#code-scanning

CodeQL 2.27.4 improves accuracy and query metadata

CodeQL 2.27.4 ships query accuracy fixes across Java/Kotlin, Rust, and C/C++, plus pack bundling checks and corrected CWE metadata. The java/log-injection query now recognizes more sanitizers from the JDK, Apache Commons, Guava, OWASP Java Encoder, and Spring. Rust's uncontrolled-allocation-size, log-injection, and cleartext-logging queries get fewer false positives. The CLI now checks that files stay inside the pack root after resolving symlinks when you bundle or publish a pack, and CWE-730 was removed from several redos and regex-injection queries across C#, Java, JavaScript, Python, Ruby, and Swift. The update rolls out automatically to github.com code scanning and lands in GHES 3.24.

Security risk assessments include repository protection status

GitHub's code security and secret risk assessments now display whether flagged findings sit in protected or unprotected repositories. This helps organization admins and security managers see where to extend security coverage. Admins start an assessment from the Assessments page under the organization's Security tab. The feature is available now in GitHub Enterprise Cloud and GitHub Team, and the secret risk assessment version is coming to GitHub Enterprise Server 3.24.

AI Scan for pull requests generally available

GitHub's AI Scan for pull requests has reached general availability, complementing CodeQL by detecting vulnerabilities in languages and frameworks CodeQL doesn't cover, such as PHP, Shell/Bash, Terraform (HCL), Dockerfiles, JSP, and Blazor. Findings appear in the Conversation and Files changed tabs with an explanation and suggested autofix, but they are advisory only and cannot block merges. It's available for public repos and private/internal repos with GitHub Code Security or Advanced Security, doesn't require a Copilot license, and consumes Code Security AI Credits billed under the Advanced Security product.

Agentic autofix for code scanning alerts general availability

GitHub has made agentic autofix for code scanning alerts generally available. Assigning a code scanning alert to Copilot triggers it to explore relevant files across the codebase, propose a fix, rerun CodeQL to validate the fix closes the alert, and then open a draft pull request with a summary and validation details for review. It can be invoked from individual alerts, batched for up to 25 alerts in security campaigns, or via the Code Scanning REST API by setting the assignee to copilot-swe-agent[bot]. It supports only alerts on the default branch and requires enterprise admins to enable the new Agentic autofix policy plus a Copilot billing method. Usage consumes AI Credits from the Code Security budget and GitHub Actions minutes, tracked under Advanced Security in enterprise billing.

Code scanning AI Scan metrics in security overview

Organization and enterprise administrators can now view AI Scan metrics for pull requests directly in GitHub's security overview. New metrics cover findings generated, resolved, remediation rate, affected repositories, trends over time, and autofix adoption. The former 'CodeQL pull requests' page is renamed 'Code scanning on pull requests' and split into separate CodeQL and AI Scan tabs. This public preview is available on github.com, including GitHub Enterprise Cloud, for customers with GitHub Code Security or GitHub Advanced Security; GitHub Enterprise Server is not supported.

Code scanning AI Scan enablement status in security overview

GitHub vừa bổ sung status kích hoạt AI Scan cho pull requests trong giao diện security overview, giúp quản trị viên theo dõi coverage mã nguồn. Tính năng này hiển thị số lượng repository đã và chưa kích hoạt AI Scan, với chi tiết hiệu quả kích hoạt ở mỗi dòng repository. Quản trị viên có thể dùng các query qualifier mới để lọc dữ liệu, trong khi file CSV export đã thêm cột AI Scan để theo dõi adoption. Giải pháp này cung cấp visibility toàn diện về trạng thái AI Scan, giúp teams tối ưu hóa security workflow trên nền tảng GitHub.

Tìm hiểu cách theo dõi trạng thái kích hoạt AI Scan cho pull requests giúp quản trị viên bảo mật hệ thống và thúc đẩy áp dụng công nghệ quét mã thông minh.

Scheduled code scanning skips inactive repositories

GitHub đã thay đổi chính sách quét code định kỳ, giờ đây chỉ khởi động khi có push hoặc pull request thực sự thay đổi code, thay vì dựa trên bất kỳ hoạt động quét nào trước đó. Trước đây, việc bật default setup hay cấu hình bảo mật có thể khiến các repository không hoạt động bị coi là active trong đến 6 tháng, gây ra các lần quét bất ngờ. Hiện tại, chỉ hoạt động push và pull request mới được tính để xác định lịch quét định kỳ, trong khi scan validation ban đầu vẫn chạy ngay. Thay đổi này đã áp dụng cho GitHub Enterprise Cloud và sẽ có mặt trong GitHub Enterprise Server 3.24 mà không yêu cầu cấu hình thêm.

Lập trình viên nên đọc bài này để hiểu cách GitHub thay đổi hành vi quét mã định kỳ, tránh các cuộc quét không mong muốn trên kho lưu trữ không hoạt động.

GitHub Advanced Security trials for GitHub Team

GitHub Team plan customers can now start self-serve trials of GitHub Advanced Security to evaluate GitHub Code Security and GitHub Secret Protection features. Trials can be started from the organization's Overview page, the Billing and licensing > Licensing page, or the Risk Assessment completion page.

CodeQL 2.27.1 adds C and C++ query and Kotlin 2.4.20 support

Phiên bản CodeQL 2.27.1 bổ trợ hỗ trợ Kotlin 2.4.20 và các truy vấn cho C/C++ với các mô hình taint flow cho Boost.Asio, BDE Blob buffer và Protocol Buffers. Phiên bản này cũng sửa lỗi trích xuất Foo::class.java dưới K2 compiler, giảm false positives trong các truy PendingIntent cho Android. Go nhận được các mô hình data flow cho Go 1.27 APIs, trong khi JavaScript/TypeScript hiện nhận diện server Fastify cấu hình qua chainable methods. Rust được cập nhật path resolution cho trait self-paths và rust-analyzer 0.0.347, trong khi C# có truy vấn mới cho vòng lặp foreach có thể thay thế bằng LINQ FirstOrDefault.

Lập trình viên nên đọc bài viết này để cập nhật những tính năng mới và cải tiến trong CodeQL 2.27.1, đặc biệt là hỗ trợ ngôn ngữ Kotlin 2.4.20 và các mô hình luồng dữ liệu mới cho nhiều ngôn ngữ lập trình khác nhau.