GitHub פרסמה את CodeQL 2.27.3, גרסה שמרחיבה את ניתוח הקוד ל־Python 3.15, מוסיפה פורמט JSON ל־data extensions ומציגה מודל איומים אופציונלי לנתונים שמקורם במודלי שפה. לצד השיפורים, יש גם שינוי תשתיתי בגרף זרימת הבקרה של GitHub Actions שעלול לדרוש התאמה של שאילתות מותאמות.
מה חדש ב־Python 3.15
המנתח מכיר כעת תחביר חדש ב־Python 3.15, ובהם שימוש ב־unary plus בתוך literal patterns של match ומזהים לפי Unicode 17. נוספו גם מודלים לזרימת נתונים עבור frozendict ו־sentinel, כך שניתוח האבטחה מבין טוב יותר כיצד ערכים עוברים דרך ה־built-ins החדשים.
Data extensions ב־JSON
עד כה, הרחבות נתונים מותאמות נכתבו בעיקר ב־YAML. גרסה 2.27.3 מאפשרת לכתוב אותן גם ב־JSON, באותו מבנה לוגי, ואף תומכת בהערות בסגנון Java. קבצים עם סיומת .json יפורשו כ־JSON; קבצים אחרים ימשיכו להתפרש כ־YAML. זה שימושי לצוותים שמייצרים מודלים באופן אוטומטי או מעדיפים ולידציה וכלי עריכה של JSON.
מודל איומים לנתונים שנוצרו ב־AI
נוסף threat model אופציונלי בשם ai, שנועד לסמן נתונים שמקורם בפלט של מודל שפה. GitHub אינה מספקת בשלב זה מקורות מובנים למודל הזה; ארגונים יכולים להגדיר מקורות מותאמים באמצעות data extensions. המשמעות היא שהיכולת קיימת, אך האחריות למיפוי נקודות הכניסה של ה־LLM נשארת בידי הארגון.
שיפורים בשפות ובשאילתות
- C ו־C++: תמיכה ב־
_BitInt(N)של C23 וסיכומי זרימה ל־BlazingMQ. - C#: תמיכה ב־positional patterns והגדרות proxy ואישורי TLS לרישומי NuGet פרטיים.
- Ruby: תתי־accessors של בקשות ב־Grape::API מזוהים כמקורות זרימה מרוחקים.
- Java ו־Kotlin: שאילתות SSRF והפניה לא מאומתת מזהות רשימות hostname מאושרות גם בהשוואה שאינה רגישה לאותיות.
- Python: בדיקות XXE, XML bomb ו־NoSQL injection מכבדות את מודל האיומים שנבחר.
השינוי שעלול לשבור שאילתות מותאמות
ספריית GitHub Actions עברה לגרף זרימת בקרה משותף. שאילתות מותאמות שמשתמשות ישירות ב־CFG עשויות להידרש לעדכון. מחלקת Completion הישנה הוסרה, ובמקומה יש להשתמש בתוויות קשת כגון DirectSuccessor, BooleanSuccessor ו־ReturnSuccessor.
מה כדאי לעשות עכשיו
- להריץ את חבילת השאילתות המותאמות בסביבת בדיקה מול CodeQL 2.27.3.
- לאתר שימושים ב־Completion ובממשקי CFG ישנים ולעדכן אותם.
- אם הארגון מנתח יישומים עם LLM, למפות מקורות נתונים ולהחליט אם להפעיל את מודל האיומים ai.
- לשקול מעבר ל־JSON כאשר הרחבות הנתונים נוצרות בתהליך אוטומטי.
הגרסה כבר נפרסה אוטומטית ל־code scanning ב־GitHub.com, ותיכלל ב־GitHub Enterprise Server 3.24. התקנות GHES ישנות יותר יכולות לשדרג את CodeQL ידנית בהתאם להנחיות GitHub.
מקור: GitHub Changelog, 3 בנובמבר 2026.
תמונה: Syirwan Ainu / Pexels. שימוש לפי Pexels Free License, המתיר עריכה ושימוש באתר, בסושיאל ובחומר שיווקי. התמונה להמחשה בלבד ואינה מרמזת על חסות מצד GitHub.
