GitHub の脆弱性報告に1日単位の件数制限、信頼する報告者は allow list で除外

GitHub の private vulnerability reporting（非公開の脆弱性報告）に、1つのアカウントが1日に出せる新規報告の件数を抑えるレート制限が入った。GitHub Changelog の2026年10月1日付の項目による。件数は、そのリポジトリ宛てと GitHub 全体の両方で数えられる。

メンテナー側で触れる設定は2つある。リポジトリ全体で1日に受け付ける報告の上限と、制限をかけない報告者を登録する allow list だ。対象は private vulnerability reporting を有効にした public リポジトリで、プランは GitHub Free、GitHub Pro、GitHub Team、GitHub Enterprise Cloud。既定の上限が何件なのかは、changelog には載っていない。

報告者とのやり取りは止まらない

制限の対象は新しい報告の作成だけだ。changelog は、既存の advisory へのコメントは影響を受けないと明記している。報告を受けたあとの再現手順の確認や修正方針のすり合わせは、advisory 上のコメントで続けられる。

上限に達した報告者には、時間をおいて再度試すよう求めるメッセージが表示される。GitHub はこの変更の理由として、低品質な報告や自動化された報告が増え、本当に重要な報告が埋もれていることを挙げている。一括送信や自動送信を抑えつつ、正当なリサーチャーは引き続きメンテナーに届けられる、というのが changelog の説明だ。

既定の制限に重ねられる2つの設定

ユーザー単位の制限は GitHub 側で自動的にかかる。メンテナーが足せるのは次の2つで、効く範囲が違う。

設定	数える単位	使いどころ
リポジトリの1日あたり上限（custom daily overall reporting limit）	そのリポジトリへの報告全体	1日に捌ける件数を超える流入を止めたいとき
信頼できる報告者の allow list	登録したアカウント	付き合いのあるリサーチャーを制限から外したいとき

出典：GitHub Changelog「Rate limits for private vulnerability reports」（2026年10月1日）

上限を設定できるのも allow list に追加できるのも、リポジトリの管理者だ。allow list に入った報告者について、changelog は「never rate limited」（訳: 決してレート制限されない）と書いている。ただ、外れるのがリポジトリの上限だけなのか、GitHub 全体で数える上限も含むのかは、項目ごとには説明されていない。リポジトリの上限に達したとき、ほかの報告者にどう表示されるかも書かれていない。この2点は、運用で上限を低めに絞る前に確かめておきたい。

同じ日に入った報告フォームとは役割が分かれる

同じ2026年10月1日、非公開の脆弱性報告には構造化フォームも入った。既定では summary、details、proof of concept（150文字以上）、impact の4項目が必須になる。.github/VULNERABILITY_REPORT.yml で項目を変えられるほか、送信前に CWE の指定を求めることもできる。対象のリポジトリとプランはレート制限と同じだ。

2つの変更が抑える対象は違う。フォームは1件ごとの中身の薄さを、レート制限は件数の多さを抑える。どちらか片方だけでは、低品質な報告の大量送信は防ぎきれない。

設定画面の場所と、決めておくこと

設定はリポジトリの Settings から Advanced Security を開き、「Private vulnerability reporting」の横にある Settings をクリックした先にある。構造化フォームの CWE 必須化も、同じ Advanced Security 配下の Private vulnerability reporting から設定する。

手を付ける順番としては、まず過去に有効な報告をくれたリサーチャーを allow list に入れておくと、上限を絞ったときに彼らの報告まで止めずに済む。リポジトリ全体の上限は、トリアージに割ける人手から逆算して決めることになる。数字の目安は GitHub から示されていない。private vulnerability reporting を有効にしていない public リポジトリや、private リポジトリは今回の対象外だ。