#codeql

CodeQL 2.27.2 improves C++, Go, Rust, and JavaScript analysis

CodeQL phiên bản 2.27.2 vừa được ra mắt với nhiều cải tiến đáng kể cho ngôn ngữ C++, Go, Rust và JavaScript. Phiên bản này tăng cường khả năng phân tích mã nguồn, phát hiện các lỗ hổng bảo mật phức tạp hơn như các vấn đề bộ nhớ (memory safety issues) trong Rust và các lỗi injection trong JavaScript. Cụ thể, phiên bản mới cải thiện 17% độ chính xác khi phân tích Go và 23% khi xử lý C++ so với bản trước. Đối với lập trình viên, đây là bản nâng cấp quan trọng để tự động hóa việc kiểm tra bảo mật trong quy trình CI/CD, đặc biệt khi làm việc với các ngôn ngữ hệ thống như Go và Rust.

CodeQL 2.27.2 cải thiện phân tích mã cho nhiều ngôn ngữ lập trình phổ biến giúp lập trình viên phát hiện lỗi hiệu quả hơn.

CodeQL 2.27.1 adds C and C++ query and Kotlin 2.4.20 support

Phiên bản CodeQL 2.27.1 bổ trợ hỗ trợ Kotlin 2.4.20 và các truy vấn cho C/C++ với các mô hình taint flow cho Boost.Asio, BDE Blob buffer và Protocol Buffers. Phiên bản này cũng sửa lỗi trích xuất Foo::class.java dưới K2 compiler, giảm false positives trong các truy PendingIntent cho Android. Go nhận được các mô hình data flow cho Go 1.27 APIs, trong khi JavaScript/TypeScript hiện nhận diện server Fastify cấu hình qua chainable methods. Rust được cập nhật path resolution cho trait self-paths và rust-analyzer 0.0.347, trong khi C# có truy vấn mới cho vòng lặp foreach có thể thay thế bằng LINQ FirstOrDefault.

Lập trình viên nên đọc bài viết này để cập nhật những tính năng mới và cải tiến trong CodeQL 2.27.1, đặc biệt là hỗ trợ ngôn ngữ Kotlin 2.4.20 và các mô hình luồng dữ liệu mới cho nhiều ngôn ngữ lập trình khác nhau.

Top CodeQL alternatives in 2026

Năm 2026, nhiều công ty tìm kiếm CodeQL alternatives do chi phí và hiệu quả hạn chế. Aikido Security, Semgrep, Snyk Code, SonarQube, Checkmarx và Veracode là các lựa chọn thay thế đáng chú ý. Các công cụ này được đánh giá dựa trên mức độ false positives (noise), số lỗi phát hiện, và chi phí. SonarQube và Checkmarx thường có độ phủ mã tốt nhưng đi kèm chi phí cao trong khi Semgrep và Snyk Code cung cấp giải pháp mã nguồn mở với chi phí thấp hơn.

Lập trình viên nên đọc bài này để nắm vững các lựa chọn phân tích mã CodeQL tốt nhất năm 2026 giúp nâng cao chất lượng phần mềm và tiết kiệm chi phí.

Deprecation notice: All-platform CodeQL bundle

Starting with CodeQL CLI 2.27.0, the all-platform CodeQL bundle (codeql-bundle.tar.gz and codeql-bundle.tar.zst) is deprecated. In mid-March 2027, GitHub will remove this bundle entirely. Users should download platform-specific bundles for their operating system and architecture instead. Notably, Linux ARM64 binaries are only available through platform-specific downloads and were never included in the all-platform bundle.

Coding Agents Keep Shipping Silent Failures — Here Is How to Catch Them

Trong bối cảnh các coding agents ngày càng phổ biến, các silent failures trở thành vấn đề lớn khi code tự động tạo ra kết quả sai không báo lỗi. Nguyên nhân kỹ thuật nằm ở việc các agent như GPT-4 hay Claude 3 không hiểu đầy đủ ngữ cảnh và intent, dẫn đến kết quả không đúng yêu cầu. Hệ quả là 67% các silent failures không được phát hiện trong giai đoạn kiểm thử thông thường, gây ra lỗi nghiêm trọng sau khi deploy. Điều đáng học là phương pháp "intent verification" dùng automated checks so sánh output với intent gốc mà không cần đọc từng dòng code, giúp giảm tỷ lệ silent failure xuống dưới 15%.

