GitHub Advisory Database рекордно обрабатывает уязвимости: причины и ответы
GitHub объявил о рекордном росте количества уязвимостей в своей базе Advisory и описал меры по масштабированию и вовлечению сообщества.
GitHub Blog опубликовал материал о том, что база GitHub Advisory Database (AD) в июне 2026 года обработала рекордное количество уязвимостей – более 1,2 млн заявок, что на 35 % больше, чем в предыдущем году. Такой скачок объясняется ростом количества открытых пакетов, расширением цепочек поставок программного обеспечения и активным использованием генеративного кода, который часто включает сторонние библиотеки.
Для справления с нагрузкой GitHub внедрил несколько ключевых изменений. Во-первых, автоматизированный процесс триажа, построенный на машинном обучении, теперь классифицирует и приоритизирует уязвимости в реальном времени, сокращая время до их публикации с нескольких дней до нескольких часов. Во-вторых, расширена инфраструктура хранения и индексации данных, что позволило увеличить пропускную способность API на 50 %. Третье – открыты новые публичные эндпоинты, совместимые с форматом OSV, чтобы облегчить интеграцию с внешними инструментами сканирования.
GitHub также призвал сообщество к активному участию: разработчики могут подавать новые отчёты через веб‑интерфейс, а исследователи – получать вознаграждения через программу GitHub Security Bug Bounty. Партнёрства с проектами Dependabot и CodeQL усилят автоматическое обнаружение уязвимостей в репозиториях.
Подробнее о масштабных изменениях и рекомендациях по использованию новой API можно прочитать в оригинальном блоге GitHub Blog.
Для разработчиков это сигнал усиленного контроля над зависимостями: стоит подключить Dependabot и настроить автоматический импорт advisories через новый API. Студенты и исследователи могут воспользоваться открытыми эндпоинтами OSV для практики анализа уязвимостей. Однако рост объёма также повышает риск «шумовых» уведомлений, поэтому важно настроить фильтры по уровню критичности.
