GitHub startet Vorschau der Erreichbarkeitsanalyse für Dependabot-Warnungen bei JavaScript und TypeScript

GitHub hat am 28. Oktober 2026 die Erreichbarkeitsanalyse für Dependabot-Warnungen als öffentliche Vorschau veröffentlicht. Sie funktioniert für JavaScript und TypeScript und ergänzt jede offene Warnung um ein Urteil: Hat der Code eines Repositorys einen Aufrufpfad zur verwundbaren Funktion einer Abhängigkeit? GitHub stellt das Urteil als zusätzlichen Kontext zur Reihenfolge der Arbeit dar, zu nutzen neben Schweregrad, EPSS-Wert, Produktionskontext und dem Wissen des Teams über die eigene Anwendung. Es schließt oder verwirft nie eine Warnung.

Der Mechanismus hat drei Teile. Dependabot führt die Analyse für den Nutzer in einem verwalteten GitHub-Actions-Workflow aus, sodass nichts installiert oder gepflegt werden muss. Für jede Sicherheitsmeldung benennen kuratierte Daten die verwundbaren Funktionen im betroffenen Paket. CodeQL baut dann einen Aufrufgraphen über das Repository und seine Abhängigkeiten und sucht darin einen Pfad vom Code des Nutzers zu jeder dieser Funktionen. Der Beleg erscheint an der Warnung, etwa ein Aufrufpfad von einer Datei im Repository über ein Paket zur verwundbaren Funktion.

Jede offene Warnung erhält eines von vier Urteilen. Erreichbar heißt, der Code hat mindestens einen Aufrufpfad zur verwundbaren Funktion. Möglicherweise erreichbar heißt, die Analyse konnte nicht feststellen, ob die Funktion aufgerufen wird; GitHub rät, solche Warnungen als erreichbar zu behandeln. Nicht erreichbar heißt, die Analyse wurde abgeschlossen und fand keinen Aufrufpfad, die Warnung hat also niedrigere Priorität, ist aber nicht geschlossen. Erreichbarkeit nicht verfügbar heißt, die Warnung ließ sich nicht analysieren und wird wie üblich eingestuft. Der Unterschied zwischen nicht erreichbar und möglicherweise erreichbar zählt, denn nur das erste ist ein abgeschlossenes negatives Ergebnis.

Die Vorschau hat klare Grenzen. Sie ist kostenlos: Eine GitHub-Advanced-Security-Lizenz ist nicht nötig, und die genutzten Actions-Minuten werden nicht berechnet. Sie steht GitHub Enterprise Cloud offen, auch mit Datenresidenz. Sie erfasst JavaScript- und TypeScript-Repositories mit einem npm-, Yarn- oder pnpm-Lockfile und läuft nur auf GitHub-gehosteten Runnern, nicht auf selbst gehosteten. Manche Monorepos und Repositories mit Manifestdateien in mehreren Verzeichnissen werden womöglich nicht unterstützt. Dauert die Analyse länger als drei Stunden, zeigen einige Ergebnisse unter Umständen Erreichbarkeit nicht verfügbar. Abgedeckt sind alle von GitHub geprüften JavaScript-Sicherheitsmeldungen der GitHub Advisory Database, die Dependabot-Warnungen auslösen.

Die Funktion ist standardmäßig aus. Administratoren können sie für viele Repositories zugleich über eine benutzerdefinierte Sicherheitskonfiguration auf Unternehmens- oder Organisationsebene einschalten oder für ein einzelnes Repository im Abschnitt Dependabot der Einstellungen unter Advanced Security. Dependabot-Warnungen müssen bereits aktiv sein. Der erste Scan startet sofort und kann wenige Minuten bis einige Stunden dauern; danach läuft er täglich neu, solange das Repository offene Dependabot-Warnungen hat. Die Urteile erscheinen auf den Warnungsseiten, wo man sie filtern und sortieren kann, und die REST-API für Dependabot-Warnungen liefert dasselbe Signal an andere Werkzeuge und Agenten.

Erreichbarkeit ist eine Priorisierungshilfe, kein Sicherheitsbeweis. Ein durch statische Analyse gefundener Aufrufpfad zeigt, dass der Code die Funktion erreichen kann, nicht dass ein Angreifer sie ausnutzen kann. Umgekehrt gilt es auch: Die Seite nennt keine Genauigkeitswerte, ein Urteil Nicht erreichbar ist daher ein Signal für niedrigere Priorität, keine Garantie. Die Vorschau schließt andere Tarife und alle Sprachen außer zwei aus, sodass viele Teams noch keine Urteile sehen. Für Teams auf Enterprise Cloud mit JavaScript-Code ist sie eine Möglichkeit, eine lange Warnungsliste mit einem Beleg je Eintrag zu sortieren.