Lập trình viên nên đọc bài này để hiểu cách kiểm tra ứng dụng của mình không bị sai lệch ý định khi sử dụng các coding agents mà không cần phân tích mã nguồn sinh ra, giúp tiết kiệm thời gian và tránh những lỗi ngầm gây ra sự không tin tưởng trong hệ thống.

Code scanning AI Scan no longer requires CodeQL default setup

GitHub vừa cập nhật tính năng AI Scan cho pull requests, cho phép phát hiện lỗ hổng bảo mật mà không cần bật CodeQL default setup như trước. Trước đây, AI Scan chỉ hoạt động trên các repository đã cấu hình CodeQL default setup, nhưng giờ đây đã được mở rộng sang tất cả repository đủ điều kiện nếu đã bật code scanning và AI Scan ở cấp repository, organization hoặc enterprise. Thay đổi này đang ở chế độ public preview trên github.com cho các repository thuộc sở hữu organization và cá nhân của khách hàng GitHub Advanced Security, nhưng chưa hỗ trợ trên GitHub Enterprise Server.

GitHub AI Scan giờ đây có thể phát hiện lỗ hổng bảo mật mà không cần cài đặt CodeQL mặc định, giúp tăng cường bảo vệ cho nhiều kho mã nguồn hơn.

CodeQL 2.27.0 adds support for Linux ARM64

CodeQL 2.27.0 brings native support for Linux ARM64, letting the CLI and bundle run on arm64 via new per-platform release assets. The release adds a Rust command-line-injection query, expands C# ASP.NET Core MVC and OData taint tracking, adds Micronaut framework modeling for Java/Kotlin, PostgreSQL libpq SQL injection sinks for C/C++, and refines GitHub Actions author-association checks. It also flags upcoming deprecations: Java 9/10 support ends in January 2027, and the generic multi-platform codeql.zip distribution is being phased out in favor of per-platform archives.

CodeQL 2.26.4 improves GitHub actions security detections

GitHub vừa phát hành CodeQL 2.26.4 - công cụ phân tích tĩnh cho GitHub code scanning, hỗ trợ Go 1.27 mới nhất và cải thiện độ chính xác phát hiện cho Rust, C#, Java/Kotlin, JavaScript/TypeScript và Python. Phiên bản này bổ sung các mô hình sink mới cho SQL injection trong Spring R2DBC và mở rộng khả năng theo dõi taint qua các phương thức Java và Python. Đáng chú ý là cải thiện bảo mật cho GitHub Actions với validation actor field và phát hiện mutable references đến reusable workflows trong actions/unpinned-tag query. Các tổ chức đang sử dụng code scanning trên github.com sẽ nhận được bản cập nhật tự động, trong khi GHES sẽ hỗ trợ trong bản phát hành sau.

Cập nhật CodeQL 2.26.4 giúp phát hiện lỗ hổng bảo mật GitHub Actions chính xác hơn nhờ cải thiện định vị cảnh báo và mô hình sink mới.

Separate GitHub Actions path for GitHub Code Quality

GitHub Code Quality hiện chạy phân tích CodeQL trên đường dẫn workflow riêng dynamic/github-code-quality/codeql với actor github-code-quality, tách biệt khỏi code scanning. Các kho đã kích hoạt hoạt động bình thường nhưng cần cập nhật script, dashboard, báo cáo billing và filter workflow để nhận diện cả đường dẫn và actor mới.

Lập trình viên nên đọc bài này để cập nhật các script, dashboard và bộ lọc workflow đang sử dụng GitHub Code Quality, vì GitHub đã thay đổi đường dẫn và actor cho workflow này.