CodeQL 2.26.4 上線：GitHub 自動掃描會挑出更多 Actions 問題，你的專案可能突然多出警告（2026-09 實查）

CodeQL 是 GitHub 程式碼掃描（code scanning）背後的分析引擎——你在 repo 的 Security 分頁看到的那些安全警告，多半是它產生的。GitHub 於 2026-09-03 發布 CodeQL 2.26.4，而且官方明說：新版本會自動部署給所有 github.com 上使用 code scanning 的使用者。

意思是你不必做任何事，下次掃描就是新版在跑。這篇把官方公告翻成白話，重點放在「哪些改動會讓你的專案突然多出警告」。查核日 2026-09-07。

一、語言支援：Go 1.27 進來了

官方列的第一項就是 CodeQL 現在支援 Go 1.27。用 Go 的專案如果剛升級到 1.27，掃描不會再因為語法不認得而漏掉東西。

其他語言的更新：

• Rust：資料流查詢的警告位置變精準了，改成以實際的來源節點與接收節點為準。官方特別提醒一個副作用——有些警告會換位置，於是舊警告關閉、新警告出現。看起來像是「突然冒出新問題」，其實是同一個問題換了標示位置。
• Java／Kotlin：新增 Spring R2DBC DatabaseClient 與 R2DBC SPI 的 SQL injection 接收點模型；String.valueOf(Object) 在參數是字串類型時也會傳遞污染資料。白話講就是：以前一些會漏掉的 SQL 注入路徑，現在抓得到了。
• JavaScript／TypeScript：支援使用 d 旗標的正規表達式，以及 React Native Worklets 的 worklet 指示詞。
• Python：list.extend 與 list.insert 現在也會傳遞污染資料，跟原本就支援的 list.append 一致。

二、真正會影響最多人的是 GitHub Actions 那段

這一段值得逐條看，因為 Actions 的工作流程幾乎每個團隊都有：

1. 從事件內容讀出來的「操作者」欄位，不再一律算數。

官方原文說的是：對 github.event.pull_request.user.login 這類 actor 欄位所做的檢查，現在只有在該事件真的會填入那個欄位時，才算是一層保護。

白話：很多人在工作流程裡寫「如果發起者是某某人才執行」當成安全閘門。但有些事件類型根本不會提供那個欄位，這時候你的判斷等於形同虛設。新版把這件事看穿了，所以使用 ControlCheck 的查詢可能會產生更多警告。

2. actions/unpinned-tag 查詢現在也會抓可重複使用工作流程的可變參照。

白話：你引用別人的 workflow 時如果只寫分支名或可變標籤（而不是釘死某個 commit SHA），對方改內容時你會直接吃到新版本——這是供應鏈風險。新版把「可重複使用工作流程」也納入檢查範圍。

3. EnvironmentCheck 現在可以透過 models-as-data 指定。 同時官方提醒：使用 ControlCheck 的查詢可能找到更多結果，因為「環境」不再一律被當成足夠的淨化手段。

白話：用 GitHub Environment 加審核當保護，過去掃描器會認可為安全；現在不會無條件放行了。

三、看到警告變多，先別急著改程式

這次更新有一個很重要的心理準備：掃描警告數上升，多半不代表你的程式碼變差，而是掃描器變嚴。

三種常見情況：

• Rust 專案：舊警告關閉、新警告開啟，同一個問題換位置。
• 有 Actions 工作流程的專案：本來就存在的弱保護（actor 欄位檢查、未釘死的可重複使用工作流程、把 Environment 當萬用護欄）被揭露出來。
• Java 專案用到 R2DBC：新的注入路徑被納入偵測範圍。

處理順序建議：先看 Actions 那三條。工作流程的權限問題一旦被利用，影響是整個 repo 的機密與發布流程，比大多數應用層警告嚴重。

四、GitHub Enterprise Server 使用者要注意

官方寫明：新功能會納入未來的 GHES 版本；如果你用的是較舊的 GHES，可以手動升級 CodeQL。也就是說，自架的團隊不會自動拿到這次的偵測強化，得自己動手。

反過來說，github.com 上的團隊沒有選擇——它已經在跑了。

如果你的工作流程正好要處理 runner 版本淘汰，官方同一週也開了新的 REST API，我們整理在 GitHub Actions runner 淘汰查詢 API。

本文依據 GitHub 官方 changelog（2026-09-03，CodeQL 2.26.4 improves GitHub actions security detections） 直讀整理，查核日 2026-09-07。完整變更清單請見 CodeQL 官方 changelog。GitHub 相關方案價格整理見 GitHub Copilot 工具頁。