이번 소식
GitHub가 2026년 10월 13일 Dependabot의 철회된 보안 알림을 구분하는 방법을 개선했다고 발표했습니다. Dependabot은 프로젝트가 사용하는 외부 소프트웨어의 알려진 취약점을 알려주는 기능입니다. 알림의 근거가 된 보안 권고나 취약점이 더 이상 유효하지 않으면 해당 알림을 철회하고 제거합니다.
달라진 점
알림 변화를 다른 서비스로 자동 전달하는 dependabot_alert 웹훅에 withdrawn 동작이 추가됐습니다. 철회 알림에는 제거 전의 알림 번호, GHSA·CVE 취약점 식별자, 패키지 이름과 의존성 목록 파일 경로가 담깁니다. 이미 이 웹훅을 구독하는 서비스는 별도로 구독을 추가하지 않아도 새 동작을 받습니다.
철회된 알림을 REST API로 조회하거나 수정할 때의 응답도 404 Not Found에서 410 Gone으로 바뀝니다. 이제 처음부터 존재하지 않았던 알림과 철회돼 사라진 알림을 응답 코드로 구분할 수 있습니다.
어떤 점이 달라지나요?
Dependabot 알림을 별도 보안 관리 도구와 연결해 쓰는 경우, 알림이 사라진 이유를 웹훅과 API 응답으로 파악할 수 있게 됩니다. 특히 철회와 단순 조회 실패를 구별하는 연동 로직을 작성할 때 이번 변경을 반영할 수 있습니다. 알림 철회는 근거가 더 이상 유효하지 않다는 뜻이므로, 패키지를 업데이트해 취약점을 해결했다는 의미와 혼동하지 않아야 합니다.
사용 전 확인할 점
변경은 GitHub.com의 모든 저장소에 적용됐습니다. GitHub Enterprise Server에는 앞으로 3.24 버전에 포함될 예정입니다. 웹훅 처리 코드가 새 withdrawn 동작을 받아들일 수 있는지, API 연동이 철회된 알림의 410 응답을 처리하는지 확인할 필요가 있습니다. 공식 원문에는 세부 발표 시각이 명시돼 있지 않습니다.
새 글 받아보기
RSS 리더에서 BlogFlow의 새 글을 확인할 수 있습니다.