이번 소식
GitHub가 비공개 취약점 제보에 구조화 양식과 하루 제출 제한을 추가했습니다. 소프트웨어의 보안 문제를 공개 이슈에 노출하지 않고 저장소 관리자에게 전달하는 기능입니다. 이번 변경은 정보가 부족하거나 자동으로 대량 제출되는 제보 속에서 검토할 내용을 찾기 쉽게 하는 데 초점을 맞췄습니다.
주요 변경
- 기본 양식의 필수 항목: 요약·상세 설명·재현 방법·영향의 네 항목을 작성해야 합니다. 재현 방법에는 최소 150자가 필요합니다. 답은 보안 권고문의 설명으로 합쳐져 기존처럼 검토·수정할 수 있습니다.
- 저장소에 맞춘 양식: 기본 브랜치의
.github/VULNERABILITY_REPORT.yml로 양식을 지정합니다. 조직·계정의.github저장소에 두어 소유 저장소에 적용할 수도 있습니다. 필드별 최소 길이를 지정할 수 있고, 잘못된 양식이면 기본 양식을 사용합니다. - 하루 신규 제보 제한: 한 계정이 특정 저장소와 GitHub 전체에 하루 동안 제출할 수 있는 새 제보 수에 제한이 적용됩니다. 한도에 도달하면 나중에 다시 시도하라는 안내가 나옵니다. 기존 보안 권고문에 다는 댓글은 대상이 아닙니다.
- 관리자 설정: 저장소의 일일 한도를 따로 정하거나 신뢰하는 제보자를 허용 목록에 추가할 수 있습니다. 취약점 유형을 분류하는 CWE 선택을 필수로 설정하는 기능도 추가됐으며 조직·기업 정책으로 적용할 수 있습니다.
영향 대상과 활용
공개 프로젝트를 관리한다면 “문제가 있다”는 설명만 받는 대신 재현 절차와 영향을 나눠 요청할 수 있습니다. 연구자에게도 무엇을 적어야 하는지 더 분명한 기준이 생깁니다. 다만 양식과 제출 제한이 제보의 정확성이나 스팸 제거를 보장하는 것은 아닙니다.
보안 정책 파일이 있는 저장소에서는 제출 전 해당 문서로 연결되는 안내가 표시됩니다. 제보자는 AI 도움으로 문제를 찾거나 보고서를 작성했는지 체크해 밝힐 수 있습니다. 이 선택 항목이 AI가 작성한 제보를 자동으로 판별하거나 일괄 차단한다는 뜻은 아닙니다.
사용 전 확인할 점
REST API에는 기본 양식을 강제하지 않아 기존 연동을 유지합니다. 반면 저장소에 맞춤 양식을 추가했다면 API 제출도 그 양식에 맞아야 합니다. 일치하지 않을 때는 저장소가 요구하는 양식을 반환하는 새 엔드포인트를 오류에서 안내합니다.
두 변경은 비공개 취약점 제보를 켠 공개 저장소에서 GitHub Free·Pro·Team·Enterprise Cloud에 제공됩니다. 비공개 저장소나 Enterprise Server까지 포함한다고 발표하지 않았습니다. 공지에는 기본 일일 제한의 숫자가 없어 임의로 적지 않았으며, 저장소 설정 변경이나 실제 제보 제출은 수행하지 않았습니다.
공식 출처·발표 시점
두 발표 시각: 2026년 10월 2일 04:57 KST, 공식 RSS·원문 게시 메타데이터 기준. 일일 제한 발표를 함께 확인했습니다. 연결 가이드의 이전 필수 항목 설명은 원문 수정 이력이 7월인 것으로 확인해, 이번 개별 발표의 새 기준을 적용했습니다.
새 글 받아보기
RSS 리더에서 BlogFlow의 새 글을 확인할 수 있습니다.