Inside the Advisory Database and what happens when vulnerability volume breaks records
GitHub Blog · 2026-06-29 · Security / Supply chain security
5월 GitHub Advisory Database는 한 달에 심사된 어드바이저리 1,560건을 발행하며 기록을 세웠지만, 동시에 플랫폼 전체에서 유입되는 취약점 리포트가 폭증해 처리 지연을 초래했다고 보고합니다. 3~5월에 걸쳐 월간 의사결정이 6,000건을 넘었고, 개인 리포트는 주당 대략 550건에서 3,000건 이상으로, 저장소 어드바이저리는 주당 650건에서 5,000건 이상으로 각각 증가했으며 GitHub CNA의 CVE 요청도 5월에 거의 4,000건에 달했습니다. 이 결과로 새 어드바이저리의 검토 시간이 처음에는 약 일주일, 이후 일부는 수주로 늘어났으나 데이터 파이프라인과 퍼블리싱 인프라는 정상 운영되고 검증된 리뷰 결과는 여전히 사람에 의한 확인(assignment율 91–94%)을 유지하고 있다고 설명합니다. 핵심 병목은 ‘처리량(throughput)’이며, 단순히 건수가 늘어난 것뿐 아니라 패키지 생태계 식별, 버전 범위 재구성, 다중 생태계 영향, 상충하는 상류 데이터 정정 등 복잡한 조사 작업이 비중을 키운 것이 더 큰 원인입니다. GitHub은 품질 기준을 유지하면서 처리 속도를 개선하기 위해 여러 대응을 병행하고 있습니다. 높은 품질 제출을 조기에 식별하는 강화된 트리아지, 백엔드 용량 확장, 큐 관리·분석용 데이터 인프라 현대화, 그리고 조사 단계에서 큐레이터를 돕는 AI 지원 도구와 상류 CVE 정보로부터 더 많은 데이터를 추출하는 자동화 기능을 배치했습니다. 또한 문서화와 교육을 늘려 신규 인력 온보딩 속도를 높이고, 향후에는 반복 패턴을 가속화하는 툴, 패키지 사용량·활용 증거 등을 반영한 리스크 기반 우선순위, 상류 데이터와의 피드백 루프 강화에 투자할 계획입니다. 기술 사용자에게 주는 실무적 권고로는 레지스트리에 일치하는 패키지 이름 사용, 모든 영향을 받는 패키지 명시, 완전한 CVSS 벡터와 관련 CWE 제공, CVE 요청은 공개 의도가 있을 때만 요청하는 점 등으로, 이런 입력 개선이 큐레이터의 작업 시간을 크게 줄여 전체 생태계의 속도와 정확성을 높인다는 점을 강조합니다. Dependabot과 API 이용자는 기존에 검증된 데이터가 신뢰할 수 있으나 미검증 어드바이저리는 검증 전 상태로 보일 수 있음을 유의해야 합니다. 근본적으로 보고된 증가는 투명성 확대의 신호이자 시스템 설계 한계에 대한 시험대이며, GitHub는 인간 검증을 유지하면서 규모에 맞춘 자동화와 협업 개선으로 대응하고자 합니다.