GitHub、公開リポジトリの pull_request_target を12月2日から既定でブロック
GitHub ActionsCI/CDサプライチェーンGitHubセキュリティ
GitHub Actionsが、公開リポジトリの pull_request_target イベントを2026年12月2日から既定でブロックする。当初は11月2日予定だったが延期された。11月9日と16日の16:00〜18:00 UTCには事前のブラウンアウトが実施され、該当ワークフローは失敗する。11月9日までにInsightsで影響範囲を確認し、必要ならポリシーで明示的に許可する対応が求められる。
何が発表されたか
2026年11月2日、GitHubがChangelogで、GitHub Actionsの pull_request_target イベントを公開リポジトリで既定ブロックする日程を告知した。
- 2026年12月2日から、公開リポジトリでは
pull_request_targetが既定でブロックされる。Actions event policy で明示的に許可した場合を除く - 施行は当初2026年11月2日予定だったが延期された
- 対象は GitHub Free / Team / Enterprise Cloud の公開リポジトリ。プライベートおよびインターナルリポジトリは対象外で、GitHub Enterprise Server も含まれない
- 既定ルールはまず evaluate モードで動き、実際にブロックされる対象を事前に確認できる
- 恒久的な施行の前に、2026年11月9日と11月16日の16:00〜18:00 UTC にブラウンアウト（一時的な強制適用）が行われる。この時間帯は該当ワークフローがエラー注釈付きで失敗し、実行されない。期間外は evaluate モードに戻る
- 理由として、このトリガーはベースリポジトリのコンテキストで動きシークレットにアクセスできるため、フォークの信頼できないコードを通すとパイプラインの侵害やシークレット漏えいにつながりうる点が挙げられている
取るべき対応
公開リポジトリでGitHub Actionsを使っている場合、11月9日が実質的な最初の期限になる。
- 11月9日までに Insights を開き、既定ルールでブロックされる実行がどれかを確認する
- 確認結果を見て、既定のブロックをそのまま受け入れるか、Actions event policy の workflow file targeting で特定のワークフローだけ
pull_request_targetを明示的に許可するかを決める - 11月9日・16日の16:00〜18:00 UTC（日本時間では翌1:00〜3:00）はブラウンアウトで該当ワークフローが失敗する。このタイミングでCIが落ちても想定内と判断できるよう、チームに共有しておく
- OSSを公開していて外部からのPRを受け付けている場合が主な対象。社内のプライベートリポジトリのみなら対応は不要
pull_request_targetを使い続ける場合は、フォーク由来のコードをそのまま実行しない構成になっているかを合わせて見直したい