GitHub הודיעה כי החל מ־2 בדצמבר 2026, אירועי pull_request_target ייחסמו כברירת מחדל במאגרים ציבוריים, אלא אם מדיניות GitHub Actions מתאימה מאפשרת אותם במפורש. לפני האכיפה הקבועה יתקיימו שני חלונות Brownout שבהם ניתן יהיה לראות בפועל אילו Workflows ייחסמו.
למה pull_request_target נחשב רגיש
בניגוד ל־pull_request, אירוע pull_request_target רץ בהקשר של מאגר הבסיס. לכן Workflow כזה עשוי לקבל גישה ל־Secrets ולהרשאות כתיבה. אם הוא מושך ומריץ קוד לא מהימן מ־Fork, תוקף עלול להשתלט על תהליך ה־CI/CD או לחלץ סודות.
לוח הזמנים
- 9 בנובמבר 2026, 16:00–18:00 UTC: חלון Brownout ראשון.
- 16 בנובמבר 2026, 16:00–18:00 UTC: חלון Brownout שני.
- 2 בדצמבר 2026: אכיפה קבועה במאגרים ציבוריים שלא הוגדרה עבורם מדיניות מתאימה.
במהלך חלונות הבדיקה, ניסיונות הרצה שנחסמים יופיעו כהרצות שנכשלו עם Error Annotation. לאחר כל חלון ההגנה תחזור למצב Evaluate, שבו ה־Workflow ממשיך לרוץ אך GitHub מציגה אזהרה.
מה צוותים צריכים לעשות עכשיו
- להיכנס ל־Insights ולזהות Workflows שמדיניות ברירת המחדל צפויה לחסום.
- להחליף ל־
pull_requestכאשר אין צורך בהרשאות של מאגר הבסיס. - אם
pull_request_targetחיוני, ליצור Actions Event Policy שמאפשרת אותו רק ל־Workflow מוגדר. - לוודא שאין Checkout או הרצה של קוד מה־Fork בתוך Job שמחזיק Secrets או הרשאות כתיבה.
על מי השינוי חל
השינוי חל על מאגרים ציבוריים ב־GitHub Free, GitHub Team ו־GitHub Enterprise Cloud. מאגרים פרטיים ופנימיים אינם מושפעים, וגם GitHub Enterprise Server אינו נכלל בשינוי הנוכחי.
מקורות: GitHub Changelog, 2 בנובמבר 2026; GitHub Docs.
קרדיט תמונה: Sora Shimazaki / Pexels. מקור: Pexels. רישיון Pexels Free מתיר שימוש באתר, בסושיאל ובקמפיינים שיווקיים וכן עריכה. התמונה להמחשה בלבד ואינה מציגה את GitHub.
