GitHub блокуватиме pull_request_target за замовчуванням з 2 грудня
Платформа переносить запуск захисту на початок грудня, змушуючи розробників перевіряти налаштування публічних репозиторіїв заради безпеки секретів.
GitHub оголосив про зміни у правилах безпеки GitHub Actions. З 2 грудня 2026 року платформа за замовчуванням блокуватиме запуск сценаріїв автоматизації за подією pull_request_target у публічних репозиторіях. Спочатку обмеження планували ввести 2 листопада, але термін перенесли на місяць.
Подія pull_request_target дозволяє запускати автоматизацію, наприклад, для призначення міток або додавання коментарів, під час роботи із запитами на включення змін із форків. Проблема полягає в тому, що такі сценарії виконуються в контексті основного репозиторії та отримують доступ до його секретів. Якщо сценарій запускає неперевірений код із стороннього форку, це створює ризик викрадення секретів або компрометації CI/CD процесу.
Перед остаточним увімкненням захисту GitHub проведе дві тимчасові блокування: 9 листопада та 16 листопада 2026 року з 16:00 до 18:00 UTC. У ці проміжки відповідні сценарії не виконуватимуться, а система створюватиме записи про помилки. З 2 грудня блокування стане постійним.
Адміністраторам публічних репозиторіїв радять до 9 листопада перевірити розділ Policy insights у налаштуваннях GitHub Actions. Якщо без події не обійтися, її доведеться явно дозволити у політиках безпеки. Зміна стосується всіх публічних репозиторіїв на тарифах GitHub Free, GitHub Team та GitHub Enterprise Cloud, тоді як приватні репозиторії та GitHub Enterprise Server це правило не зачіпає.
Джерело: habr
Коментарі
Допоможи покращити наступну версію: Додавай контекст або пропонуй виправлення. Після AI-перевірки коментарі можуть отримати бали для переписування. Перевірка й оновлення потребують часу; повна шкала не гарантує нової версії.