Bài viết này do AI tạo ra, biên soạn từ thông báo GitHub ngày 04/11/2026.
GitHub phát hành CodeQL 2.27.4 với thay đổi đáng chú ý cho đội DevSecOps: giảm cảnh báo nhiễu ở Rust và C/C++, nhận diện sanitizer tốt hơn ở Java/Kotlin, chỉnh metadata CWE và siết kiểm tra khi đóng gói hoặc publish CodeQL pack. Đây không phải bản vá CVE, nhưng có thể làm thay đổi kết quả triage và pipeline quét bảo mật.
rust/uncontrolled-allocation-size, rust/log-injection, rust/cleartext-logging.std::byte* và biến gắn [[maybe_unused]].Ở Java/Kotlin, query java/log-injection hiểu thêm các sanitizer và sanitizer guard. Các query path injection nhận diện thêm substring guard cùng thao tác thay, xóa chuỗi từ Apache Commons Lang và Guava. Điều này giúp phân loại chính xác hơn code đã có biện pháp làm sạch đầu vào, nhưng đội bảo mật vẫn phải review quy ước sanitize nội bộ thay vì mặc định coi mọi alert biến mất là an toàn.
Ở Rust, việc giảm false positive cho uncontrolled allocation size, log injection và cleartext logging có thể hạ lượng finding phải xem thủ công. Với C/C++, CodeQL không còn coi phép tính con trỏ chủ đích trên buffer std::byte* là dấu hiệu đáng ngờ; cũng không cảnh báo unused variable khi lập trình viên đã ghi rõ [[maybe_unused]].
GitHub gỡ tag CWE-730 khỏi một nhóm query ReDoS và regex injection ở C#, Java/Kotlin, JavaScript/TypeScript, Python, Ruby và Swift. Thay đổi metadata không đồng nghĩa các query biến mất hay lỗ hổng không còn quan trọng; nó tác động dashboard, báo cáo compliance, rule routing và các automation đang dựa vào CWE-730 để phân loại alert.
Khi bundle hoặc publish pack, CodeQL CLI 2.27.4 resolve symbolic link rồi kiểm tra file còn nằm trong pack root hay không. File trỏ ra ngoài sẽ bị bỏ qua và CLI in warning. Đây là guardrail hữu ích cho pipeline build và phát hành pack vì giảm nguy cơ vô tình đưa file ngoài phạm vi dự án vào artifact. CLI cũng ghi Java VM warning và initialization error ra stderr để không làm hỏng JSON hay output machine-readable.
Chất lượng signal quyết định code scanning có được dùng hay bị bỏ qua. Các thay đổi giảm false positive giúp người phụ trách bảo mật tập trung vào finding đáng điều tra hơn, nhưng mọi thay đổi query đều có thể làm lệch xu hướng số liệu và SLA nếu rollout không có baseline. Kiểm tra symlink khi publish pack là chi tiết nhỏ nhưng đúng điểm yếu supply chain: artifact phải chỉ chứa nội dung được kiểm soát. Giá trị thực của bản phát hành nằm ở việc đội ngũ đo lại kết quả quét, cập nhật policy và giữ bằng chứng giải thích được vì sao một finding xuất hiện hoặc biến mất.
Thông báo chính thức của GitHub CodeQL 2.27.4, ngày 04/11/2026.
