Dependabot、バージョン更新に3日間のクールダウンをデフォルト導入

Dependabot version updates introduce default package cooldown

GitHubは、Dependabotのバージョン更新にデフォルトのクールダウン期間を導入した。新リリースがレジストリに公開されてから3日間待ってから、更新プルリクエストを開く。これは、サプライチェーン攻撃の入口となる不正なリリースが、メンテナーやコミュニティが気付く前に取り込まれるのを防ぐため。セキュリティ更新は即座に行われ、`.github/dependabot.yml`の`cooldown`オプションで期間変更や無効化が可能。github.comの全エコシステムに適用され、GHES 3.23以降で利用可能。