Εμπιστευτικά σχόλια στις ειδοποιήσεις ασφαλείας…

Το GitHub πρόσθεσε εμπιστευτικά σχόλια στις ειδοποιήσεις ασφαλείας αποθετηρίων, δίνοντας στους συντηρητές έναν χώρο για εσωτερικό συντονισμό μέσα στην ίδια τη ροή διαχείρισης μιας ευπάθειας. Η νέα δυνατότητα ανακοινώθηκε στις 2 Οκτωβρίου 2026 και αφορά δημόσια αποθετήρια στα οποία έχει ενεργοποιηθεί η ιδιωτική αναφορά ευπαθειών.

Μέχρι τώρα, κάθε σχόλιο σε μια ειδοποίηση ασφαλείας ήταν ορατό σε όλους τους συνεργάτες της, συμπεριλαμβανομένου του ερευνητή που υπέβαλε την αναφορά. Αυτό σήμαινε ότι οι συντηρητές έπρεπε να μεταφέρουν αλλού συζητήσεις για πιθανή κατάχρηση, λεπτομέρειες εσωτερικής διερεύνησης ή σημειώσεις συντονισμού. Το αποτέλεσμα ήταν μέρος του ιστορικού της υπόθεσης να βρίσκεται εκτός της ειδοποίησης.

Με τη νέα επιλογή Confidential, ένα σχόλιο γίνεται ορατό μόνο σε όσους διαθέτουν δικαίωμα εγγραφής στο αποθετήριο. Οι αναφέροντες και οι προσκεκλημένοι συνεργάτες χωρίς αυτό το δικαίωμα δεν μπορούν να το δουν και δεν λαμβάνουν σχετική ειδοποίηση. Τα εμπιστευτικά σχόλια επισημαίνονται καθαρά στο χρονολόγιο της ειδοποίησης, ώστε οι διαχειριστές να τα ξεχωρίζουν από τη συζήτηση που είναι κοινή με τον αναφέροντα.

Η πρόσβαση ακολουθεί τα τρέχοντα δικαιώματα του αποθετηρίου. Αν ένας χρήστης χάσει το δικαίωμα εγγραφής, παύει να μπορεί να διαβάζει τα εμπιστευτικά σχόλια. Παράλληλα, οι προβολές τους καταγράφονται στο αρχείο ελέγχου, παρέχοντας ίχνος πρόσβασης για οργανισμούς που χρειάζονται λογοδοσία στη διαχείριση ευαίσθητων πληροφοριών.

Υπάρχουν δύο σημαντικοί περιορισμοί. Ένα σχόλιο δεν μπορεί να μετατραπεί από κανονικό σε εμπιστευτικό ή το αντίστροφο μετά τη δημοσίευσή του, επομένως η σωστή επιλογή πρέπει να γίνει εξαρχής. Επιπλέον, τα εμπιστευτικά σχόλια είναι διαθέσιμα μέσω του GraphQL API, αλλά δεν επιστρέφονται από το REST API. Ομάδες που έχουν αυτοματοποιήσει τη συλλογή ή την αρχειοθέτηση ειδοποιήσεων οφείλουν συνεπώς να ελέγξουν ποιο API χρησιμοποιούν και ποια δεδομένα πράγματι λαμβάνουν.

Οι ειδοποιήσεις ασφαλείας αποθετηρίων χρησιμοποιούνται για ιδιωτική συζήτηση, ανάπτυξη διορθώσεων και, όταν είναι έτοιμη η ενημέρωση, δημόσια γνωστοποίηση μιας ευπάθειας. Η προσθήκη ενός εσωτερικού επιπέδου συζήτησης δεν αντικαθιστά τη συνεργασία με τον ερευνητή. Επιτρέπει όμως στους συντηρητές να κρατούν ευαίσθητες επιχειρησιακές σημειώσεις στο ίδιο ιστορικό, χωρίς να ανοίγουν παράλληλο κανάλι επικοινωνίας.

Η λειτουργία διατίθεται για δημόσια αποθετήρια με ενεργή ιδιωτική αναφορά ευπαθειών στα GitHub Free, Pro, Team και Enterprise Cloud. Για τις ομάδες ανάπτυξης, η πρακτική αξία βρίσκεται κυρίως στη συγκέντρωση του συντονισμού και στον ακριβέστερο έλεγχο της ορατότητας, με την προϋπόθεση ότι τα δικαιώματα εγγραφής παραμένουν σωστά ρυθμισμένα.

Η συνοδευτική εικόνα αποτελεί ενδεικτική εικονογράφηση AI και όχι πραγματική φωτογραφία ή ακριβή απεικόνιση της υπηρεσίας.

Πηγή: GitHub Changelog — Confidential comments on repository security advisories, GitHub Docs — Repository security advisories.