GitHubは2026年10月20日、脆弱性通知をプログラムで取得するDependabot alerts REST APIに、依存関係の版情報を追加したと発表しました。外部のセキュリティツールへ通知を同期する際、版情報を別途取得する処理を減らせます。github.comなどでは提供を開始済みで、GitHub Enterprise Serverには3.24で搭載予定です。
通知の応答だけで依存関係の版も取得
追加されたのは、通知のdependencyオブジェクトにあるversion_requirementです。Dependabotが最後に記録した依存関係の版、または利用する版の条件を示す「版制約」が入ります。
従来の応答には、脆弱性の影響を受ける版の範囲はありました。しかし、リポジトリ内の依存関係について、どの版が記録されているかを示す情報はありませんでした。今回の追加で、影響範囲と依存版の情報を同じ応答から取得できるようになります。
GitHubによると、外部のセキュリティツールへ通知を同期する際、依存部品の版を記録したロックファイルの解析が不要になります。また、版を取得するためにGraphQLのvulnerableRequirementsへ別の要求を送る必要もなくなります。
新フィールドは個別通知の応答に加え、リポジトリ・組織・企業の通知一覧に含まれます。イベントを外部へ通知するWebhookのdependabot_alertペイロードにも追加されます。
値は取得元によって異なり、全ての版を表すとは限らない
ロックファイルから検出した依存関係では、実際に使うものとして解決済みの版が入ります。ロックファイルがない場合は、依存関係を宣言するマニフェストに書かれた版、または版制約が入ります。Dependency submission API経由の情報では、ビルドツールが送信した解決済みの版が入ります。
そのため、連携先では値を常に単一の確定した版として扱わない設計が必要です。値を取得できない場合は、値がないことを示すnullになります。
さらに、通知に複数の脆弱な版が含まれる場合、記録された値のうち1つだけが入り、全てを表すとは限りません。長い版制約は切り詰められる場合もあります。新フィールドだけで、対象となる版を漏れなく一覧化できるとは考えないようにします。
影響する会社・しない会社
- 影響する: Dependabot alerts REST APIで通知を取得し、外部のセキュリティツールへ同期している会社です。版情報の取得処理を見直す対象になります。
- 影響する: dependabot_alertのWebhookを受け取る会社です。受信データに新フィールドが含まれるため、保存や表示に使うかを検討できます。
- 影響する: github.com、またはデータレジデンシー対応のGitHub Enterprise Cloudで対象の連携を使う会社です。いずれも提供を開始済みです。
- 影響しない: 対象APIやWebhookを利用していない会社では、今回の追加に伴う連携処理の見直しは対象外です。
- 影響しない: GitHub Enterprise Serverで今すぐ使える変更ではありません。3.24への搭載予定であり、それ以前の版への提供は発表には書かれていません。
日本での提供は発表には書かれていません。日本語対応、日本向けの価格、国内リージョンについても記載はありません。
