#GitHub Advanced Security

CodeQL 2.25.5 で GitHub Actions の検知精度改善｜composite action・go run・Python module 実行で何を見直すべきか

CodeQL 2.25.5 で GitHub Actions 向けの検知精度が上がりました。composite action の unpinned tag、go run と Python module 実行、GHES 反映差分を実務向けに整理します。

Verdict: まず見るべきなのは、composite action の action.yml と、go run / python -m を含む workflow です。今回の更新は、そこを見落としていたチームほど効きます。

誰向け

チーム導入

価格感

Enterprise寄り

導入難易度

低

最終確認

2026年5月29日

根拠

公式ブログ + docs 再確認 + 編集部比較

今回の更新で、workflow だけ見ていた GitHub Actions security review は足りなくなりました。composite action と実行パターンの棚卸しを、今のうちにやり直す価値があります。

GitHub Advanced Security に hard budget limits 追加｜GHAS の license 使いすぎをどこで止められるようになったか

GitHub Advanced Security で hard budget limits が使えるようになりました。soft budget との違い、新規 repo で何が止まるのか、enterprise admin と billing manager が今見直すべき点を整理します。

Verdict: まずやるべきなのは、Billing & Licensing の Budgets and alerts で GHAS の soft budget を hard budget に変えるべき scope があるかを確認することです。特に自動 enablement を使っている enterprise では、通知だけの予算だと止血になりません。

誰向け

チーム導入

価格感

Enterprise寄り

導入難易度

低

最終確認

2026年5月29日

根拠

公式ブログ + docs 再確認 + 編集部比較

GHAS の予算管理が通知中心から強制停止込みに変わりました。自動 enablement や IdP group provisioning を回している組織ほど、今すぐ budget 設計を見直す意味があります。

GitHub secret scanning delegated workflow 更新｜approval request の並び替えと is_bypassed API で何が変わるか

GitHub の secret scanning delegated workflow 改善を整理。approval request の並び替えと is_bypassed API 追加で、push protection bypass の監査や運用がどう変わるかを短くまとめます。

Verdict: いま delegated workflow を使っているなら、まず approval request の並び順を見直し、alerts API に is_bypassed を足して bypass 監査の後処理を減らすのが最短です。

誰向け

チーム導入 / 開発者向け

価格感

Enterprise寄り

導入難易度

高

最終確認

2026年5月27日

根拠

公式ブログ + docs 再確認 + 編集部比較

GitHub secret scanning の delegated workflow 改善で、approval request の捌き方と bypass 監査の自動化が少し楽になりました。

GitHub Advanced Security trial開始導線が変更｜risk assessment から何を確認して始めるべきか

GitHub Advanced Security の trial を Secret Protection / Code Security の risk assessment から始められるようになりました。self-serve trial 対象か、対象外でも何ができるか、試用直後に見るべき項目を整理します。

Verdict: まず確認すべきなのは、あなたの enterprise が self-serve trial の対象かどうかです。対象なら risk assessment からそのまま trial を始め、対象外でも Secret Protection / Code Security を有効化して評価を進められます。最初に決めるべきなのは、漏えい対策を先に見るのか、コードと依存関係の検出を先に見るのかの2択です。

誰向け

チーム導入

価格感

Enterprise寄り

導入難易度

低

最終確認

2026年5月22日

根拠

公開画面確認 + 編集部比較

GitHub Advanced Security の trial 開始導線が risk assessment に寄ったので、評価を始める前に見るべき分岐を短く整理しました。

GitHub Dependabot OIDC support update｜Cloudsmith / Google Artifact Registry を org-wide private registry に足す前に確認すべきこと

GitHub が Dependabot の org-level private registry OIDC 対応を Cloudsmith と Google Artifact Registry まで拡大。長寿命 secret を減らせる一方、code scanning default setup の docs 注記や registry 定義の作り直しも先に確認が必要です。

Verdict: Cloudsmith か Google Artifact Registry を使っているなら、まず org-level private registry を OIDC 前提で作り直す価値があります。ただし docs では OIDC が Dependabot 向けと明記されているため、code scanning default setup も同じ前提で動くと決め打ちせず、切り替え範囲を分けて確認するのが安全です。

誰向け

チーム導入

価格感

Enterprise寄り

導入難易度

高

最終確認

2026年5月22日

根拠

公式ブログ + docs 再確認 + 編集部比較

Cloudsmith や Google Artifact Registry を使う組織は、Dependabot の private registry 認証を長寿命 token から短命 credential に寄せやすくなりました。いま見るべきなのは、registry 定義の作り直し、権限設計、そして code scanning 側の docs 注記です。

Dependabot Python 3.9 deprecation｜2026-06-23までに何を確認しないと依存更新PRが止まるのか

GitHub は 2026-06-23 に Dependabot の Python 3.9 サポートを終了します。影響を受ける repository の見つけ方と、CI・Docker・lockfile で先に見る場所を短く整理します。

Verdict: 先に Python 3.9 が残る repository を洗い出し、Dependabot と CI と Docker の前提をそろえるのが先です。更新PRが止まってから追う形は避けたほうが安全です。

誰向け

チーム導入

価格感

Enterprise寄り

導入難易度

高

最終確認

2026年5月22日

根拠

公式ブログ + docs 再確認 + 編集部比較

今回は新機能の追加ではなく、期限付きの停止予告です。先にやるべきことは Python 3.9 の残存箇所を洗い出し、Dependabot と CI が同じ前提で動くようにそろえることです。

GitHub Actions security roadmap 2026 で何が変わる？CI/CD セキュリティ選定ガイド

GitHub Actions の 2026 security roadmap をもとに、workflow-level dependency locking、scoped secrets、workflow execution protections、native egress firewall を整理。GitHub 標準機能で足りる範囲と、GHAS・Snyk・Semgrep・外部 runner 制御を足すべき範囲を、CI/CD セキュリティ意思決定の軸で解説します。

Verdict: GitHub 中心の開発組織なら、まず GitHub Actions の roadmap が示す dependency locking・scoped secrets・execution protections・egress control を前提に運用を組み直すのが先です。そのうえで、コード検出は GHAS / Snyk / Semgrep、より強いネットワーク隔離や独自基盤要件は self-hosted runner / 外部 CI 制御を足す、という二段構えが最もズレにくいです。

誰向け

チーム導入 / 開発者向け

価格感

Enterprise寄り

導入難易度

高

最終確認

2026年3月30日

根拠

公式公開情報 + 編集部比較

Codex Security vs Snyk vs Semgrep vs GitHub Advanced Security【2026年版】AI時代のAppSecはどれを選ぶべきか

Codex Security、Snyk、Semgrep、GitHub Advanced Security を、検出方式、false positive の減らし方、修正導線、GitHub 連携、既存 AppSec 体制との相性で比較。AI コーディング導入後のセキュリティレビューをどう設計するか整理します。

Verdict: GitHub 中心で既存開発フローに自然に乗せたいなら GitHub Advanced Security、ルール透明性とカスタム検出を重視するなら Semgrep、開発者寄りのSASTと幅広いDevSecOps基盤なら Snyk が強いです。Codex Security は『repo 固有の脅威文脈を作り、検証して、修正候補まで出す』新しい追加レイヤーとして見るとハマります。

誰向け

チーム導入 / 開発者向け

価格感

Enterprise寄り

導入難易度

高

最終確認

2026年3月25日

根拠

公式公開情報 + 編集部比較