#dependabot

An Agent Skill for Updating Elixir Dependencies

Agent skills là các chức năng được lập trình sẵn để tự động hóa tác vụ, còn bài viết hướng dẫn cách sử dụng một agent skill cụ thể để cập nhật dependencies trong Elixir và tự động mở pull request.

Là người phát triển Elixir muốn tự động hóa quản lý phiên bản thư viện mà không mất thời gian theo dõi thủ công, đọc bài này để hiểu cách áp dụng các kỹ năng của một agent skill để tự động hóa cập nhật và mở yêu cầu merge được rõ ràng.

How we took malware advisories beyond npm

GitHub đã mở rộng hệ thống cảnh báo malware (malware advisories) vượt khỏi phạm vi npm bằng cách tích hợp dữ liệu từ OpenSSF's malicious-packages vào Advisory Database.

Những lập trình viên phát triển ứng dụng đa nền tảng nên đọc bài này để hiểu cách mở rộng bảo mật cho hệ sinh thái phần mềm bằng cách tích hợp dữ liệu về các gói độc hại từ OpenSSF vào cơ sở dữ liệu cảnh báo, giúp phát hiện và phòng ngừa nguy cơ từ các nguồn ngoài npm hiệu quả hơn.

Customize Dependabot pull request branch names

GitHub bổ sung tùy chọn cấu hình mới trong Dependabot cho phép tùy chỉnh tên nhánh pull request thông qua pull-request-branch-name trong file .github/dependabot.yml. Người dùng có thể đặt tiền tố, giới hạn độ dài, định dạng phân đoạn, ký tự phân tách hoặc template tùy chỉnh nhằm tương thích với CI/CD và dễ quản lý nhánh trong monorepo. Tính năng đã có sẵn trên github.com và sẽ ra mắt trong GitHub Enterprise Server 3.23.

Lập trình viên nên đọc bài này vì nó giúp bạn tự động hóa và kiểm soát tên nhánh PR của Dependabot theo quy định riêng, tránh rủi ro không tương thích với CI/CD hoặc gây nhầm lẫn trong dự án lớn.

Dependabot alerts on malicious packages across more ecosystems

GitHub bổ sung cảnh báo phần mềm độc hại từ OpenSSF vào Cơ sở Dữ liệu Cảnh báo, giúp Dependabot mở rộng phạm vi phát hiện malware từ npm sang các hệ sinh thái khác như PyPI. Các kho lưu trữ đã bật cảnh báo malware sẽ tự động nhận diện mối đe dọa mới mà không cần cấu hình lại, người dùng có thể xem danh sách qua bộ lọc type:malware.

Lập trình viên nên đọc bài này để biết cách bảo vệ dự án của mình khỏi các gói độc hại đang lan truyền trên các kho lưu trữ như PyPI, từ đó tránh rủi ro về an ninh và bảo mật trong quá trình phát triển.

The case for a cooldown: Why Dependabot now waits before issuing version updates

GitHub bổ sung cơ chế "cooldown" (thời gian chờ 3 ngày) mặc định cho Dependabot trước khi tạo pull request cập nhật phiên bản package, nhằm ngăn chặn các cuộc tấn công supply chain khi kẻ xấu phát hành package độc hại trong vài giờ đầu. Cơ chế này giúp cộng đồng phát hiện và xử lý kịp thời các gói nguy hiểm trước khi chúng xâm nhập vào dự án, nhưng vẫn cần kết hợp với các biện pháp bảo mật khác do không thể chống lại backdoor lâu dài hay hệ thống build bị xâm phạm.

Lập trình viên nên đọc bài này để hiểu cách Dependabot bảo vệ dự án khỏi các tấn công từ các gói npm độc hại, giúp bạn biết cách điều chỉnh thời gian chờ trước khi cập nhật phiên bản để tránh bị ảnh hưởng bởi các phiên bản độc hại được phát hành nhanh chóng.

Dependabot version updates introduce default package cooldown

Dependabot now enforces a default 3-day cooldown before opening version update pull requests for new package releases. This delay helps protect against supply chain attacks where compromised or broken versions could be merged before the community detects issues. Security updates are unaffected and still open immediately. The cooldown can be customized or disabled via the cooldown option in .github/dependabot.yml. The feature is live on github.com and will arrive in GitHub Enterprise Server 3.23.

