Inside the Advisory Database and what happens when vulnerability volume breaks records

The GitHub Advisory Database published 1,560 reviewed advisories in May 2026, over five times its typical monthly output, yet still couldn't keep pace with incoming volume. Private vulnerability reports surged from ~550/week in January to 3,000+/week in May, repository advisories jumped from ~650 to 5,000+/week, and GitHub CNA CVE requests hit nearly 4,000 in May alone. The bottleneck isn't infrastructure failure but throughput: curators must manually validate package ecosystems, reconstruct version ranges, resolve conflicting upstream data, and handle multi-ecosystem advisories. Review times have extended to multiple weeks for a meaningful share of submissions. GitHub is responding with AI-assisted research tooling, improved automation, smarter risk-based prioritization, and tighter upstream data integration. Contributors can help by submitting complete vulnerability data (version ranges, CVSS vectors, CWE classifications), using registry-accurate package names, coordinating with maintainers, and only requesting CVEs when there is clear publication intent.

Nguồn: https://github.blog/security/supply-chain-security/inside-the-advisory-database-and-what-happens-when-vulnerability-volume-breaks-records. 8sync News chỉ tóm tắt và dẫn link; bản quyền nội dung thuộc tác giả và nguồn gốc.

Đề xuất cho bạn

daniel.haxx.se17 phút12 giờ trướcAI

Do excellent vulnerability reports

Bài viết hướng dẫn cách viết báo cáo lỗ hổng bảo mật (vulnerability reports) chất lượng cao cho các dự án nguồn mở, do người duy trì dự án curl chia sẻ. Các khuyến nghị chính gồm: viết đoạn giới thiệu rõ ràng, cung cấp mã tái hiện lỗi (reproducer) độc lập, gửi kèm bản vá (patch) nếu có thể, chỉ rõ phiên bản bị ảnh hưởng, tuân thủ kênh gửi báo cáo ưu tiên của dự án và sẵn sàng hợp tác trong suốt quá trình. Ngoài ra, bài viết cũng đề cập cách thức viết advisory bảo mật và nhấn mạnh tôn trọng thời gian hạn chế của các maintainer tình nguyện.

Lập trình viên nên đọc bài này để cải thiện chất lượng báo cáo lỗ hổng cho các dự án mở nguồn, tránh gây khó khăn cho các maintainer và tăng cơ hội được giải quyết nhanh chóng.

#security