CodeQL 2.27.2公開、macOS 27ではコンパイル言語の解析が非対応

何が発表されたか

GitHub は 2026 年 10 月 9 日、コードスキャンで使われる CodeQL 2.27.2 をチェンジログで公開した。Default スイートは 170 の CWE をカバーする 498 件のセキュリティクエリ、Extended スイートはさらに 32 の CWE をカバーする 131 クエリを追加する構成とされている。

言語ごとの主な変更は次のとおり。

• C/C++: std::regex の ECMAScript 文法の正規表現を解析。Comdb2 C API の SQL インジェクションシンクモデルと、Bloomberg BDE コーデック・バイトストリームのデシリアライザのフローサマリを追加
• Go: nhooyr.io/websocket に加えて github.com/coder/websocket のインポートパスをモデル化
• Rust: エクストラクタが AnyAttr と DocComment に対応。await を伴う async ブロックのデータフローを改善し、native-tls／async-native-tls／tokio-native-tls のフローサマリを追加
• JavaScript/TypeScript: Workflow SDK の "use workflow" と "use step" ディレクティブを認識。Hapi のルートハンドラとリクエスト入力の追跡が、カスタムのルート登録ヘルパーや高階関数を経由しても改善
• C#: cs/web/missing-x-frame-options が ASP.NET Core のレスポンスヘッダと CSP の frame-ancestors をクリックジャッキング対策として扱うようになった
• GitHub Actions: actions/unpinned-tag の信頼済みオーナーから、エントリの先頭に ! を付けて除外できる（例: !github）

取るべき対応

github.com のコードスキャン利用者には自動的に新バージョンが展開されるため、通常は作業は不要だ。対応が必要になるのは次のケース。

• macOS で Go 以外のコンパイル言語を解析している場合（期限なし、ただし macOS 27 更新前に判断が必要）: Apple が x86-64／arm64 のマルチアーキテクチャバイナリを提供しなくなったため、macOS 27 ではどの Xcode でも autobuild と manual ビルドモードが非対応になる。macOS 26 でも Xcode 27 を選択している場合は同様。これらのモードを使うなら macOS 26 と Xcode 26 の組み合わせを維持する。GitHub は none ビルドモードのサポート改善に取り組んでいるとしている
• Go のカスタムクエリを書いている場合: Go の CFG が共有 CFG ライブラリを使う形に変わり、ノード・エッジ・位置情報・基本ブロックの境界が変化した。BasicBlocks::Cfg は削除、ControlFlow::EntryNode／ExitNode／SwitchStmt.getExpr が追加、IfStmt.getCond は IfStmt.getCondition に置き換えて非推奨、IfStmt.getThen と LoopStmt.getBody の戻り値は Stmt に変更された。旧表現に依存したクエリは修正が必要
• GitHub Enterprise Server を運用している場合: 2.27.2 は将来の GHES リリースに含まれる。古いバージョンでは CodeQL を手動でアップグレードできる

CLI 側では、クエリスイートの qlpack: と from: の不正値がクラッシュせず明確なエラーになり、符号付き 32bit の範囲外の整数は切り捨てずに拒否されるようになった。