#codeql

CodeQL 2.26.3 improves GitHub Actions queries and JavaScript modeling

CodeQL 2.26.3 improves static analysis accuracy for GitHub Actions workflows and adds new JavaScript, TypeScript, and Vue source modeling. Notable additions include untrusted data recognition for merge_group events, Vue Composition API flow models (ref, reactive, computed, useRoute), file-based custom models for JS/TS, and Windows registry taint sources for C/C++. A breaking change removes the codeql.actions.security.SelfHostedQuery module because runner labels don't reliably identify self-hosted runners, requiring updates to custom queries that depend on it. Several GitHub Actions queries (cache-poisoning, envvar-injection, output-clobbering) were refined to reduce false positives and improve alert clarity.

Customize code scanning default setup at scale

GitHub now allows applying a custom CodeQL configuration file to code scanning default setup via the new github-codeql-config-file repository property. This lets organizations control how CodeQL scans for security vulnerabilities across one or many repositories without maintaining GitHub Actions workflow files in each repo. Settings from the config file are merged with built-in defaults, preserving threat models and model packs selected in the UI. Organization owners can enforce a central config or allow per-repo overrides. A new flexible syntax for referencing config files from other repositories is also introduced, along with support for private registries via Git Source instead of token management. The feature is generally available on github.com and will ship with GitHub Enterprise Server 3.23.

CodeQL 2.26.2 adds Swift 6.3.3 and Kotlin 2.4.10 support

Phiên bản CodeQL 2.26.2 bổ sung hỗ trợ Swift 6.3.3 và Kotlin 2.4.10, đồng thời tinh chỉnh độ chính xác truy vấn cho nhiều ngôn ngữ như C#, Go, Java, C/C++. Thay đổi quan trọng bao gồm loại bỏ định dạng [[- links trong thông báo cảnh báo, thay bằng cặp placeholder $@.

Lập trình viên phát triển ứng dụng đa ngôn ngữ nên đọc vì phiên bản mới của CodeQL 2.26.2 hỗ trợ cải thiện phát hiện lỗi an ninh cho Swift 6.3.3 và Kotlin 2.4.10, giúp phát hiện và khắc phục các vấn đề như đường dẫn xâm nhập (path injection) và CWE hiệu quả hơn.

CodeQL 2.26.1 improves analysis accuracy and framework coverage

Phiên bản CodeQL 2.26.1 cải thiện độ chính xác phân tích và mở rộng hỗ trợ cho nhiều ngôn ngữ: Go bổ sung mô hình cho package log/slog, Java/Kotlin thêm hỗ trợ Apache POI và giảm false positives trong truy vấn path-injection, JavaScript/TypeScript hỗ trợ decorator @HostListener của Angular, Rust giảm false positives trong truy vấn hard-coded cryptographic value, C/C++ sử dụng tên trường đủ điều kiện trong flow summaries. Bản cập nhật được triển khai tự động cho người dùng GitHub code scanning.

Lập trình viên cần đọc bài này để cập nhật về các cải tiến mới trong CodeQL 2.26.1, đặc biệt là những nâng cấp về phát hiện lỗ hổng an ninh (log-injection, path-injection, SSRF) và tăng hiệu quả phân tích cho các ngôn ngữ như Go, Java, JavaScript, Rust, C/C++, giúp phát hiện và khắc phục nguy cơ bảo mật trước khi chúng trở thành vấn đề thực tế.

GitHub Code Quality is now generally available

GitHub Code Quality giờ đây đã khả dụng rộng rãi trên GitHub Enterprise Cloud và GitHub Team, tích hợp phân tích tĩnh CodeQL cùng AI để phát hiện lỗi trong pull requests, hỗ trợ sửa lỗi tự động qua Copilot Autofix. Tính năng mới bao gồm bật theo tổ chức, số liệu coverage từ Cobertura, cổng chất lượng (quality gates) qua rulesets, cùng API quản lý. Giá là 10 USD/người commit/tháng cộng phí sử dụng AI và compute cho CodeQL; hơn 10.000 doanh nghiệp đã dùng thử trước đó.

Lập trình viên nên đọc bài này để hiểu cách GitHub Code Quality tự động cải thiện chất lượng mã nguồn với sự kết hợp giữa phân tích tĩnh chính xác và công cụ AI, giúp tiết kiệm thời gian phát hiện lỗi và bảo trì dự án hiệu quả hơn.

Code scanning shows AI security detections on pull requests

GitHub code scanning now surfaces AI-powered security detections directly on pull requests, extending vulnerability coverage to languages and frameworks not supported by CodeQL. Findings appear inline in PRs, labeled with 'AI' to distinguish them from CodeQL results, and are informational only — they won't block merges. The feature is in public preview for GitHub Advanced Security customers, requires CodeQL default setup to be enabled, and consumes AI credits via a GitHub Copilot license.

GitHub Code Quality license estimate in public preview

GitHub tung tính năng ước tính chi phí cấp phép Code Quality trong giai đoạn public preview, giúp quản trị viên doanh nghiệp theo dõi số lượng committers hoạt động trước khi chính thức ra mắt vào 20/7/2026. Tính năng hiển thị trên trang Billing and licensing, ước tính 10 USD/người/tháng, nhưng không bao gồm phí GitHub Actions hay AI như Copilot Autofix.

Lập trình viên nên đọc để hiểu cách GitHub dự báo chi phí bảo trì dự án lớn bằng cách tính toán chi phí cho các nhà phát triển tích hợp Code Quality sớm, giúp dự đoán chi phí tiềm năng trước khi chuyển sang chế độ trả tiền.

CodeQL 2.26.0 adds Kotlin 2.4.0 support and AI prompt injection detection

CodeQL 2.26.0 has been released with several notable additions: Kotlin 2.4.0 support, a new JavaScript/TypeScript query (js/system-prompt-injection) to detect AI system prompt injection attacks, expanded prompt injection sinks for OpenAI, Anthropic, and Google GenAI SDKs, C# Razor Page handler parameters as remote flow sources, Go slog package models, and various false-positive reductions across Python, Swift, and GitHub Actions queries. The update is automatically deployed to GitHub code scanning users on github.com.

Microsoft Brings AI-Powered Vulnerability Remediation to Azure DevOps with Copilot Autofix

Microsoft has launched a limited public preview of Copilot Autofix for GitHub Advanced Security for Azure DevOps, bringing AI-powered vulnerability remediation to teams using Azure Repos. The feature integrates CodeQL's static analysis with GitHub Copilot's code generation to automatically propose fixes for detected security vulnerabilities via pull requests. Developers retain full oversight through existing review and approval workflows. The release narrows the feature gap between GitHub and Azure DevOps, and reflects a broader industry trend of pairing SAST tools with generative AI to accelerate the 'last mile' of vulnerability remediation. Microsoft and competitors like GitLab, Snyk, Sonar, and Checkmarx are all moving in this direction, though research indicates AI-generated fixes still require careful human validation.