Автоматизация патчинга снижает риск эксплуатации известных CVE. Для ОС: AWS Patch Manager с patch baselines и maintenance windows, unattended-upgrades для Debian/Ubuntu security patches. Для контейнеров: Renovate Bot или Dependabot автоматически создаёт PR при обновлении base images и зависимостей, CI проверяет, автомерж для minor/patch обновлений при green tests. Для k8s нод: node rotation (новые ноды с новым AMI, дрейн старых). Vulnerability scanner в CI блокирует деплой с Critical CVE. Мониторить CISA KEV (Known Exploited Vulnerabilities).

Как автоматизировать security patching?