GitHub, 비활성 저장소 코드 스캐닝 30일 주기 자동 실행 지원

GitHub 공식 변경 로그에 따르면, GitHub는 2026년 6월 9일 코드 스캐닝 기본 설정을 사용하는 조직을 대상으로 비활성 저장소 예약 스캔 기능을 공개했다. 6개월 이상 push나 pull request 활동이 없는 저장소도 보안 점검 대상에서 빠지지 않도록 30일 주기로 자동 스캔할 수 있게 한 것이 핵심이다.

이번 기능은 조직 단위 보안 관리자가 오래된 저장소까지 보안 가시성을 유지하도록 돕는 설정이다. GitHub는 활동이 끊긴 코드베이스가 더 이상 개발되지 않더라도 조직의 보안 범위 안에 남아 있을 수 있다고 설명했다. 저장소가 방치되는 동안 새 취약점이 발견되거나 의존성·코드 경로의 위험 평가 기준이 바뀔 수 있다는 점을 고려한 조치다.

적용 대상은 코드 스캐닝 기본 설정을 사용하는 저장소다. 조직 관리자는 Settings, Advanced Security, Global Settings 메뉴에서 “Keep scheduled scans running every 30 days for inactive repositories” 설정을 켤 수 있다. 설정이 활성화되면 조직의 해당 저장소에 30일 주기 스캔이 적용된다.

GitHub Docs는 코드 스캐닝을 저장소 코드에서 보안 취약점과 코딩 오류를 찾는 기능으로 설명한다. 이번 업데이트는 새 기능을 추가했다기보다 조직 보안 설정의 적용 범위를 비활성 저장소까지 넓힌 성격이 강하다. 보안팀 입장에서는 신규 개발이 없는 저장소도 보안 대시보드와 정책 관리 범위에 계속 포함할 수 있다는 의미가 있다.

다만 GitHub의 설명상 이 설정은 기본 설정 기반 코드 스캐닝 저장소에 적용된다. CodeQL 고급 설정을 쓰는 저장소, 자체 워크플로로 스캔을 운영하는 저장소, 기업별 정책 적용 범위는 조직의 GitHub Advanced Security 구성에 따라 별도 확인이 필요하다.

출처: GitHub Changelog https://github.blog/changelog/2026-06-09-periodic-code-scanning-of-inactive-repositories/
출처: GitHub Docs https://docs.github.com/code-security/how-tos/secure-at-scale/configure-organization-security/establish-complete-coverage/configuring-global-security-settings-for-your-organization