
• הדגמות של SonarQube