Bài viết này do AI tạo ra, có thể mắc sai sót.
GitHub phát hành CodeQL 2.26.4, bổ sung hỗ trợ Go 1.27 và nhiều thay đổi về độ chính xác của truy vấn. Đáng chú ý với đội DevSecOps: các truy vấn GitHub Actions giờ nhận biết tốt hơn tham chiếu mutable trong reusable workflow, còn một số kiểm tra actor/environment có thể làm số alert tăng lên.
Việc mở rộng actions/unpinned-tag sang reusable workflow nhắm vào rủi ro supply chain: workflow gọi một ref có thể thay đổi theo thời gian. Đội vận hành nên rà soát uses: trong workflow, đặc biệt workflow tái sử dụng từ repo ngoài, rồi ghim theo commit SHA khi mô hình tin cậy yêu cầu.
CodeQL thay đổi cách đánh giá actor field từ event payload và EnvironmentCheck. GitHub cảnh báo truy vấn dùng ControlCheck có thể cho nhiều kết quả hơn; đây có thể là alert lộ ra do mô hình chính xác hơn, không nhất thiết do code vừa phát sinh lỗ hổng. Cần triage lại từng alert, đối chiếu loại event và guard thật trong workflow.
Rust có vị trí cảnh báo data flow chính xác hơn, nên một số alert xuất hiện như mới còn alert cũ đóng. Java/Kotlin thêm SQL injection sink cho Spring R2DBC DatabaseClient và R2DBC SPI. Python theo dõi taint qua list.extend và list.insert; CodeQL cũng bổ sung Go 1.27.
Cập nhật này không phải CVE hay bản vá runtime, nhưng tác động trực tiếp chất lượng phát hiện trong chuỗi CI/CD. Phát hiện ref mutable ở reusable workflow đặc biệt hữu ích vì workflow thường được tái sử dụng rộng, một thay đổi upstream có thể lan sang nhiều repo.
Điểm cần tránh là đo hiệu quả bằng số alert thô. Sau cập nhật, baseline thay đổi vì mô hình taint và guard thay đổi; đội bảo mật cần coi đây là đợt hiệu chỉnh dữ liệu, gắn chủ sở hữu và triage trước khi đưa alert mới vào SLA.
Thông tin đối chiếu từ GitHub Changelog phát hành CodeQL 2.26.4 ngày 3/9/2026 và CodeQL CLI changelog.
