GitHub、コードスキャンのアラート却下理由に「Mitigated」を追加 - WAFで守っている脆弱性を区別

GitHubが2026年8月20日、code scanningのアラートを閉じる理由にMitigatedを追加。脆弱性がコードに残っていてもWAFやネットワークポリシーでリスクが下がっている場合に選べ、「Won't fix」と区別できる。

GitHub code-scanning security DevSecOps governance vulnerability

GitHubが2026年8月20日、code scanning のアラートを閉じるときの理由に Mitigated（緩和済み）を追加した¹。脆弱性そのものはコードに残っているが、Webアプリケーションファイアウォールやネットワークポリシーといったコードの外側の統制でリスクが下がっている、という状況を選べるようにするものだ¹。

GitHubは、この理由を使うことで緩和済みの脆弱性を「Won’t fix（修正しない）」と印を付けたアラートと区別でき、却下の操作を正式な例外承認・リスク受容の手続きと揃えられるとしている¹。こうした判断をGitHubの外で管理する必要が減る、というのが同社の説明だ¹。対象プランや提供範囲についての記載は今回のchangelogにない。同社は前日にも組織全体のコード品質の推移を見る「Trends」タブを一般提供しているが、そちらは Code Quality の話で、今回とは別の面にあたる。