Dependabot、新バージョン検出を 3 日遅延—脆弱性確認の猶予時間を確保

要約

GitHub は Dependabot のデフォルト動作を変更し、新バージョンリリース後 3 日間の待機期間を設けた。この遅延により、メンテナーとセキュリティ研究者が脆弱性を発見・公表する時間が確保され、あなたのコードに未検証のリリースが混入するリスクを低減する。従来は即座に更新 PR が作成されていたが、今後は先発のパッケージ利用者が脆弱性を発見するまで待つことで、サプライチェーン攻撃リスクを軽減する仕組みだ。