🛡️ Dependabot เปลี่ยนจังหวะ auto update: version bump PR จะไ…

🛡️ Dependabot เปลี่ยนจังหวะ auto update: version bump PR จะไม่รีบเปิดทันทีแล้ว

เวลา package ใหม่ออกมา ความเสี่ยงไม่ได้มีแค่ bug

อีกช่องคือ supply chain attack ที่ปล่อย version พิษขึ้น registry แล้วหวังให้ bot ดึงเข้าระบบก่อน community จับได้

GitHub เลยปรับ default ของ Dependabot version updates ให้มี cooldown อย่างน้อย 3 วันก่อนเปิด PR สำหรับ release ใหม่

จุดสำคัญคือมันไม่ได้ถ่วง security update

ถ้ามี advisory และมี patch, Dependabot security updates ยังเปิด PR ทันทีเหมือนเดิม ที่ถูกชะลอคือ version update ทั่วไปที่แค่ไล่ตามของใหม่

ทำไมต้อง 3 วัน?

เพราะการโจมตีแบบ package poisoning จำนวนมากมีหน้าต่างสั้นมาก: release ถูก publish, ถูกดึงเข้า pipeline, แล้วถูกถอดภายในไม่กี่ชั่วโมง

GitHub ยกเคส npm package ยอดนิยมที่ถูกโจมตีซึ่งอยู่ live ประมาณ 2 ชั่วโมง และข้อมูล GitHub Advisory Database ปีถึง May 2026 ที่มี npm malware advisory มากกว่า 6,500 รายการ

Workflow ที่ควรเช็ค:

• แยก security updates ออกจาก version updates
• ใช้ lockfile และอย่า auto-merge dependency PR แบบไม่ดู
• ตั้ง cooldown ยาวขึ้นสำหรับ public registry ที่เสี่ยง
• ยกเว้น package ภายในหรือ dependency ที่ trust สูงถ้าจำเป็น
• จำกัด token ใน CI เพราะ dependency update คือจุดที่ supply chain แตะ runtime จริง

ความหมายเชิงปฏิบัติ: “latest” ไม่ได้แปลว่า safest

สำหรับทีมเล็ก cooldown 3 วันอาจลด noise และลดโอกาสรับ package พิษโดยไม่เสียความเร็วมากนัก

สำหรับทีมที่ ship library/security patch เอง ต้อง tune config ให้เหมาะ ไม่ใช่ใช้ default อย่างเดียว

เหมาะกับทีมที่เปิด Dependabot ไว้แล้ว แต่เริ่มเจอ PR dependency เยอะ, auto-merge เร็วเกิน, หรือมี CI ที่ถือ secret สำคัญ

ลิงก์ต้นทางอยู่ในคอมเมนต์แรกครับ

คุณตั้ง Dependabot ให้รอ release ใหม่กี่วันก่อน merge เข้า main?

SynapTech AI ช่วยออกแบบ AI + Automation workflow ที่ใช้จริงในทีม dev และธุรกิจไทย

#DevSecOps #GitHub #Dependabot #SupplyChainSecurity #SynapTechAI

---

📖 อ่านบทความเต็มบน Facebook | 🔔 ติดตาม SynapTech