開発プラットフォームのGitHubが、社内向けのセキュリティアドバイザリ「Innersource security advisories」の一般提供(GA、General Availability)を2026年7月8日に発表しました。組織の内部だけで脆弱性を共有し、対象のリポジトリへ通知や修正のプルリクエストまでつなげられる仕組みです。
GitHubの社内向けアドバイザリ 3行まとめ
先に、今回の発表の要点を3点へまとめます。
- 社内向けアドバイザリが一般提供に
- 対象はGitHub Advanced Securityのエンタープライズ顧客
- Dependabotで社内リポジトリへ通知と修正PR
本記事は公表時点の情報にもとづく内容です。仕様や提供状況は今後変わる可能性があります。
導入や利用を判断する際は、各自の責任で公式情報の最新の内容をご確認ください。
設定変更やアップデートを行う場合は、必ず事前にバックアップを取得し、検証環境で確認したうえで実施してください。
GitHubがInnersourceアドバイザリを一般提供
GitHubは、GitHub Advanced Security(コード解析や脆弱性管理をまとめた有償のセキュリティ機能群)を契約するエンタープライズ(GitHub Enterpriseの契約・管理単位)の顧客に向けて、社内向けのセキュリティアドバイザリを作成・配布できる機能を一般提供しました。作成できるのは、公式ドキュメントによると、アクティブなGitHub Code SecurityまたはGitHub Advanced Securityのライセンスを持つenterpriseが対象です。
セキュリティアドバイザリ(ソフトウェアの脆弱性や対処法を関係者へ知らせる公示)を、インナーソース(オープンソースの開発手法を組織の内部へ適用し、社内でコードやプロジェクトを共有する取り組み)にも使えるようにした位置づけです。GitHubが公開するオープンソース向けのアドバイザリと、基本的な仕組みは変わりません。
社内で見つかった脆弱性を、組織の中だけで公式のアドバイザリとして扱えるようになりました。主な機能は次の3点です。
- REST APIで脆弱性を登録・更新・取り下げ
- Dependabotで該当リポジトリへ通知
- 条件を満たせば修正版のプルリクエストを作成
Dependabotのプルリクエストは、対象リポジトリでDependabotのalertsとupdatesが有効で、アドバイザリのpayloadに修正版を示すfixedフィールドがある場合に作成されます。自動で必ず開かれるとは限らない点に注意が必要です。
GitHubは今回の機能を、サプライチェーンセキュリティ(ソフトウェアが依存する部品の安全性を守る分野)の一つに位置づけています。社外に公開しにくい内製の部品でも、脆弱性の情報を社内で共有できる点が利点です。
GitHubの公開アドバイザリとの違いは可視範囲の限定
インナーソースのアドバイザリは、GitHubのオープンソース向けアドバイザリと同じように機能します。大きく異なるのは、閲覧できる範囲(可視範囲)です。
オープンソースのアドバイザリは公開され、誰でも参照できます。一方でインナーソースのアドバイザリは、可視範囲がエンタープライズの所有するリポジトリのみです。
社内限定の可視範囲によって、外部に知られたくない脆弱性の情報でも、エンタープライズ内に限定して共有しながら対処を進められます。ただし現時点ではスコープをエンタープライズ全体単位でしか設定できず、内部の特定のorganizationやorganizationグループだけを対象にはできない点に注意が必要です。
GitHubのREST APIでアドバイザリ情報を登録・更新・取り下げ
脆弱性の管理には、新しいREST APIのエンドポイントが用意されました。REST APIはHTTP経由でGitHubの機能を操作する仕組みで、エンドポイントは操作ごとの入口となるURLを指します。
APIからは、インナーソースアドバイザリの脆弱性データについて、次の操作が可能です。
- 脆弱性の作成(
create) - 内容の更新(
update) - 取り下げ(
withdraw)
一度作成したアドバイザリは、更新して内容を直したり、取り下げて無効化したりできます。画面操作ではなく、社内のツールや自動化手順へ組み込む形を想定した機能です。
GitHubがDependabotで社内リポジトリへ通知・修正PR
APIでコンポーネント(依存するソフトウェア部品)についてのアドバイザリを作成すると、GitHubはDependabotを使って、対象のコンポーネントを利用するエンタープライズ内のリポジトリへ通知します。Dependabotは、依存関係の脆弱性を検知して更新を提案するGitHubの機能です。
通知はセキュリティアラートやバージョン更新として、対象コンポーネントを使うリポジトリへ届きます。
