🔎 Static analysis ไม่ได้แพ้เพราะ scan ไม่พอเสมอไป

🔎 Static analysis ไม่ได้แพ้เพราะ scan ไม่พอเสมอไป

หลายครั้งมันแพ้เพราะ “ไม่เห็น flow จริง” ของ framework ที่ทีมใช้อยู่

GitHub เพิ่งประกาศ CodeQL 2.26.1 ซึ่งเป็นอัปเดตของ engine ที่อยู่หลัง GitHub code scanning จุดสำคัญไม่ใช่แค่ version bump แต่คือการเพิ่ม model ให้เข้าใจ framework และ pattern ที่เจอในโค้ดจริงมากขึ้น

ผลกระทบคือบาง repo อาจเห็น alert ใหม่ที่เคยหลุด และบาง repo อาจเห็น false positive ลดลง โดยเฉพาะทีมที่มี Go, Java/Kotlin, JavaScript/TypeScript หรือ Rust อยู่ใน pipeline

สิ่งที่น่าดูในรอบนี้:

• Go: model ของ log/slog ดีขึ้น ทำให้ query อย่าง log injection และ clear-text logging เห็น context มากขึ้น
• Java/Kotlin: WebFlux UriSpec.uri ถูกมองเป็น SSRF sink เพิ่ม และ @Pattern บางกรณีถูกนับเป็น sanitizer ของ path injection
• JavaScript/TypeScript: Angular @HostListener สำหรับ window:message / document:message ถูกนับเป็น remote flow source
• Rust: ลด false positive ใน hard-coded cryptographic value เมื่อค่าคงที่ถูกผสมกับข้อมูลที่ไม่คงที่

ความหมายเชิงปฏิบัติ: อย่าดู CodeQL update เป็นแค่ “เครื่องมือ security อัปเวอร์ชันแล้วจบ” แต่ควรใช้เป็นจังหวะเช็คว่า baseline ของทีมเปลี่ยนไหม

ถ้าใช้ GitHub code scanning บน github.com ระบบจะได้เวอร์ชันใหม่โดยอัตโนมัติ แต่ทีมที่อยู่บน GHES หรือ pin CodeQL เองควรตรวจแผน upgrade ให้ชัด โดยเฉพาะ repo ที่มี framework-heavy code

เหมาะกับทีม AppSec, platform engineering และทีม dev ที่อยากให้ security gate ฉลาดขึ้นโดยไม่เพิ่ม manual review จนหนักเกินไป

ข้อจำกัดคือมันยังไม่แทน threat modeling, test case หรือการ review logic สำคัญของธุรกิจได้ แค่ช่วยให้ scanner “เข้าใจภาษาและ framework” ใกล้โค้ดจริงขึ้น

ลิงก์ต้นทางอยู่ในคอมเมนต์แรกครับ

ทีมคุณเคยเจอ CodeQL alert ใหม่หลังอัปเดตแล้วกลายเป็น bug จริง หรือเป็น false positive มากกว่ากัน?

ถ้าอยากให้ SynapTech AI ช่วยออกแบบ security workflow ที่ scan, triage และสรุป risk ให้ทีม dev อ่านรู้เรื่อง ทักมาคุยกันได้ครับ

#CodeQL #AppSec #GitHub #DevSecOps #SynapTechAI

---

📖 อ่านบทความเต็มบน Facebook | 🔔 ติดตาม SynapTech