Dependency management tools: Key features and 6 tools to know in 2026

Bài viết giới thiệu các công cụ quản lý dependency (phụ thuộc) với những tính năng quan trọng như kiểm soát phiên bản, cập nhật tự động, giải quyết xung đột, quét bảo mật và tích hợp CI/CD. Phân biệt hai nhóm chính: trình quản lý gói truyền thống (npm, Maven, Composer) và công cụ bảo mật/tự động hóa (Mend.io/Renovate, Snyk, Dependabot), đồng thời đưa ra hướng dẫn lựa chọn dựa trên quy mô dự án, giao tiếp rủi ro và tích hợp quy trình làm việc.

Lập trình viên nên đọc bài này để hiểu cách tối ưu hóa quản lý phụ thuộc dự án bằng công cụ hiện đại, tránh rủi ro về an ninh và bảo trì hiệu quả trong thời đại phát triển nhanh chóng.

Innersource security advisories are generally available

GitHub Advanced Security enterprise customers can now publish internal (innersource) security advisories, restricted in visibility to repositories within the enterprise. A new REST API endpoint supports creating, updating, and withdrawing vulnerability advisories. Once an advisory is created for a component, Dependabot automatically notifies affected internal repositories, sends security alerts, and can open pull requests to upgrade vulnerable dependency versions.

Dependabot Resolves Remaining Bundler 4 Compatibility Issues

Two Dependabot compatibility issues with Bundler 4 have been resolved via merged fixes in dependabot-core. The first affected Bundler 4.0.0–4.0.10, where Dependabot could strip the CHECKSUMS header from Gemfile.lock, causing CI failures. The second affected Bundler 4.0.11+, where Dependabot regenerated checksums using the latest Bundler version instead of the project's configured version, producing noisy diffs. Both issues are now fixed. Teams using Dependabot with Bundler 4 should update to the latest Dependabot to get cleaner pull requests and predictable lockfile updates.

Dependabot no longer infers .npmrc

Dependabot is dropping its behavior of inferring .npmrc configuration from lockfile resolved URLs for npm private registries. This inference was unreliable due to incorrect lockfile URLs and format differences across npm, Yarn v1, Yarn Berry, and pnpm. Instead, users can now define a scope property in dependabot.yml, which Dependabot uses to auto-generate the correct .npmrc and takes precedence over all other sources. Repositories with a committed .npmrc and no scope property configured are unaffected. The feature is available on github.com now and will ship in GHES 3.23.

Inside the Advisory Database and what happens when vulnerability volume breaks records

The GitHub Advisory Database published 1,560 reviewed advisories in May 2026, over five times its typical monthly output, yet still couldn't keep pace with incoming volume. Private vulnerability reports surged from ~550/week in January to 3,000+/week in May, repository advisories jumped from ~650 to 5,000+/week, and GitHub CNA CVE requests hit nearly 4,000 in May alone. The bottleneck isn't infrastructure failure but throughput: curators must manually validate package ecosystems, reconstruct version ranges, resolve conflicting upstream data, and handle multi-ecosystem advisories. Review times have extended to multiple weeks for a meaningful share of submissions. GitHub is responding with AI-assisted research tooling, improved automation, smarter risk-based prioritization, and tighter upstream data integration. Contributors can help by submitting complete vulnerability data (version ranges, CVSS vectors, CWE classifications), using registry-accurate package names, coordinating with maintainers, and only requesting CVEs when there is clear publication intent.

How Ruby Itself Uses Dependabot: A Look Behind MRI’s Dependency Management

MRI (Ruby's interpreter) sử dụng Dependabot để tự động cập nhật dependencies trên ba hệ sinh thái: GitHub Actions (hàng ngày), Rust/Cargo cho YJIT/ZJIT (hàng tháng), và vcpkg cho dependencies Windows (hàng ngày). Quá trình này loại trừ đường dẫn MMTk garbage collector khỏi cập nhật tự động, đồng thời cung cấp hướng dẫn về tần suất cập nhật, nhóm PRs và quản lý dependencies một cách có chủ đích.

Lập trình viên Ruby nên đọc bài này để hiểu cách Ruby MRI tự động hóa quản lý phụ thuộc một cách hiệu quả, từ đó học cách tối ưu hóa các chiến lược bảo trì và cập nhật phụ thuộc trong dự án của mình.

Automatic Dependabot access to GitHub-hosted registries

Dependabot can now authenticate to private GitHub Packages registries automatically using its built-in GITHUB_TOKEN with packages: read permission, eliminating the need for personal access tokens (PATs). Any package that has granted repository access via "Manage Actions access" in package settings will accept the token, just like a regular GitHub Actions workflow. To enable it, add the repository running Dependabot with Read access under the package's "Manage Actions access" settings — no changes to dependabot.yml required, and existing PAT-based registry entries can be removed.