GitHub cảnh báo CodeQL gặp giới hạn trên macOS 27, Xcode 27 và Swift 6.4

Ngày 19/10/2026, GitHub cập nhật hướng dẫn tương thích CodeQL với macOS 27, Xcode 27 và Swift 6.4. Đây là thông tin cần chú ý với nhóm đang dùng GitHub Actions để quét bảo mật mã nguồn trong pipeline CI/CD. ## Vì sao CodeQL bị ảnh hưởng? GitHub giải thích rằng Apple đã loại bỏ thành phần mã Intel x86_64 trong một số thư viện và tệp thực thi hệ thống. Những thành phần đó từng được CodeQL sử dụng để theo dõi quá trình build và trích xuất dữ liệu phục vụ phân tích. Theo thông báo chính thức, khi cài Xcode 27, chế độ traced extraction không còn khả dụng cho C/C++, C#, Go, Java, Kotlin và Swift. Trên macOS 27, quá trình trích xuất có theo dõi build cũng có thể không hoạt động. Riêng Swift 6.4 hiện không được CodeQL hỗ trợ trên bất kỳ nền tảng nào. GitHub cũng dự kiến ngừng hỗ trợ CodeQL trên Mac Intel vào giữa tháng 12/2026. ## Những pipeline nào cần kiểm tra ngay? Rủi ro xuất hiện khi workflow sử dụng runner macOS mới nhất hoặc toolchain Xcode mới nhất mà không cố định phiên bản. Nếu runner tự động nâng cấp, bước phân tích có thể thất bại dù mã ứng dụng không thay đổi. GitHub khuyến nghị các dự án cần traced build hoặc phân tích Swift ghim workflow về macOS 26 và Xcode 26 hoặc các phiên bản cũ hơn. Với C/C++ và Java, một giải pháp có thể cân nhắc là chế độ `build-mode: none`, không phải theo dõi biên dịch. Hỗ trợ cụ thể phải được xác nhận theo ngôn ngữ và phương pháp phân tích. ## Checklist cho DevSecOps Trước khi nâng cấp runner, nhóm vận hành nên kiểm tra phiên bản image của GitHub Actions, phiên bản Xcode được chọn, chế độ build trong cấu hình CodeQL và tình trạng thực thi thực tế của job quét bảo mật. Nên thử nghiệm trên nhánh riêng và xác nhận rằng workflow vẫn tạo được kết quả phân tích hợp lệ; pipeline báo xanh nhưng bỏ qua bước quét cũng là một rủi ro. **Nguồn GitHub Changelog (19/10/2026):** https://github.blog/changelog/2026-10-19-codeql-changes-for-macos-27-xcode-27-and-swift-6-4/