GitHub đã triển khai chính sách trì hoãn mặc định ba ngày cho các bản cập nhật phiên bản Dependabot. Thay đổi này nhằm mục đích giảm thiểu đáng kể mối đe dọa mạng từ việc các dự án tự động tiếp nhận các gói phần mềm độc hại mới.
Chính sách này được thiết kế để chống lại một mô hình tấn công phổ biến trong chuỗi cung ứng phần mềm. Kẻ tấn công thường chiếm quyền kiểm soát tài khoản của người duy trì gói đáng tin cậy, sau đó phát hành một bản cập nhật chứa mã độc. Các công cụ quản lý dependency tự động sau đó sẽ phân phối mã độc này trước khi gói bị phát hiện và gỡ bỏ.
Nguồn Gốc Mối Đe Dọa: Tấn Công Chuỗi Cung Ứng Phần Mềm
Vào tháng 9 năm 2025, các báo cáo cho thấy một nhà duy trì npm đã bị tấn công lừa đảo. Kẻ tấn công đã sử dụng quyền truy cập này để phát hành các phiên bản trojan hóa của các gói phổ biến, bao gồm chalk và debug.
Kịch Bản Tấn Công Mã Độc npm
Các gói bị ảnh hưởng có hơn 222 tỷ lượt tải xuống mỗi tuần. Mã độc được chèn vào đã thay thế các địa chỉ ví tiền điện tử trong các ứng dụng dựa trên trình duyệt.
Điều này có khả năng chuyển hướng thanh toán đến các ví do kẻ tấn công kiểm soát, gây thiệt hại tài chính nghiêm trọng cho người dùng cuối.
Mặc dù npm đã loại bỏ các bản phát hành độc hại này trong vòng khoảng hai giờ, khoảng thời gian đó vẫn đủ để các hệ thống cập nhật tự động xác định các phiên bản mới và tạo các pull request trong các kho lưu trữ downstream.
Các nhóm đã hợp nhất các pull request này mà không xem xét cẩn thận có thể đã vô tình đưa dependency độc hại vào ứng dụng của họ, làm tăng mối đe dọa mạng.
Cơ Chế Hoạt Động Của Dependabot
Dependabot là công cụ quản lý dependency của GitHub, thực hiện hai chức năng riêng biệt. Nó đóng vai trò quan trọng trong việc duy trì an ninh mạng cho các dự án phát triển phần mềm.
Phân Biệt Cập Nhật Phiên Bản và Cập Nhật Bảo Mật
- Cập nhật bảo mật Dependabot: Xử lý các lỗ hổng đã biết bằng cách tạo các pull request cho các phiên bản đã được vá lỗi. Các cập nhật này được mở ngay lập tức để đảm bảo thời gian phản hồi nhanh nhất có thể.
- Cập nhật phiên bản Dependabot: Làm mới các gói khi có các bản phát hành mới, ngay cả khi không có lỗ hổng bảo mật nào được biết đến. Đây là loại cập nhật chịu ảnh hưởng bởi chính sách trì hoãn mới.
Chính sách trì hoãn ba ngày mới chỉ áp dụng cho các cập nhật phiên bản tiêu chuẩn. Các cập nhật bảo mật Dependabot vẫn sẽ được mở ngay lập tức.
Việc trì hoãn một bản vá bảo mật cho một lỗ hổng đã được công bố công khai có thể khiến các dự án gặp rủi ro nghiêm trọng trước các mối đe dọa mạng đã biết.
Chính Sách Trì Hoãn Mới và Lợi Ích
GitHub đã tuyên bố rằng giai đoạn trì hoãn này cung cấp thêm thời gian cho các nhà duy trì gói, các nhà nghiên cứu bảo mật, các nhà điều hành registry và các hệ thống quét tự động.
Thời gian chờ này cho phép họ xác định và loại bỏ các bản phát hành độc hại trước khi chúng tiếp cận các nhóm phát triển. Điều này góp phần củng cố an ninh mạng tổng thể.
Chính sách bảo vệ này được bật theo mặc định, dựa trên bằng chứng rằng các gói độc hại thường được phát hiện nhanh chóng.
GitHub đã tham chiếu các sự cố liên quan đến các bản phát hành bị xâm phạm của axios, @solana/web3.js, ua-parser-js và Ledger Connect Kit, nơi các phiên bản bị nhiễm độc thường được xác định trong vài giờ.
Tùy Chỉnh Thời Gian Trì Hoãn
Các nhà duy trì kho lưu trữ có thể sửa đổi độ trễ thông qua cấu hình cooldown trong tệp dependabot.yml. Điều này cho phép các tổ chức điều chỉnh chính sách theo mức độ chấp nhận rủi ro của riêng họ.
Các tổ chức có thể định cấu hình một độ trễ ngắn hơn hoặc dài hơn, bao gồm các chính sách riêng biệt cho các gói nội bộ và các registry công khai. Việc này giúp họ chủ động hơn trong việc quản lý mối đe dọa mạng.
Giai đoạn chờ ba ngày được thiết kế để giảm thiểu thời kỳ rủi ro cao ngay sau khi xuất bản, đồng thời vẫn giữ cho các dependency tương đối cập nhật.
Tình Hình Mã Độc npm và Các Sự Cố Liên Quan
Cơ sở dữ liệu Advisory của GitHub cũng nhấn mạnh quy mô ngày càng tăng của hoạt động mã độc npm, thể hiện một mối đe dọa mạng đáng kể.
Trong năm kết thúc vào tháng 5 năm 2026, cơ sở dữ liệu đã ghi nhận hơn 6.500 cảnh báo mã độc npm, so với khoảng 6.200 cảnh báo trong năm trước đó. Con số này tương đương với khoảng 18 gói npm độc hại được lập danh mục mỗi ngày.
Sự gia tăng này chỉ ra tầm quan trọng của các biện pháp phòng ngừa như chính sách trì hoãn của Dependabot để củng cố an ninh mạng.
Giới Hạn và Các Biện Pháp Bảo Vệ Bổ Sung
GitHub đã cảnh báo rằng các chính sách trì hoãn không phải là một giải pháp toàn diện cho software supply chain attacks. Chúng có thể không ngăn chặn được các backdoor dài hạn, hành vi độc hại từ các nhà duy trì đáng tin cậy, hoặc sự xâm phạm vào cơ sở hạ tầng xây dựng và phát hành. Để biết thêm chi tiết, bạn có thể tham khảo bài viết chính thức từ GitHub về vấn đề này: The case for a cooldown: Why Dependabot now waits before issuing version updates.
Các nhóm phát triển cần kết hợp tính năng này với các biện pháp bảo mật khác để đạt được hiệu quả tối đa trong việc giảm thiểu mối đe dọa mạng.
Các biện pháp này bao gồm việc sử dụng các tệp khóa (lockfiles), xem xét pull request thủ công, token CI/CD bị hạn chế, và các kiểm soát vô hiệu hóa tập lệnh cài đặt dependency bất cứ khi nào có thể.
Lớp bảo vệ mới này giúp các nhà phát triển tránh đặt niềm tin tự động vào mọi phiên bản mới được xuất bản, từ đó tăng cường an ninh mạng cho toàn bộ hệ sinh thái phần mềm.
