はじめに
こんにちは、nobushiueshi です。
GitHubのChangelogを確認していたところ、Dependabotのマルウェア検知がnpm以外にも拡大したという更新を見つけました。
Dependabotは脆弱性のあるパッケージを教えてくれるイメージが強かったのですが、既知の悪意あるパッケージも検知してくれます。せっかくなので、今回の変更内容と設定場所を備忘録として残しておきます。
Dependabotのマルウェア検知がnpm以外にも拡大
2026年7月28日のGitHub Changelogによると、GitHub Advisory DatabaseがOpenSSF malicious-packagesの情報を自動的に取り込むようになりました。
これにより、npmだけでなくPyPIなど、より多くのエコシステムにある悪意のあるパッケージをDependabotで検知できるようになっています。
GitHub Advisory Databaseでは、次のフィルターでマルウェアに関する情報だけを確認できます。
type:malwareGitHub Advisory Databaseで検索するときに地味に便利です。
すでに有効なら追加設定は不要
Dependabot malware alertsをすでに有効にしている場合、今回の対象拡大のために設定を変更する必要はありません。
リポジトリのデフォルトブランチに対象パッケージが含まれていると、追加されたマルウェア情報と依存関係が照合されます。一致した場合は、リポジトリの「Security and quality」タブにアラートが表示されます。
新しく登録された情報も自動的に対象になるので、一度有効にしておけばOKです。
Dependabot malware alertsの設定場所
まだ有効にしていない場合は、対象リポジトリで次の順番に開きます。
1. リポジトリの「Settings」を開く
2. サイドバーの「Security」から「Advanced Security」を開く
3. 「Dependabot alerts」が無効なら先に有効にする
4. 「Dependabot malware alerts」を有効にする
これだけです。
OrganizationやEnterpriseでは、カスタムセキュリティ構成を使って複数のリポジトリへまとめて設定することもできます。
公式ドキュメントとの記述差にも注意
2026年8月12日時点では、Dependabot malware alertsの個別ドキュメントに「現在はnpmエコシステムで利用可能」という記述が残っています。
一方、2026年7月28日のChangelogでは、npmを超えてPyPIなどにも対象が広がったと案内されています。機能の展開とドキュメント更新に時間差があるようなので、この記事では新しいChangelogの内容を基準にしています。
Dependabotですべての悪意あるパッケージを検知できるわけではありません。GitHubでレビューされた情報だけが対象になり、GitHub Advisory Databaseへ追加されてからアラートが出るまで時間がかかる場合もあります。
さいごに
すでにDependabot malware alertsを有効にしていれば、今回の対象拡大で追加作業はありません。
まだ設定していないリポジトリがあれば、「Advanced Security」を一度確認してみてください。ちょっとした備忘録でしたが、参考になれば幸いです。
おすすめ書籍
参考
コメント