CodeQL 2.27.0 新增对 Linux ARM64 的支持

事件核心：发生了什么

GitHub 于 2026 年 9 月 9 日发布 CodeQL 2.27.0 版本。此次更新最直接的变动是 CodeQL CLI 现在支持在 Linux arm64 架构上原生运行，用户可从 per-platform release assets 中下载对应的 linux-arm64 版本，这改变了此前 ARM 环境主要依赖模拟或通用包的局面。

功能层面，CodeQL 2.27.0 为 Rust 新增了 rust/command-line-injection 查询，用于检测不可控的命令行执行；C/C++ 方面增加了 PostgreSQL libpq 系列函数（如 PQexec、PQprepare 等）作为 SQL 注入汇点；Java/Kotlin 新增了对 Micronaut 框架的建模，覆盖 HTTP 控制器、WebSocket 端点、配置注入与安全注解等场景。C# 侧则改进了 ASP.NET Core MVC 控制器与 action 发现逻辑，使其更贴近实际运行行为。

GitHub 同时通过默认设置集成支持组织级私有仓库权限，用户在获取自定义查询或包时，可以借助既有私有注册表配置完成与容器仓库或 GitHub API 的认证。未来版本中，通用 multi-platform codeql.zip 分发将被移除，官方建议直接选用对应平台的分发包。

为什么重要

ARM64 原生支持的落地，意味着 CodeQL 在 Linux ARM 服务器及 Apple Silicon 虚拟化环境中的分析效率与可用性会明显提升。此前维护者若在 ARM 机器上运行大规模代码扫描，往往需要绕行模拟层或维护额外构建链路，这一更新直接减少了一类工程摩擦。

从能力演进来看，新增的 Rust 安全查询与 Micronaut 建模填补了先前覆盖相对薄弱的区域。Rust 在现代基础设施与 AI 工具链（如推理运行时、向量数据库）中的采用率持续走高，而 Micronaut 在 Java 服务端的份额也在增长。CodeQL 的扩展方向表明 GitHub 正在系统性地加固 AI 相关基础软件常用的语言与框架组合。

另一个值得注意的信号是 Java 9/10 支持被弃用（2027 年 1 月移除），这反映出静态分析工具链正在主动收敛维护窗口，将资源投向仍在活跃使用的版本区间。

对用户/开发者/创作者的影响

如果你维护开源项目或企业内部仓库且使用 GitHub code scanning 默认设置，本次更新不需要手动操作——GitHub 会自动部署新版本，扫描覆盖面会随之扩大，可能出现少量新增告警。特别是使用 GitHub Actions 且依赖事件负载中 author-association 字段做权限校验的仓库，在 2.27.0 下可能收到更多告警，因为这些校验现在仅在事件负载确实提供相关字段时才被视为有效保护。

AI 工具推荐

想把多个 AI 模型放在一个入口？

GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。

了解 GamsGo AI

推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。

对在 Linux ARM64 上自托管 CodeQL CLI 的团队，下载对应平台资产即可原生运行，无需再担心通用包未来的移除计划。使用 C# 并涉及 OData 接口或 NuGet 依赖分析的开发者，会观察到更完整的依赖恢复与更准确的 taint 检测。

需要留意的是，如果你目前仍在使用 Java 9/10，迁移到受支持的 Java 版本并不是紧迫问题（截止 2027 年初），但值得纳入技术债规划。通过私有 Git 源或 Docker 镜像拉取自定义查询包的团队，现在可以直接复用组织的私有注册表凭证，减少了在 CI 中额外配置密钥的成本。

值得关注的后续

一是 Rust 查询生态的扩展节奏。本次只新增了一条 command-line injection 查询，后续能否覆盖更多常见漏洞模式（如 unsafe 代码中的数据竞争或 panic 路径）值得跟踪。

二是多平台分发的迁移过渡。通用 codeql.zip 即将被移除，社区内基于该分发包的自动化脚本是否能在接下来的版本窗口内完成适配，会直接影响部分 CI 管线的稳定性。

三是 Java 版本弃用的连锁反应。CodeQL 弃用 Java 9/10 可能与上游依赖生态的支持策略变化有关，持续观察其他安全工具是否会同步调整 Java 支持范围，有助于提前规划基础镜像与构建环境的升级节奏。

来源：GitHub Changelog