TechUm alerta de dependência vulnerável nem sempre significa que a aplicação chama o trecho afetado. A nova análise de alcançabilidade do Dependabot tenta responder justamente a isso: mostrar se existe um caminho no código até a função vulnerável. O recurso entrou em prévia pública em 28 de outubro, mas ainda tem disponibilidade restrita e não substitui a revisão da equipe.
Segundo o anúncio do GitHub, o CodeQL monta um grafo de chamadas entre o repositório e suas dependências e procura uma ligação até as funções identificadas como vulneráveis. A ideia é dar mais contexto para decidir por onde começar quando há muitos alertas abertos.
O que os vereditos dizem
Cada alerta analisado recebe um resultado:
- Reachable: foi encontrado um caminho de chamada até a função vulnerável.
- Potentially reachable: a análise não conseguiu descartar esse caminho; o GitHub recomenda priorizar o alerta como se fosse alcançável.
- Unreachable: a análise terminou e não encontrou uma chamada a essa função.
- Reachability unavailable: não foi possível chegar a uma conclusão; a equipe deve fazer a triagem normalmente.
Os caminhos encontrados aparecem como evidência para ajudar a localizar o uso da dependência. Ainda assim, alcançável não quer dizer explorável: o resultado mostra uma ligação possível no código, não prova que um atacante consiga acioná-la. E “unreachable” tampouco é motivo para fechar o alerta ou deixar de atualizar o pacote. O próprio guia do GitHub sobre a análise diz que o veredito não fecha nem descarta alertas automaticamente e pode mudar conforme o código e os avisos evoluem.
Quem pode testar agora
A prévia está disponível no GitHub Enterprise Cloud, inclusive em repositórios públicos, privados e internos, e não exige licença do GitHub Code Security. Durante a prévia, também não há cobrança pelo recurso nem pelo tempo de GitHub Actions usado na análise. O suporte atual cobre JavaScript e TypeScript em projetos com lockfile de npm, Yarn ou pnpm; os testes rodam em runners hospedados pelo GitHub, sem suporte a runners próprios.
O guia de configuração explica como ativar a análise nas configurações de Dependabot, individualmente ou por configuração de segurança da organização. Ela começa com uma varredura dos alertas abertos e volta a rodar diariamente. Repositórios grandes e alguns monorepos podem levar mais tempo ou não receber um resultado durante o limite de três horas da prévia.
Para uma equipe que já usa GitHub Enterprise Cloud e mantém aplicações em JavaScript ou TypeScript, o recurso pode ajudar a organizar a fila de correções. A decisão final continua sendo técnica: combine o caminho indicado com severidade, contexto de produção, exposição do sistema e atualização disponível. Fora dos requisitos atuais, a novidade ainda não muda a triagem do time.