- セキュリティアラート
- バージョン更新の通知
バージョンのアップグレードが必要な場合は、Dependabotが、脆弱なバージョンを修正済みのバージョンへ上げるプルリクエストを開きます。ただし対象リポジトリでDependabotのalertsとupdatesが有効で、アドバイザリのpayloadに修正版を示すfixedフィールドがある場合に限られる点が前提です。
通知が届くのは、対象のコンポーネントを依存として使っているエンタープライズ内のリポジトリです。手作業で影響範囲を洗い出さなくても、依存関係をもとに対象を絞り込めます。
GitHubのInnersourceアドバイザリを使う流れ
アドバイザリの作成から修正提案までの流れを、順を追って整理します。起点は、APIでのアドバイザリ作成です。
API経由でアドバイザリを操作するには、通常の個人アクセストークンでは足りません。enterprise所有のGitHub Appを用意し、enterprise_innersource_vulnerabilities権限を持つinstallation access tokenで認証したうえで、OSV形式(脆弱性情報を記述する共通フォーマット)のペイロードを/enterprises/{enterprise}/innersource-vulnerabilities/syncエンドポイントへPOSTする流れが前提です。
- REST APIで対象コンポーネントのアドバイザリを作成する
- Dependabotがエンタープライズ内の利用リポジトリを検知する
- 該当リポジトリへセキュリティアラートや更新通知が届く
- 必要なら修正版へのプルリクエストが開かれる
作成後のアドバイザリは、状況に応じて更新や取り下げもできます。通知やプルリクエストが届く範囲は、エンタープライズの所有するリポジトリのみです。
GitHubのInnersourceアドバイザリの対象・提供状態
今回の一般提供の対象と前提を、表にまとめます。
| 項目 | 内容 |
|---|---|
| 提供元 | GitHub |
| 機能 | Innersourceセキュリティアドバイザリ |
| 提供状態 | 一般提供(GA) |
| 対象 | GitHub Advanced Securityのエンタープライズ顧客 |
| 可視範囲 | エンタープライズ所有のリポジトリに限定 |
| 運用上限 | エンタープライズごとにアクティブなアドバイザリ2,000件まで |
| 連携 | REST API・Dependabot |
| カテゴリ | サプライチェーンセキュリティ |
より詳しい要件や手順は、公式ドキュメント「Creating and using innersource advisories」で確認できます。
trends編集部の一言
オープンソースのアドバイザリの仕組みを、社内の内製コンポーネントに加えて、独自に扱いたいOSSコンポーネントにも広げられる点が要点です。社外へ出せない脆弱性でも、影響範囲の特定から修正提案までを同じ流れで扱えます。
社内で共有する内製ライブラリが増えるほど、脆弱性の周知は手作業では追いつきにくくなります。まずはGitHub Advanced Securityの契約状況と、内製コンポーネントの共有範囲を確認しておくことが、活用の可否を判断する近道です。
契約状況はエンタープライズの管理者が設定画面(Settings)で確認でき、内製コンポーネントの共有範囲は対象リポジトリの可視性設定で確認できます。
なお、ライセンスが失効している間はアドバイザリを閲覧できず、アラートも届きませんが、データ自体は削除されず、ライセンスを再度有効にすれば元どおり復元されます。
References
- ^ GitHub Changelog. 「Innersource security advisories are generally available」. https://github.blog/changelog/2026-07-08-innersource-security-advisories-are-generally-available, (参照 26-07-10).
- ^ GitHub Docs. 「Creating and using innersource advisories」. https://docs.github.com/enterprise-cloud@latest/code-security/concepts/vulnerability-reporting-and-management/innersource-advisories, (参照 26-07-10).
※本記事は公式発表(GitHub Changelog)を基に編集しています。内容はAIで確認していますが、誤りや最新情報との差異がある場合はコメントよりご報告ください。
