Bài viết này do AI tạo ra, dựa trên thông báo GitHub ngày 28/10/2026. Tính năng đang ở public preview; phạm vi và điều kiện có thể thay đổi.

GitHub đưa reachability analysis cho Dependabot Alerts vào public preview với JavaScript và TypeScript. Thay vì chỉ nhìn CVE, mức độ nghiêm trọng hay gói bị ảnh hưởng, đội phát triển có thêm bằng chứng liệu mã của mình có đường gọi tới hàm dễ tổn thương hay không. Đây là tín hiệu để xếp ưu tiên vá, không phải cơ chế tự động đóng cảnh báo.

Tóm tắt nhanh

• Reachability analysis xuất hiện ngay trên Dependabot Alerts.
• CodeQL dựng call graph giữa repository, dependency và hàm có lỗ hổng.
• Bốn kết quả: Reachable, Potentially reachable, Unreachable, Reachability unavailable.
• Public preview miễn phí cho GitHub Enterprise Cloud, kể cả data residency.

Cơ chế hoạt động

GitHub chạy phân tích trong managed GitHub Actions workflow. Với mỗi advisory, dữ liệu curated xác định các hàm dễ tổn thương trong package bị ảnh hưởng. CodeQL sau đó tạo call graph xuyên mã nguồn và dependency để dò đường đi từ code của repository tới các hàm đó.

Không cần cài agent hay tự vận hành workflow. GitHub nói đợt quét đầu bắt đầu ngay sau khi bật và có thể kéo dài từ vài phút tới vài giờ; sau đó quét lại hằng ngày khi repository vẫn còn Dependabot alert mở.

Bốn verdict và cách xử lý

• Reachable: tìm thấy ít nhất một call path tới hàm dễ tổn thương. Ưu tiên điều tra và vá.
• Potentially reachable: không thể kết luận chắc chắn. GitHub khuyến nghị coi như reachable.
• Unreachable: hoàn tất phân tích nhưng không thấy call path. Có thể ưu tiên thấp hơn, không có nghĩa bỏ qua vĩnh viễn.
• Reachability unavailable: không phân tích được. Quay về quy trình triage thông thường.

Verdict hiển thị trong danh sách alert, hỗ trợ lọc/sắp xếp ở cấp repository và organization. Cùng tín hiệu này cũng đi qua Dependabot Alerts REST API, hữu ích cho dashboard nội bộ hoặc automation có người giám sát.

Phạm vi preview và giới hạn

Preview chỉ hỗ trợ JavaScript/TypeScript, repository có lockfile npm, Yarn hoặc pnpm, và chạy trên GitHub-hosted runners. Self-hosted runners chưa được hỗ trợ. GitHub nêu một số monorepo hoặc repository có manifest ở nhiều thư mục có thể chưa hoạt động; nếu phân tích quá ba giờ, một phần kết quả có thể thành “Reachability unavailable”.

Coverage hiện áp dụng cho mọi advisory JavaScript do GitHub review trong GitHub Advisory Database có Dependabot alert. Không cần GitHub Advanced Security và không bị tính GitHub Actions minutes cho phân tích này trong giai đoạn preview.

Đội DevSecOps cần làm gì

1. Bật Dependabot Alerts trước, rồi bật reachability analysis ở Settings > Advanced Security cho từng repo hoặc qua custom security configuration.
2. Đặt rule triage: reachable xử lý trước; potentially reachable cần owner xác minh; unreachable vẫn giữ theo dõi khi code/dependency đổi.
3. Không dùng verdict thay cho severity, EPSS, exposure Internet, production context hay threat intelligence.
4. Đo thời gian từ alert tới quyết định vá trước và sau rollout để biết tín hiệu có thực sự giảm backlog hay không.

Phân tích

Danh sách dependency CVE thường dài hơn năng lực vá của đội kỹ thuật. Reachability giúp biến câu hỏi “package có CVE không?” thành “ứng dụng có chạm phần code dễ tổn thương không?”. Giá trị lớn nhất là thứ tự xử lý tốt hơn, không phải tạo cảm giác an toàn tuyệt đối: call graph có thể thiếu thông tin, code phản xạ/dynamic behavior và môi trường runtime có thể làm kết quả bất định. Vì vậy, “unreachable” là bằng chứng để hạ ưu tiên có kiểm soát, không phải lý do tắt alert.

Nguồn tham khảo

GitHub Changelog, “Prioritize Dependabot alerts with reachability analysis”, 28/10/2026; GitHub Docs về reachability analysis cho Dependabot Alerts. Không đưa liên kết nguồn ngoài vào nội dung công khai.