GitHub Advisory Database が OpenSSF の malicious-packages リポジトリ由来のマルウェアアドバイザリを自動取り込みするようになった。Dependabot のマルウェアアラートは、この拡大したデータに依存関係を照合する。対象は npm に加え PyPI など追加エコシステムを含む。アドバイザリ一覧では type:malware フィルタで閲覧できる。
マルウェアアラートを既に有効にしているリポジトリ／組織は、追加設定なしで新しいアドバイザリの照合対象になる。未設定の場合は Settings → Advanced security → Dependabot の Malware alerts を有効にする。