CodeQL 2.27.0이 Linux arm64용 CLI를 네이티브로 내놨고, Rust 커맨드 인젝션 쿼리와 C#·Java/Kotlin·C/C++ 쪽 프레임워크 커버리지가 함께 넓어졌다.
CodeQL CLI가 2.27.0부터 Linux arm64에서 네이티브로 돌아간다. linux-arm64용 CLI와 번들을 릴리스 자산에서 그대로 받아 쓰면 되고, 에뮬레이션이나 x86_64 우회를 거칠 필요가 없어졌다.
쿼리와 프레임워크 커버리지
언어별로도 탐지 범위가 늘었다. Rust에는 통제되지 않은 커맨드 라인을 잡는 rust/command-line-injection 쿼리가 새로 생겼고, rust/hard-coded-cryptographic-value는 거의 같은 위치에서 중복 결과를 내던 문제를 줄였다. C#은 ASP.NET Core MVC의 컨트롤러·액션 탐지가 런타임 동작에 더 가깝게 맞춰져 애플리케이션 파트, 엔드포인트 매핑, 상속된 액션까지 커버하고, OData의 ODataActionParameters·Delta 값을 따라가는 테인트 트래킹도 붙었다. Java/Kotlin은 Micronaut 프레임워크의 HTTP 컨트롤러, 웹소켓 엔드포인트, 설정 주입, 데이터 접근, 보안 애너테이션을 모델링에 포함시켰다. C/C++에서는 PQexec, PQexecParams, PQprepare 등 PostgreSQL libpq 함수가 cpp/sql-injection 같은 쿼리의 SQL 인젝션 싱크로 추가됐다. GitHub Actions 워크플로에서는 이벤트 페이로드의 author-association 체크를, 해당 필드가 실제로 존재할 때만 보호 장치로 인정하도록 바꿔 무력한 체크에 기대던 워크플로에서 새 경고가 늘어날 수 있다.
정리되는 것들
Java 7·8은 계속 지원되지만 Java 9·10 지원은 2027년 1월 제거가 예정됐다. 여러 플랫폼을 한데 묶은 codeql.zip 배포판도 단계적으로 없어진다. 이 배포판으로 CLI를 돌리면 이제 경고가 뜨고, 플랫폼별 .zip으로 옮기기 전까지 당장 경고만 끄고 싶다면 CODEQL_ALLOW_ALL_PLATFORMS_DIST=true를 설정하면 된다.
이번 버전은 github.com의 GitHub code scanning 사용자에게 자동 배포되고, GitHub Enterprise Server는 이후 릴리스에서 따라 들어오며 구버전 GHES는 수동 업그레이드가 필요하다.