Dependabot задерживает оповещения об уязвимостях Python и Go на месяц

Анализ показал, что GitHub в 2026 году проверяет CVE для PyPI и Go в среднем за 36 дней вместо одного дня: доля проверок в течение 30 дней упала с 88% до 31%. Критические уязвимости ждут столько же, а Dependabot не оповещает до проверки.

• Доля CVE PyPI и Go, проверенных за 30 дней, упала с 88% до 31%
• PyPI: с 81% до 34%, Go: с 96% до 27%, типичное ожидание — 36 дней
• Критические CVE ждут так же долго: 7 CVE в x/crypto проверены через 34 дня
• 36 CVE с мая по середину сентября так и не проверены на 16 октября