GitHub сообщил о резком росте объёма данных в GitHub Advisory Database и изменениях в экосистеме раскрытия уязвимостей. В мае 2026 года база опубликовала 1 560 проверенных рекомендаций по безопасности, что более чем в пять раз превышает обычный месячный показатель и стало рекордом за всю историю сервиса.
По данным GitHub, за последние месяцы входящий поток уязвимостей вырос сразу по нескольким каналам: через частные отчёты, рекомендации в репозиториях и запросы на CVE-идентификаторы. Это привело систему к новой нагрузке. С марта по май GitHub принимал более 6 000 решений по рекомендациям ежемесячно, учитывая обновление существующих записей, публикацию новых и обработку входящих отчётов.
Компания отмечает, что время проверки новых рекомендаций увеличилось, так как возросли и количество, и сложность уязвимостей. При этом качество не изменилось: каждую рекомендацию по-прежнему проверяет специалист, а существующие оповещения работают как прежде.
GitHub подчёркивает, что инфраструктура импорта и публикации данных сохраняет целостность, а опубликованные рекомендации остаются точными. Система назначения CVE также удерживает уровень качества: доля успешных назначений CVE остаётся на уровне 91–94%, что сопоставимо или лучше исторических показателей.
Главная проблема сейчас — пропускная способность. Система валидации, обогащения и публикации данных работает без сбоев, но оказалась под нагрузкой, превышающей исходный расчёт. Ранее значительную часть потока составляли относительно простые рекомендации: они содержали корректное название пакета и экосистемы, диапазон затронутых версий и ссылку на исправление. Такие записи куратор мог опубликовать за несколько минут.
Сейчас всё больше входящих рекомендаций требуют дополнительного расследования. Рост доли сложных случаев усиливает эффект очереди: при одновременном увеличении общего объёма работы сложные отчёты начинают занимать непропорционально много времени. В результате публикация части рекомендаций растягивается сначала до недели, а затем и до нескольких недель, что увеличивает окно потенциальной уязвимости для пользователей.
GitHub подчёркивает, что проверенная рекомендация — это не простая перепубликация отчёта, а результат верификации. Именно поэтому экосистема может использовать эти данные без дополнительной проверки. Ускорение публикации за счёт отказа от валидации увеличило бы число ложных срабатываний и могло бы создать ещё больший риск, чем текущие задержки.
Компания призывает участников сообщества помочь улучшить пропускную способность за счёт повышения качества исходных данных. В GitHub рекомендуют:
- включать полные данные в отчёты об уязвимостях: диапазоны версий, корневую причину и шаги для воспроизведения;
- указывать корректные технические детали: экосистему, пакет и форматирование диапазонов версий согласно руководству по лучшим практикам GitHub;
- запрашивать CVE-идентификатор только при чётком намерении опубликовать уязвимость публично;
- координироваться с мейнтейнерами и исследователями по поводу затронутых пакетов, версий и исправлений, чтобы уменьшить противоречия в источниках;
- вносить улучшения в GitHub Advisory Database через pull request: любое уточнение версий, привязки пакетов или исправлений повышает точность, от которой зависят разработчики.
GitHub отмечает, что рост числа отчётов об уязвимостях отражает прогресс: больше проблем выявляется, исправляется и раскрывается. Однако поддержание качества при таком масштабе требует совместных усилий исследователей, мейнтейнеров и потребителей данных.
Для сравнения: два года назад база публиковала около 270 рекомендаций в месяц, тогда как в мае 2026 года было опубликовано более 1 500 записей на фоне тысяч дополнительных решений по системе. Компания признаёт, что это создаёт нагрузку на процессы, но одновременно считает такой рост показателем значимого продвижения. По словам GitHub, каждая рекомендация повышает видимость рисков, а каждое оповещение снижает их, и команда масштабирует систему, чтобы соответствовать новой реальности и продолжит рассказывать о ходе работ.
Автором блога выступила Мэдисон Фикорилли (Madison Ficorilli), старший менеджер по безопасности и эксперт по прозрачности уязвимостей в GitHub. Она руководит командой по кураторству GitHub Advisory Database, со‑руководит рабочей группой Open Source Security Foundation (OpenSSF), входит в совет программы CVE и ранее работала аналитиком по реагированию на инциденты в продуктах GitHub и координатором уязвимостей в CERT Coordination Center Института программной инженерии Университета Карнеги-Меллона.
По данным GitHub.
