Безопасность 3 ноября 2026, 12:33 МСК

GitHub с 2 декабря ограничит pull_request_target в публичных репозиториях

С 2 декабря 2026 года GitHub по умолчанию заблокирует сценарии pull_request_target в публичных репозиториях, если событие явно не разрешено политикой.

Такие сценарии выполняются в контексте основного репозитория и могут иметь доступ к секретам, поэтому запуск непроверенного кода из форков создаёт риск их кражи. Ограничение затронет публичные репозитории GitHub Free, Team и Enterprise Cloud, но не приватные и внутренние репозитории или Enterprise Server.

Перед постоянным включением защиты пройдут две пробные блокировки: 9 и 16 ноября с 19:00 до 21:00 мск. Уже сейчас администраторы могут проверить затронутые сценарии в Policy insights и заменить событие либо явно разрешить его, в том числе для отдельных файлов. Само разрешение не устраняет риски выполнения стороннего кода с привилегиями.

• Пробные блокировки: 9 и 16 ноября, 19:00–21:00 мск
• Постоянное ограничение начнёт действовать 2 декабря 2026 года