Bài viết này do AI tạo ra, có thể mắc sai sót.
GitHub ngày 2/10 bổ sung dữ liệu và bộ lọc cho đối tượng SecurityAdvisory trong GraphQL API. Thay đổi nhắm tới các đội xây dashboard lỗ hổng, đồng bộ GitHub Advisory Database hoặc tự động hóa triage mà không muốn phải ghép thêm REST API.
cveId, sourceCodeLocation, githubReviewedAt, nvdPublishedAt và repositoryAdvisoryUrl.severities và isWithdrawn cho truy vấn securityAdvisories.cveId giúp nối advisory với mã CVE chuẩn. nvdPublishedAt cho biết thời điểm NVD công bố bản ghi, còn githubReviewedAt phản ánh lúc GitHub review advisory. Hai timestamp này hữu ích khi đo độ trễ của pipeline tiếp nhận và phân loại rủi ro.
sourceCodeLocation trỏ đến vị trí mã liên quan, nếu có. repositoryAdvisoryUrl liên kết đến repository security advisory. Đội AppSec có thêm ngữ cảnh để đi từ cảnh báo tới mã nguồn hoặc quy trình disclosure, thay vì chỉ xử lý một mô tả tách rời.
Filter severities cho phép lấy advisory theo mức độ nghiêm trọng. Filter isWithdrawn giúp tách advisory đã bị rút khỏi luồng xử lý. Chúng dùng cùng các filter sẵn có như classification, identifier, EPSS và mốc published/updated.
Đây là cải tiến thực dụng cho job chạy định kỳ: giảm dữ liệu kéo về, giảm xử lý phía client và giảm khả năng dashboard vô tình tính advisory withdrawn vào backlog đang mở.
Pipeline nên coi dữ liệu advisory là tín hiệu đầu vào, không phải quyết định vá tự động. Severity, EPSS, trạng thái withdrawn, mức độ phơi lộ của repository và sự hiện diện của package trong SBOM cần được đánh giá cùng nhau. Với CVE mới, vẫn nên đối chiếu advisory của upstream/vendor và NVD trước khi phát hành thay đổi production.
Vì API dùng chung ngân sách rate limit và đường xác thực GraphQL, đội vận hành nên điều chỉnh query theo nguyên tắc lấy đúng field cần thiết, phân trang rõ ràng, cache kết quả và theo dõi lỗi/rate limit.
Thay đổi không tạo cơ chế phát hiện lỗ hổng mới, nhưng giảm ma sát tích hợp. Giá trị lớn nhất là đưa mốc thời gian NVD, trạng thái rút advisory và liên kết repository vào cùng truy vấn để đội bảo mật dựng quy trình ưu tiên nhất quán hơn.
Đội đã có GitHub Advanced Security hoặc hệ thống triage riêng có thể dùng các trường mới để tạo SLA theo thời gian từ NVD công bố đến GitHub review, rà danh sách advisory bị rút và điều tra nhanh hơn qua vị trí mã nguồn. Cần thử schema ở môi trường staging trước khi đưa query mới vào job quan trọng.
Thông tin đối chiếu từ GitHub Changelog ngày 2/10/2026 và tài liệu GraphQL API của GitHub.
