#Dependabot

GitHub Advisory Database 照合による opt-in の malware アラート。CVE 系とは別カテゴリ、ルールによる絞り込み、有効化時の既存分バックフィル。現状 npm のみ。

Dependabotがpre-commitフックの依存関係自動アップデートをネイティブにサポート。リビジョンの更新やグループ化に対応。

write 権限ユーザーへの割当、code scanning・secret scanning アラートと同じ運用。REST API・Webhook、監査ログとメール通知。github.com は GHAS、GHES は3.22以降。

DependabotがOIDCを利用したプライベートレジストリ認証に対応。静的クレデンシャルの保存が不要に。

GitHub APIやプライベートパッケージレジストリへの認証を担うHTTPプロキシがMITライセンスでオープンソースとして公開。ソースコードのレビューやエコシステムのサポート追加が可能。

Dependabotのアラートを閉じる（dismiss）際に、レビュープロセスを必須化できる「Delegated alert dismissal」機能がGitHub Code Security顧客向けに利用可能になった。 これにより、誤った操作や不正な却下を防ぎ、脆弱性対応の説明責任（Accountability）を強化できる。 本機能は github.com および GitHub Enterprise Server 3.21 で利用可能。 ### 参考文献

Dependabotが、Pythonのパッケージマネージャーである uv のセキュリティアラートおよびアップデートに対応した。 uv の依存関係に脆弱性が検出された場合、Dependabotは自動的にセキュリティアラートを発行し、安全なバージョンへ更新するためのプルリクエストを作成できるようになった。 ### 参考文献

GitHub Dependabotのプルリクエストコメントコマンドが2026年1月27日に非推奨化。@dependabot merge、@dependabot cancel merge、@dependabot squash and merge、@dependabot close、@dependabot reopenが対象。

GitHubのDependabotアラートでバッチ更新機能が一般提供開始。組織全体で複数のDependabotアラートを一度に却下または再開可能になり、セキュリティチームと開発チームのアラート管理が効率化。従来は個別アラート管理のみだったが、チェックボックスで複数選択してバルク更新できるようになった。セキュリティマネージャー役割のメンバーと「Dependabotアラートを表示」権限を持つユーザーが利用可能で、手動作業の削減とワークフローの合理化を実現。 ### 参考文献