GitHub ha pubblicato il 4 novembre CodeQL 2.27.4, nuova versione del motore e dei pacchetti usati per l’analisi statica. Gli aggiornamenti CodeQL includono correzioni, miglioramenti delle query e supporto evolutivo ai linguaggi; le note di versione restano il riferimento per sapere quali risultati possono cambiare in una pipeline specifica.
Una nuova query può trovare vulnerabilità prima invisibili ma anche generare risultati da triagiare. Le organizzazioni con pacchetti personalizzati devono verificare compatibilità e baseline. L’analisi statica osserva possibili flussi nel codice, non il comportamento completo in produzione, quindi va combinata con test, dipendenze e monitoraggio.
Team italiani che usano GitHub Advanced Security dovrebbero aggiornare runner e database secondo il ciclo supportato. Nei settori regolati è utile conservare versione dello scanner e motivazione delle eccezioni, così un audit può ricostruire perché un avviso è stato accettato o chiuso. Le segnalazioni critiche meritano revisione prioritaria.
Prima del rollout è consigliabile eseguire 2.27.4 su un campione e confrontare nuovi alert, tempi e consumo di risorse. GitHub può pubblicare ulteriori patch ravvicinate. Aggiornare lo scanner senza gestire i risultati crea un falso senso di sicurezza: servono proprietari, scadenze e controlli sui fix.