Semgrep v1.162.0, lanzado el 7 de mayo de 2026, introduce mejoras notables en rendimiento y seguridad, esenciales para los flujos de trabajo de QA y desarrollo modernos. Esta actualización menor se centra en optimizar la velocidad de escaneo y fortalecer el manejo de credenciales.

Cambios Clave

Rendimiento y Eficiencia: Un punto destacado es el análisis de reglas JSON 5 veces más rápido. Los archivos de reglas en formato JSON ahora se procesan considerablemente más rápido (por ejemplo, de 134s a 28s para un paquete de reglas de 382MB), gracias a un nuevo parser RFC 8259. Además, el rendimiento de semgrepignore ha mejorado con la adición de índices.

Seguridad y Privacidad: Varias correcciones críticas mejoran la seguridad:

  • semgrep ci ahora redacta credenciales incrustadas en URL y valores de encabezado Authorization de mensajes de error de Git y tracebacks capturados, previniendo fugas de secretos como CI_JOB_TOKEN.
  • Los tokens SCM ya no se transmiten a la Semgrep Platform por semgrep ci.
  • El archivo de log de la CLI de semgrep (~/.semgrep/semgrep.log) ahora respeta el nivel de log solicitado, reduciendo la superficie para credenciales en disco.
  • Las importaciones de reglas jsonnet (import, importstr) ahora rechazan rutas que resuelven fuera del directorio padre del archivo de reglas, y la recursión está limitada para prevenir ataques de denegación de servicio.

Nuevas Funciones y Mejoras:

  • Los usuarios de Semgrep Pro se benefician de un soporte mejorado para el seguimiento de taint a través de funciones anidadas.
  • La identificación de proyectos Scala para el análisis de Supply Chain es más precisa, ahora identificando proyectos por su build.sbt raíz.
  • La herramienta semgrep_findings en MCP ahora incluye un parámetro refs para filtrar hallazgos por rama y hace que autotriage_verdict sea opcional.

Correcciones: Se resolvieron errores de parsing para PHP y Scala durante el parsing altamente paralelo, junto con otras correcciones menores para declaraciones de paquetes Scala y el comportamiento de la herramienta MCP.

Impacto para Equipos de QA

Los equipos de QA experimentarán escaneos de análisis estático más rápidos, especialmente con conjuntos de reglas JSON extensos, lo que resultará en una retroalimentación más ágil en los pipelines de CI/CD. Las funciones de seguridad mejoradas reducen significativamente el riesgo de exposición de credenciales durante las pruebas automatizadas, fortaleciendo la integridad del pipeline. El seguimiento de taint mejorado proporciona una detección más precisa de vulnerabilidades de seguridad.

Fuente Oficial

Para detalles completos, consulte las notas de lanzamiento de Semgrep v1.162.0.