GitHub「CodeQL 2.27.2」公開｜C++・Rust・JavaScriptのセキュリティ解析を強化

GitHubは2026年10月9日、コードの静的解析エンジン「CodeQL 2.27.2」を公開しました。GitHub code scanningの基盤として使われるツールで、今回の更新ではC++、Go、Rust、JavaScriptなど複数の言語の解析が改善されています。

C++ではstd::regexのECMAScript形式の正規表現を解析できるようになり、Comdb2のC APIに対するSQLインジェクションのモデルも追加されました。Rustではawaitを使う非同期ブロックのデータフロー解析が改善され、JavaScriptではWorkflow SDKのディレクティブを認識するようになりました。

【今回の更新の位置づけ】CodeQL 2.27.2は、GitHubのコードスキャンを支える静的解析エンジンの更新です。アプリの画面に新しい機能が増えるわけではありませんが、コード内のデータの流れや特定のAPIの使われ方を解析する能力が変わるため、開発チームのセキュリティ検査に影響する可能性があります。

【CodeQLの解析方法】CodeQLはプログラムの構造や値の流れを問い合わせ可能なデータとして扱い、問題につながるコードの組み合わせを探します。単純な文字列検索と異なり、入力値がどの関数を通り、危険な処理へ届くかといった関係を調べられる点が特徴です。ただし、実行時のあらゆる状況を再現できるわけではありません。

【C++の正規表現解析】今回、std::regexのECMAScript形式の正規表現に関する解析が改善されました。文字列処理の挙動を理解できる範囲が広がれば、入力値の検査を含むコードのデータフローをより適切に扱える可能性があります。ただし、正規表現を使うコードがすべて危険という意味ではありません。

【Comdb2のSQLインジェクション】C++向けにはComdb2のC APIに関するモデルも追加されました。SQLインジェクションの検出では、外部入力が適切に処理されないまま問い合わせに組み込まれる経路を把握することが重要です。特定APIの扱いをモデル化することで、汎用的な解析だけでは捉えにくいコードの流れを追える場合があります。

【Rustの非同期処理】Rustではawaitを含む非同期ブロックのデータフロー解析が改善されています。非同期コードは処理が複数の地点に分かれるため、値の伝わり方を追うのが難しい場合があります。今回の改善は、Rustの非同期構文を含むプログラムを解析する際の精度に関わる更新です。

【JavaScriptのWorkflow SDK】JavaScriptではWorkflow SDKのディレクティブを認識するようになりました。フレームワーク固有の構文や実行モデルを解析エンジンが理解できるかは、正しいデータフローを追ううえで重要です。新しい構文を通常の関数呼び出しと同じように扱うだけでは、解析上の情報が欠ける場合があります。

【Goを含む複数言語への影響】リリースではGoも改善対象に含まれています。ただし、今回確認できる記事の元情報だけでは、Goに関する個別の変更内容を詳しく特定できません。導入担当者はリリースノートを参照し、使用言語に関係する変更点を個別に確認する必要があります。

【GoのWebSocketライブラリ対応】Goでは従来のnhooyr.io/websocketに加え、github.com/coder/websocketというインポートパスもモデル化されました。同じ系統のライブラリでも参照先が変わると解析エンジンが呼び出し関係を追えない場合があります。依存関係の移行を進めるチームにとっては、ライブラリ名の変更後もセキュリティ解析が継続できるかという実務上の論点です。

【RustのTLS関連モデル】Rust向けにはnative-tls、async-native-tls、tokio-native-tlsのフロー要約も追加されています。外部ライブラリを介して値がどう受け渡されるかをモデル化することで、ライブラリ内部を逐一解析しなくてもプログラム全体のデータフローを追いやすくなります。ただし、TLSを利用するコードの安全性が自動的に保証されるわけではありません。

【JavaScriptのHapiルート解析】Hapiでは独自のルート登録ヘルパーや高階関数を経由するリクエスト入力の追跡が改善されました。Webアプリでは利用者の入力が複数のラッパー関数を通って処理へ届くため、フレームワーク固有の登録方法を理解することが検出精度に影響します。既存アプリで新たな警告が出た場合は入力元から危険な処理までの経路を確認したいところです。

