GitHub с 2 декабря 2026 года заблокирует pull_request_target

Компания GitHub объявила о важных изменениях в политике безопасности сервиса автоматизации GitHub Actions, которые затронут разработчиков по всему миру. Начиная со 2 декабря 2026 года, платформа начнет по умолчанию блокировать запуск сценариев автоматизации по событию pull_request_target в публичных репозиториях. Данное решение направлено на повышение уровня безопасности проектов и предотвращение несанкционированного доступа к конфиденциальным данным.

• С 2 декабря 2026 года событие pull_request_target будет блокироваться по умолчанию в публичных репозиториях.
• Основная причина изменений — высокий риск выполнения непроверенного кода с доступом к секретам проекта.
• Администраторы могут заранее проверить свои workflow в разделе Policy insights и настроить исключения.
• Новые правила затрагивают тарифные планы GitHub Free, GitHub Team и GitHub Enterprise Cloud.

Причины изменения безопасности и риски pull_request_target Событие pull_request_target традиционно используется в GitHub Actions для запуска автоматических задач при обработке запросов на слияние изменений, включая PR из внешних форков. С его помощью разработчики настраивали автоматическое добавление меток, приветственных комментариев или проверку контрибьюции. Однако ключевая уязвимость заключается в том, что такие сценарии выполняются в контексте основного репозитория и получают полный доступ к его секретам и токенам. Если в таком сценарии непреднамеренно запускается или обрабатывается непроверенный код из стороннего форка, злоумышленники получают потенциальную возможность похитить секретные ключи доступа и полностью скомпрометировать весь процесс непрерывной интеграции и доставки (CI/CD). Новая политика призвана минимизировать подобные векторы атак.

Тестовые блокировки и график внедрения Прежде чем ввести постоянные ограничения, команда GitHub предусмотрела переходный период, чтобы разработчики успели адаптировать свои инфраструктурные скрипты. В настоящее время ограничение функционирует в специальном режиме оценки, где воркфлоу продолжают выполняться, но администраторы уже могут выявить потенциальные проблемы в настройках. Для проверки готовности инфраструктуры платформа проведет две временные тестовые блокировки: 9 ноября и 16 ноября 2026 года в период с 16:00 до 18:00 UTC. В эти часы затронутые сценарии выполняться не будут, а система сгенерирует записи о неудачном запуске с соответствующими ошибками. После каждого тестового окна платформа вернется в оценочный режим вплоть до окончательного включения защиты 2 декабря.

Что нужно сделать разработчикам и администраторам Всем мейнтейнерам публичных репозиториев рекомендуется заблаговременно проверить свои проекты и принять необходимые меры. Первым шагом стоит зайти в раздел Policy insights в настройках GitHub Actions, чтобы оценить, какие именно сценарии подпадают под ограничения. Если автоматизация не критично зависит от pull_request_target, рекомендуется перевести её на использование более безопасного события pull_request. В случае, если без рассматриваемого события обойтись невозможно, администраторам потребуется явно разрешить его в политике безопасности репозитория, при необходимости ограничив список разрешенных файлов сценариев. Стоит помнить, что само по себе разрешение не устраняет риски безопасности, поэтому GitHub настоятельно рекомендует избегать выполнения небезопасного кода со сторонних аккаунтов.