AppSec · 63 giorni fa
La novità non è un difetto di Dependabot, ma il cambio del modello di fiducia: GitHub sta rallentando gli aggiornamenti normali per evitare che un package appena avvelenato finisca subito in una pull request. In questo modo la finestra di rischio torna a essere quella della verifica umana, non la velocità della macchina.
La misura introduce un’attesa di tre giorni solo per i version bump non legati alla sicurezza. Gli update di sicurezza restano immediati; la leva serve a coprire il vuoto di poche ore in cui release malevole di npm possono pubblicarsi, diffondersi e sparire prima che arrivino ai revisori.
Per i flussi che auto-promuovono dipendenze di terze parti, il punto è questo: lasciare correre l’automazione è meno sicuro quando il package può essere compromesso e ritirato nel giro di ore. Il prezzo è meno freschezza, in cambio di un controllo più credibile sulla release che entra in verifica.
2 fonti che coprono questa storia
GitHub Adds 3-Day Dependabot Cooldown to Limit Poisoned Package Adoption
GitHub gives Dependabot version updates a three-day cooldown to curb short-lived poisoned packages, while security fixes still ship immediately.
GitHub delays version updates so malware gets caught first - Help Net Security
The new Dependabot cooldown holds version update pull requests for three days, giving researchers time to catch malicious releases first.
Part of the PlainSec briefing for 2026-07-28