GitHub с 2 декабря будет блокировать pull_request_target по умолчанию

С 2 декабря 2026 года GitHub начнёт по умолчанию блокировать события pull_request_target в GitHub Actions во всех публичных репозиториях. Триггер сработает, только если политика событий Actions явно его разрешает. Изначально принудительное применение планировали на 2 ноября 2026 года.

pull_request_target запускает workflow в контексте базового репозитория, поэтому рабочий процесс получает доступ к его секретам. Если такой workflow выполняет код из форка, этот код может добраться до пайплайна и украсть секреты. Новое правило по умолчанию закрывает такой сценарий, но оставляет возможность разрешить триггер явно.

Сначала правило работает в режиме оценки (evaluate mode). В нём видно, какие запуски workflow оно заблокировало бы, — так конфигурацию можно проверить до того, как ограничение станет постоянным.

До 2 декабря GitHub проведёт два временных окна принудительного применения (brownout). Они помогут заранее найти затронутые workflow и обновить политики; даты и время окон перечислены в объявлении.

Изменение касается только публичных репозиториев. Приватные и внутренние репозитории оно не затрагивает.