【C#とGitHub Actionsのクエリ変更】今回の更新は主要4言語だけではありません。C#ではASP.NET CoreのレスポンスヘッダーやCSPのframe-ancestorsをクリックジャッキング対策として認識するようになり、Razorの一部の出力もXSSの危険な出力先として扱わないよう修正されました。GitHub Actionsの未固定タグ検出では、信頼する所有者の集合から特定の所有者を除外する指定が追加されています。

【Goのカスタムクエリには互換性の注意】Goの制御フローグラフが共通CFGライブラリへ移行し、ノードや辺、基本ブロックの境界が変わりました。独自のCodeQLクエリを開発している場合、以前のAPIやグラフ構造を前提としたクエリが動かなくなる可能性があります。公式リリースノートに示された削除・非推奨APIを点検し、クエリのコンパイルと検出結果の回帰テストを行う必要があります。

【macOS制約の正確な条件】GitHubは、macOS 27ではXcodeのバージョンにかかわらず、またmacOS 26でXcode 27を選んだ場合にも、コンパイル言語向けのautobuildとmanualビルドモードをサポートしないと説明しています。トレース解析に必要な複数アーキテクチャ対応バイナリが提供されなくなったためです。該当するCIではmacOS 26とXcode 26以前の組み合わせを検討し、build mode noneの対応状況も確認してください。

【クエリ数と検出範囲】GitHubによると標準のDefaultスイートには170種類のCWEを対象とする498件のセキュリティクエリがあり、Extendedスイートにはさらに131件が追加されています。これは検出対象の広さを示す情報であって、すべてのCWEを完全に検出できるという意味ではありません。スイートの選択は実行時間と検出範囲のバランスで判断します。

【検出数が増えた場合】解析エンジンを更新すると、以前は検出されなかった警告が現れる場合があります。これは新たに脆弱性が作られたことを意味するとは限らず、既存コードの問題を解析が認識できるようになった可能性もあります。警告の内容と対象コードを確認して優先順位を判断することが重要です。

【誤検知と見逃し】静的解析では、実際には問題がないコードが警告されることも、問題が存在するのに検出できないこともあります。警告の件数だけを品質指標にすると判断を誤る可能性があります。実行経路、入力の制約、利用状況を踏まえて検証し、必要に応じてテストやレビューを追加するべきです。

【CI環境の互換性】今回のリリースでは、macOS 27とXcode 27を組み合わせた環境で、コンパイル言語向けの一部ビルドモードに制約があると案内されています。開発者の手元では動作していても、CIの実行環境が異なる場合があります。更新前にOS、コンパイラ、解析の実行方式を確認することが重要です。

【更新時の検証手順】まず現在のCodeQLバージョンとスキャン対象を記録し、検証用ブランチで新バージョンを実行します。続いて警告の差分、解析時間、失敗したジョブを確認します。重大な警告はコードの担当者と原因を調べ、問題がなければ本番のCIへ反映する方法が考えられます。

【開発チームへの意味】CodeQLの改善は、セキュリティ担当者だけでなく、日常的にプルリクエストを作成する開発者にも関係します。新しい警告が表示されたときに原因を理解できる説明や、修正後に再検査できる仕組みがあれば、解析結果を開発の流れへ組み込みやすくなります。

【今後の注目点】言語やフレームワークが進化するほど、静的解析にも継続的な更新が必要です。今回のリリースは、その追従が検出範囲や解析の信頼性に影響することを示しています。バージョン更新を単なる保守作業と捉えず、検出品質とCIの安定性を一緒に確認することが重要です。

CodeQLの標準的なセキュリティクエリ群は多数の弱点分類に対応していますが、解析範囲が広がることはすべての脆弱性が検出できることを意味しません。コードレビューや動的テストと組み合わせる必要があります。

macOS 27とXcode 27の組み合わせでは、コンパイル言語向けの一部ビルドモードが利用できないという互換性上の注意点も案内されています。更新前にCI環境を確認したいところです。