Fortify规则库26.2更新核心要点整理

OpenTextSSR团队发布Fortify规则库26.2版本，新增对AI代理指令文件、Fortran/COBOL语言及MCP协议的安全检测能力，扩展PHP8.5.x支持，并优化误报率。以下是核心要点整理。

Part 1 整体更新概览

• 整体安全能力：支持 1763 个漏洞类别、45+ 编程语言、超百万独立 API
  
• SAST 专项：覆盖 1537 个独特漏洞类别，同步扩展 AI 相关、老旧语言、MCP 协议、CRA 合规等能力
  
• DAST 专项：强化提示注入、CVE 检测、CRA 合规报告，优化误报与检测精度
  

Part 2 OpenText SAST 重点新增能力

AI 驱动弱点检测新场景

1. AI 代理指令文件：支持 GitHub Copilot、Cursor、Windsurf 等 AI 编码工具的指令文件检测，新增 15 个弱点类别，核心新增项：
   

• 身份验证不良实践（AI 编码规则）
  
• 危险代码生成
  
• 不安全工具调用
  
• 日志记录不佳（AI 编码规则）
  
• 提示注入・越狱尝试
  
• 系统提示符泄露
  
• 不安全依赖建议
  

   2.Fortran 语言支持

面向高性能计算（航天、气象、物理、能源等），覆盖 28 个弱点类别，含 SQL 注入、命令注入、内存错误，新增：错误处理不佳：返回值未检查

   3.COBOL 语言支持

面向金融、银行、保险、政府等大型机业务，兼容现有 27 个弱点类别。

AI 模型上下文协议（MCP）扩展

欧盟网络韧性法案（CRA 2024）适配

将 CRA 附件 I “基本网络安全要求” 与 Fortify 安全漏洞分类映射，方便 CRA 合规审计。

语言与组件更新

PHP 8.5.x：扩展核心标准库支持，确保新版 PHP 漏洞检测能力

误报削减与检测优化

覆盖 .NET、Kotlin、Docker、MongoDB、Terraform、Maven、AI 相关注入 等场景，典型改进

• 消除 ASP.NET 会话不可序列化对象、Azure 弱认证、Maven 外部仓库等误报
  
• 减少 Kotlin 空检测、序列化、日志声明、标识符风格等噪声
  
• 新增 Docker 组织访问令牌、配置文件默认密码 “secret” 关键字检测
  
• 削减数据中毒、意图操作、不安全随机、各类注入（POP3/SMTP/NoSQL/ 模板 / XSLT / 提示注入）等误报
  

Part 3 OpenText DAST（WebInspect）SecureBase 更新

1. 访问控制缺失：新增 CVE-2026-27944 检测，针对 Nginx UI 未授权 /api/backup 端点泄露备份与解密密钥漏洞（影响 <2.3.3 版本）
   
2. 提示注入能力全面升级
   新增 LLM 模型 / 提供商信息披露 子类型，支持侦察类泄露检测
   细化子类：指令边界突破、仅模型护栏防护、敏感凭证泄露、系统提示符提取、未净化输出客户端
   支持Base64/ROT13/Unicode/Leetspeak 攻击载荷规避，可自定义 CheckInputs 攻击模式
   
3. CRA 2024 合规支持
   新增 CRA 合规报告模板，关联 CRA 基本安全要求与 DAST 检测项。
   新增 CRA 专项安全策略
   
4. 检测与策略优化
   弱 SSL 证书拆分：自签名证书 (11380)、未验证证书 (11635) 分离，便于分级修复
   关键 / 高风险策略：新增 21 项高影响检查，强化认证、注入、访问控制漏洞覆盖
   归档文件扩展检测：配置静态资产签名规则，跳过 .gz 预压缩资源，降低误报
   持续优化误报，提升审计可读性
   

上海卫戍信息技术有限公司

软件测试工具集成、软件性能安全测试、软件全生命周期管理

OpenText（原Micro Focus）全国铂金级代理商

极狐GitLab中国铂金合作伙伴

ALM | UFT one | LoadRunner | Fortify | 极狐GitLab | Greenplum

CNAS/CMA软件测评实验室能力建设咨询服务

企业级性能测试解决方案

源代码安全扫描服务

一体化DevSecOps平台软件全生命周期管理

联系方式：400-018-6667

网址：www.wesure365.net