CodeQL 2.27.2 научился разбирать регулярки в C++ и улучшил анализ Go, Rust и JavaScript

GitHub выпустил CodeQL 2.27.2. Главное изменение в этой версии — парсер регулярных выражений для C++. Помимо него, анализ улучшили сразу для нескольких языков, в том числе Go, Rust и JavaScript. CodeQL лежит в основе GitHub code scanning, поэтому такие апдейты напрямую влияют на то, какие уязвимости и ошибки платформа находит в репозиториях. Запись в changelog датирована 9 октября 2026 года и совсем короткая: список конкретных запросов, правил и исправлений в ней не приводится.

Что известно о релизе

Формулировка у GitHub лаконичная: добавлен парсер регулярных выражений для C++ и «улучшения анализа» для нескольких языков. Расшифровки по каждому языку в анонсе нет. Поэтому всё, что выходит за пределы этих двух фактов, пока остаётся предположением, и точный перечень правок стоит искать в полных release notes CodeQL.

Основные данные по релизу:

• версия: CodeQL 2.27.2;
• дата публикации: 9 октября 2026 года;
• новое: парсер регулярных выражений для C++;
• затронутые языки: C++, Go, Rust, JavaScript (в анонсе говорится о «нескольких языках»);
• назначение: движок статического анализа под GitHub code scanning.

Зачем статическому анализатору парсер регулярок

CodeQL представляет код как базу данных, по которой пишутся запросы на специальном языке QL. Чтобы запрос мог рассуждать о строке-регулярке, анализатор должен понимать её структуру: группы, квантификаторы, альтернативы, классы символов. Строковый литерал без разбора для него просто текст.

Парсер даёт эту структуру. На ней обычно строятся проверки вроде поиска регулярок с катастрофическим бэктрекингом (ReDoS) или небезопасного встраивания пользовательского ввода в шаблон. Для JavaScript и ряда других языков такая инфраструктура в CodeQL уже существует. Появление аналога для C++ закрывает пробел в языке, где регулярки используются через стандартную библиотеку и сторонние пакеты. Оговорка: GitHub в анонсе не называет, какие именно запросы будут использовать новый парсер. Связь с ReDoS и подобными проверками здесь логичный вывод, а не заявленный факт.

Что с остальными языками

Перечисление Go, Rust и JavaScript в заголовке говорит о том, что обновление не ограничилось C++. Rust в этом списке заметен: поддержка языка в CodeQL развивается относительно недавно, и точность моделирования библиотек и потоков данных там прямо влияет на число находок и ложных срабатываний. Что именно изменилось, анонс не уточняет, поэтому оценивать эффект придётся по собственным результатам сканирования.

Что проверить после обновления

Где CodeQL запускается через стандартный code scanning на GitHub-хостинге, версия обычно подтягивается на стороне платформы. Если вы фиксируете версию CodeQL CLI или используете собственные пайплайны, обновление придётся сделать вручную.

Практический порядок действий такой:

• сверьтесь с release notes версии 2.27.2 и найдите изменения для языков, которые вы используете;
• прогоните сканирование на ветке с тестовым репозиторием и сравните число и состав алертов с предыдущей версией;
• в проектах на C++ с активным использованием регулярок отдельно просмотрите новые находки: именно там вероятнее всего появятся отличия;
• не отключайте ранее закрытые алерты автоматически, а проверьте, не исчезли ли они из-за изменений в модели анализа;
• если используете кастомные QL-запросы, убедитесь, что они компилируются на новой версии и не меняют поведение.

Сам по себе релиз небольшой и техничный. Его реальная ценность станет понятна, когда GitHub раскроет перечень изменений или когда команды увидят разницу в отчётах на своём коде.