CodeQL 2.27.2 ganha parser de expressões regulares para C++ e melhora a análise de Go, Rust e JavaScript

O GitHub lançou o CodeQL 2.27.2. A principal mudança desta versão é um parser de expressões regulares para C++. Além dele, a análise foi aprimorada para várias linguagens ao mesmo tempo, incluindo Go, Rust e JavaScript. O CodeQL é a base do code scanning do GitHub, de modo que atualizações como essa influenciam diretamente quais vulnerabilidades e erros a plataforma encontra nos repositórios. A entrada no changelog é de 9 de outubro de 2026 e é bem curta: não traz a lista de consultas, regras e correções específicas.

O que se sabe sobre o lançamento

O texto do GitHub é enxuto: foram adicionados um parser de expressões regulares para C++ e "melhorias de análise" para várias linguagens. O anúncio não detalha o que mudou em cada linguagem. Por isso, tudo o que vai além desses dois fatos continua sendo suposição, e a lista exata de alterações deve ser buscada nas release notes completas do CodeQL.

Principais dados do lançamento:

• versão: CodeQL 2.27.2;
• data de publicação: 9 de outubro de 2026;
• novidade: parser de expressões regulares para C++;
• linguagens afetadas: C++, Go, Rust, JavaScript (o anúncio fala em "várias linguagens");
• finalidade: motor de análise estática para o code scanning do GitHub.

Por que um analisador estático precisa de um parser de regex

O CodeQL representa o código como um banco de dados, sobre o qual se escrevem consultas na linguagem própria QL. Para que uma consulta consiga raciocinar sobre uma string que contém uma expressão regular, o analisador precisa entender a estrutura dela: grupos, quantificadores, alternativas, classes de caracteres. Sem o parser, um literal de string é só texto para ele.

O parser fornece essa estrutura. É sobre ela que costumam ser construídas verificações como a busca por regexes com backtracking catastrófico (ReDoS) ou pela inserção insegura de entrada do usuário em um padrão. Para JavaScript e algumas outras linguagens, essa infraestrutura já existe no CodeQL. A chegada de um equivalente para C++ preenche uma lacuna em uma linguagem na qual as regexes são usadas pela biblioteca padrão e por pacotes de terceiros. Ressalva: o GitHub não informa no anúncio quais consultas passarão a usar o novo parser. A ligação com ReDoS e verificações semelhantes é uma inferência lógica, não um fato declarado.

E as demais linguagens?

O fato de Go, Rust e JavaScript aparecerem no título indica que a atualização não ficou restrita ao C++. O Rust chama atenção nessa lista: o suporte à linguagem no CodeQL é relativamente recente, e a precisão da modelagem de bibliotecas e de fluxos de dados ali afeta diretamente o número de achados e de falsos positivos. O anúncio não esclarece o que exatamente mudou, então o efeito terá de ser avaliado pelos resultados dos seus próprios scans.

O que verificar após a atualização

Quando o CodeQL roda pelo code scanning padrão em infraestrutura hospedada pelo GitHub, a versão normalmente é atualizada pela própria plataforma. Se você fixa a versão do CodeQL CLI ou usa pipelines próprios, a atualização terá de ser feita manualmente.

A ordem prática de ações é esta:

• consulte as release notes da versão 2.27.2 e localize as mudanças das linguagens que você usa;
• rode o scan em uma branch com um repositório de teste e compare o número e a composição dos alertas com os da versão anterior;
• em projetos C++ que usam regexes com frequência, revise separadamente os novos achados: é onde as diferenças têm mais chance de aparecer;
• não feche automaticamente alertas antes encerrados; verifique se eles não sumiram por causa de mudanças no modelo de análise;
• se você usa consultas QL personalizadas, confirme que elas compilam na nova versão e que o comportamento não mudou.

O lançamento em si é pequeno e técnico. Seu valor real só ficará claro quando o GitHub detalhar a lista de mudanças ou quando as equipes perceberem a diferença nos relatórios do próprio código.