GitHub добавил конфиденциальные комментарии в обсуждение уязвимостей

2 октября GitHub добавил конфиденциальные комментарии к repository security advisories, карточкам обсуждения уязвимостей проекта. Их видят только люди с правом записи в репозиторий. Автор сообщения и приглашённые участники без такого права комментарий не видят и не получают уведомление.

Доступ следует текущим разрешениям: потеряв право записи, человек теряет и возможность читать закрытое обсуждение. Просмотры таких комментариев фиксируются в журнале аудита.

Это продолжение изменений в работе с сообщениями об уязвимостях. Вчера мы разобрали ограничения потока новых отчётов: лимиты регулируют количество, а закрытые комментарии регулируют видимость обсуждения.

При мониторинге и безопасности сайта важно согласовать права доступа к сведениям об уязвимостях. Закрытые комментарии помогают организовать обсуждение, но сами по себе не исправляют уязвимость.

Кому виден внутренний комментарий

Функция полезна командам, которым нужно обсудить сообщение безопасности внутри репозитория. Уровень видимости следует выбрать до публикации.

Например, команда уточняет детали разбора, которые пока не должны попасть во внешнее обсуждение. Конфиденциальность определяется правами участников, а не названием сообщения.

В компании «Гуси-Лебеди» мы рекомендуем выбирать видимость до отправки сообщения. Проверьте состав пользователей с правом записи и назначение комментария. Учитывайте невозможность переключить уже опубликованный комментарий в другой режим видимости.

В мониторинге и безопасности управление видимостью обсуждения должно опираться на фактические права участников.

Источник: анонс разработчика. Дата события: 02.10.2026.