GitHub 2026-yil 2-dekabrdan pull_request_target'ni bloklaydi

GitHub platformasi GitHub Actions xavfsizlik qoidalariga jiddiy o'zgartirishlar kiritilishini e'lon qildi. 2026-yil 2-dekabrdan boshlab platforma ommaviy (public) repozitoriyalarda pull_request_target hodisasi orqali ishga tushadigan avtomatlashtirish ssenariylarini sukut bo'yicha bloklaydi. Ushbu qaror loyiha sirlariga ruxsatsiz kirish xavfini kamaytirish va xavfsizlikni ta'minlashga qaratilgan.

• 2026-yil 2-dekabrdan boshlab pull_request_target ommaviy repozitoriyalarda sukut bo'yicha bloklanadi.
• Asosiy sabab — loyiha sirlariga ega bo'lgan holda tekshirilmagan kodning bajarilish xavfi.
• Dasturchilar Policy insights bo'limi orqali o'z ssenariylarini oldindan tekshirib olishlari mumkin.
• O'zgarishlar GitHub Free, GitHub Team va GitHub Enterprise Cloud tariflariga taalluqli.

Nima uchun xavfsizlik qoidalari o'zgartirilmoqda Pull_request_target hodisasi kodni birlashtirish (pull request) so'rovlari, jumladan chetdan kelgan fork'lar bilan ishlashda avtomatlashtirishni ishga tushirish uchun ishlatiladi. Masalan, u avtomatik belgilar qo'yish yoki izohlar qo'shish uchun qo'llaniladi. Biroq, asosiy muammo shundaki, bunday ssenariylar asosiy repozitoriy kontekstida bajariladi va uning maxfiy kalitlariga kirish huquqiga ega bo'ladi. Agar ssenariy chetdan kelgan tekshirilmagan kodni ishga tushirsa, tajovuzkor maxfiy ma'lumotlarni o'g'irlashi yoki CI/CD jarayonini buzishi mumkin. Yangi siyosat shunga o'xshash hujumlar xavfini sezilarli darajada kamaytiradi.

Sinov blokirovkalari va joriy etish grafigi Doimiy cheklov kiritilishidan oldin GitHub dasturchilarga o'z sozlamalarini tekshirib olish uchun imkoniyat yaratadi. Hozirda cheklov baholash rejimida ishlamoqda, ya'ni ssenariylar ishlayveradi, lekin ma'murlar qaysi biri bloklanishini oldindan ko'ra oladi. Shuningdek, 2026-yil 9-noyabr va 16-noyabr kunlari UTC vaqti bilan 16:00 dan 18:00 gacha ikki marotaba vaqtinchalik sinov blokirovkalari o'tkaziladi. Ushbu vaqt oralig'ida cheklovga tushadigan ssenariylar ishlamaydi va tizim xatolik yozuvini yaratadi. Shundan so'ng tizim yana baholash rejimiga qaytadi va 2-dekabrdan boshlab blokirovka doimiy tus oladi.

Dasturchilar va biznes uchun nimalarga e'tibor qaratish kerak Ommaviy repozitoriy egalari 9-noyabrgacha GitHub Actions sozlamalaridagi Policy insights bo'limini tekshirib chiqishlari tavsiya etiladi. Agar pull_request_target shart bo'lmasa, uni pull_request kabi xavfsizroq hodisaga almashtirish kerak. Agar undan foydalanish zarur bo'lsa, siyosat orqali uni aniq ruxsat etish lozim. Shuni yodda tutish kerakki, ruxsat berishning o'zi xavflarni to'liq bartaraf etmaydi, shuning uchun GitHub maxfiy ma'lumotlarga kirish huquqi bilan tekshirilmagan kodlarni ishga tushirmaslikni qat'iy tavsiya qiladi. O'zgarishlar faqat ommaviy repozitoriyalarga taalluqli bo'lib, xususiy (private) va ichki repozitoriyalarga ta'sir qilmaydi.