CodeQL 2.27.2 aprende a analizar expresiones regulares en C++ y mejora el análisis de Go, Rust y JavaScript

GitHub ha lanzado CodeQL 2.27.2. El cambio principal de esta versión es un parser de expresiones regulares para C++. Además, el análisis ha mejorado para varios lenguajes, entre ellos Go, Rust y JavaScript. CodeQL es la base de GitHub code scanning, por lo que actualizaciones como esta influyen directamente en las vulnerabilidades y los errores que la plataforma detecta en los repositorios. La entrada del changelog está fechada el 9 de octubre de 2026 y es muy breve: no incluye la lista de consultas, reglas y correcciones concretas.

Qué se sabe de la versión

La redacción de GitHub es escueta: se añade un parser de expresiones regulares para C++ y «mejoras de análisis» para varios lenguajes. El anuncio no detalla los cambios por lenguaje. Por eso, todo lo que vaya más allá de esos dos datos sigue siendo una suposición, y la lista exacta de modificaciones hay que buscarla en las release notes completas de CodeQL.

Datos principales de la versión:

• versión: CodeQL 2.27.2;
• fecha de publicación: 9 de octubre de 2026;
• novedad: parser de expresiones regulares para C++;
• lenguajes afectados: C++, Go, Rust, JavaScript (el anuncio habla de «varios lenguajes»);
• finalidad: motor de análisis estático para GitHub code scanning.

Para qué necesita un analizador estático un parser de expresiones regulares

CodeQL representa el código como una base de datos sobre la que se escriben consultas en un lenguaje propio, QL. Para que una consulta pueda razonar sobre una cadena que contiene una expresión regular, el analizador debe entender su estructura: grupos, cuantificadores, alternativas, clases de caracteres. Sin ese análisis, un literal de cadena es para él simplemente texto.

El parser aporta esa estructura. Sobre ella suelen construirse comprobaciones como la búsqueda de expresiones regulares con backtracking catastrófico (ReDoS) o la inserción insegura de datos introducidos por el usuario en un patrón. Para JavaScript y otros lenguajes, CodeQL ya cuenta con esta infraestructura. Su equivalente para C++ cubre un hueco en un lenguaje donde las expresiones regulares se usan a través de la biblioteca estándar y de paquetes de terceros. Una salvedad: en el anuncio, GitHub no indica qué consultas concretas usarán el nuevo parser. El vínculo con ReDoS y comprobaciones similares es aquí una deducción lógica, no un hecho declarado.

Qué pasa con los demás lenguajes

Que el título mencione Go, Rust y JavaScript indica que la actualización no se limitó a C++. Rust destaca en esa lista: el soporte del lenguaje en CodeQL se desarrolla desde hace relativamente poco, y la precisión del modelado de bibliotecas y flujos de datos influye directamente en el número de hallazgos y de falsos positivos. El anuncio no precisa qué cambió exactamente, así que el efecto habrá que evaluarlo con los resultados de los propios escaneos.

Qué comprobar tras actualizar

Cuando CodeQL se ejecuta mediante el code scanning estándar en la infraestructura alojada de GitHub, la versión suele actualizarse por parte de la plataforma. Si fija una versión de CodeQL CLI o usa pipelines propios, tendrá que actualizar manualmente.

El orden práctico de actuación es este:

• consulte las release notes de la versión 2.27.2 y localice los cambios de los lenguajes que utiliza;
• ejecute un escaneo en una rama del repositorio de prueba y compare el número y la composición de las alertas con la versión anterior;
• en proyectos de C++ que usen expresiones regulares de forma intensiva, revise por separado los nuevos hallazgos: es ahí donde más probablemente aparecerán diferencias;
• no descarte automáticamente las alertas cerradas con anterioridad: compruebe si han desaparecido por cambios en el modelo de análisis;
• si usa consultas QL personalizadas, verifique que compilan en la nueva versión y que no cambian su comportamiento.

La versión, en sí, es pequeña y técnica. Su valor real se verá cuando GitHub publique la lista de cambios o cuando los equipos comprueben la diferencia en los informes sobre su propio código.