GitHub, Dependabot 버전 업데이트에 3일 기본 대기 적용

GitHub 공식 변경 로그에 따르면 Dependabot은 앞으로 패키지 레지스트리에 새 버전이 공개된 뒤 최소 3일이 지나야 일반 버전 업데이트 풀 리퀘스트를 생성한다. 별도 설정 없이 적용되는 기본 정책이다.

GitHub는 새 패키지 버전이 소프트웨어 공급망 공격의 진입점이 될 수 있다는 점을 변경 배경으로 들었다. 손상되거나 문제가 있는 버전이 공개 직후 자동 업데이트 흐름에 들어오면, 유지관리자와 개발자 커뮤니티가 이상 징후를 발견하기 전에 프로젝트에 반영될 수 있다는 설명이다.

이번 조치는 업데이트 속도를 일률적으로 늦추는 방식은 아니다. 알려진 취약점을 고치는 Dependabot 보안 업데이트는 기존처럼 즉시 풀 리퀘스트를 생성한다. 일반 기능·유지보수 버전에는 관찰 시간을 두되, 긴급 보안 패치의 전달 속도는 유지하는 구조다.

저장소 관리자는 .github/dependabot.yml 파일의 cooldown 옵션을 이용해 대기 기간을 조정하거나 기본 정책을 해제할 수 있다. 조직의 배포 주기와 위험 허용 수준에 따라 자동화 속도와 검증 시간을 선택할 수 있도록 한 것이다.

기본 대기 정책은 github.com에서 Dependabot이 지원하는 모든 패키지 생태계의 버전 업데이트에 적용된다. 자체 구축형 GitHub Enterprise Server에서는 3.23 버전부터 반영될 예정이다.

이번 변경은 자동 업데이트를 가장 빠른 버전 채택 수단으로만 보지 않고, 공급망 위험을 흡수하는 통제 지점으로 활용하려는 흐름을 보여준다. 다만 3일의 대기만으로 악성 패키지나 결함을 모두 탐지할 수 있는 것은 아니므로, 조직은 의존성 검토와 잠금 파일 관리, 빌드 출처 검증 등 기존 통제를 함께 운영할 필요가 있다.

출처: GitHub Changelog(https://github.blog/changelog/2026-07-14-dependabot-version-updates-introduce-default-package-cooldown/), GitHub Docs(https://docs.github.com/en/code-security/reference/supply-chain-security/dependabot-options-reference)