CodeQL 2.27.1 mejora el análisis de seguridad en Fastify y GitHub Actions

GitHub ha publicado CodeQL 2.27.1, una actualización de su motor de análisis estático con cambios especialmente relevantes para equipos que mantienen servicios JavaScript y TypeScript. El lanzamiento no se limita a añadir soporte de versiones: mejora los modelos que permiten a CodeQL reconstruir cómo circulan los datos por frameworks y APIs reales. Esa capa semántica es decisiva para que una alerta de seguridad sea útil y no solo técnicamente posible.

En el ecosistema Node.js, CodeQL reconoce ahora servidores Fastify configurados mediante métodos encadenables como withTypeProvider() y setValidatorCompiler(). El cambio mejora la atribución de rutas y puede modificar los resultados de consultas como js/missing-rate-limiting. En la práctica, el analizador puede identificar mejor qué rutas están expuestas y cuáles quedan protegidas por plugins registrados globalmente. También puede desaparecer algún falso positivo cuando el modelo entiende que una configuración compartida aplica realmente a una ruta.

La consecuencia editorialmente menos vistosa es la más importante: una actualización del analizador puede cambiar el inventario de alertas sin que el código de la aplicación haya cambiado. Un equipo que actualice CodeQL debería revisar el nuevo baseline, comparar las alertas cerradas y confirmar que los plugins de Fastify se registran de forma explícita y consistente. Tratar toda alerta nueva como una regresión del producto sería tan poco útil como ignorarla por completo; primero hay que comprobar qué conocimiento adicional ha incorporado el modelo.

La versión también ajusta el análisis de GitHub Actions. La consulta actions/unpinned-tag deja de señalar referencias protegidas mediante una entrada estructuralmente válida en .github/workflows/actions.lock y tampoco considera vulnerables las referencias al propio repositorio con la forma $/..., porque resuelven al commit que está ejecutando el workflow. Esto reduce ruido, pero no elimina la responsabilidad de mantener un mecanismo de fijación verificable. Un workflow que no esté cubierto por esas reglas sigue necesitando referencias inmutables y revisiones de cambios.

CodeQL se despliega automáticamente en GitHub y la nueva funcionalidad llegará también a GHES 3.24. Para los proyectos JavaScript y TypeScript, la lección es concreta: las herramientas de seguridad deben evolucionar junto con las convenciones de los frameworks. Actualizar el analizador, revisar el cambio de cobertura y conservar una política explícita de fijación en CI ofrece más valor que perseguir una cifra estable de alertas. La precisión del diagnóstico forma parte de la seguridad mantenible.