GitHubは、Dependabotの新たなデフォルトセキュリティ制御として、バージョンアップデートのプルリクエストが作成されるまでに3日間のクールダウン期間を設ける仕組みを導入しました。
この変更はGitHubのCarlin Cherry氏が2026年7月23日に発表したもので、公開されたばかりの新バージョンに悪意のあるコードが仕込まれ、数分のうちにビルドパイプラインへ自動的に取り込まれてしまうという、増加傾向にあるサプライチェーン攻撃のパターンを直接の標的としています。
きっかけとなった事例として挙げられているのが、2025年9月のnpmサプライチェーン侵害です。この事件では、攻撃者がたった一人のメンテナーから認証情報をフィッシングで詐取し、chalk、debugをはじめとする約十数個のパッケージにトロイの木馬化したバージョンを公開しました。これらのパッケージは合計で週に20億回以上ダウンロードされているものでした。
この悪意のあるコードは、読み込まれたブラウザアプリケーション内の暗号資産ウォレットアドレスを書き換えるものでした。
汚染されたパッケージが公開されていたのは約2時間で、コミュニティによる検知と削除は業界水準からすれば迅速な対応でした。しかしそれでも、自動化された依存関係管理ツールが新リリースを取得し、人間やスキャナーによるレビューが入る前にプルリクエストへ反映してしまうには十分な時間でした。
今回のデフォルト3日間ルールは、あくまでバージョンアップデート、つまり依存関係を新リリースに追従させるDependabotの通常機能にのみ適用されます。
一方、公開済みの脆弱性アドバイザリに対応するセキュリティアップデートは、これまで通り即座にトリガーされます。既知の不具合修正を遅らせれば、利用者を公開済みの脆弱性にさらしたままにしてしまうためです。
メンテナーはdependabot.yml内の既存のcooldown設定オプションを通じてこの遅延期間を調整でき、各チームのリスク許容度に応じてより短く、あるいはより長く設定することが可能です。GitHubはこの方針の根拠として、インシデントデータと自社のAdvisory Databaseを挙げています。
Solana web3.js、Axios、ua-parser-jsの侵害されたビルドは、いずれも公開から数時間以内に検知されました。これは2018年から2026年にかけての21件のサプライチェーンインシデントを対象とした広範なレビュー結果とも一致しており、それによればこれらや類似パッケージ(Ledger Connect Kitを含む)の悪意あるバージョンは、ほぼすべてのケースで数時間以内に取り込まれていたことが判明しています。
GitHub AdvisoryDatabaseそのものには、2026年5月までの1年間でnpmマルウェアに関するアドバイザリが6,500件以上記録されており、前年の約6,200件から増加しています。これは1日平均で約18件の新たな悪意のあるnpmパッケージがカタログ化されている計算になります。
GitHubは、クールダウン期間を設けていれば、こうした短命な悪意ある公開パッケージの大半をインストール前にふるい落とせていたはずだと結論付けています。
GitHubは、このクールダウンが対処するのはあくまで特定の脅威クラス、すなわち悪意のあるコードが公開され、拡散し、すぐに発覚するといった速攻型の攻撃に限られると明言しています。休眠状態のバックドアやメンテナーによる破壊工作、あるいは長期的に仕込まれる侵害されたビルドシステムに対しては、防御効果を持ちません。
セキュリティチームには、このクールダウンをロックファイルの固定、CI環境でのインストールスクリプトの無効化、ビルドパイプライントークンのスコープ制限、マージ前の依存関係アップデートの手動レビューなど、複数の対策のうちの一つの層として位置づけることが推奨されています。
ANY.RUNでSOC調査の死角を減らし、脅威をより早期に封じ込めることで、対応コストと業務への支障を削減しましょう。
翻訳元: https://cyberpress.org/github-adds-three-day-dependabot-cooldown/
