GitHub Actions anuncia bloqueio padrão do pull_request_target e dois testes em novembro

O GitHub anunciou duas janelas de aplicação temporária da política padrão para pull_request_target, em 9 e 16 de novembro de 2026. A aplicação definitiva está prevista para 2 de dezembro de 2026 nos repositórios afetados que usavam essa política padrão antes da disponibilidade geral. As datas e o escopo constam no changelog do GitHub e na documentação do evento.

Quando a política é aplicada

Cada janela de teste vai das 16h às 18h UTC, segundo o changelog. Durante a janela, tentativas bloqueadas pela regra padrão geram uma execução com falha e uma anotação de erro. O workflow em si não roda. O changelog informa que, ao fim de cada teste, a política padrão volta ao modo de avaliação.

Quais repositórios estão sujeitos à política padrão

Segundo a documentação, o GitHub adiciona a política padrão aos repositórios públicos sem uma política de eventos do Actions aplicável. A política padrão não substitui a política de eventos que já se aplica ao repositório. Os repositórios privados e internos ficam fora dessa política padrão.

pull_request_target roda no contexto do repositório base. O guia de segurança do GitHub explica o risco de executar código de um fork nesse contexto, que pode ter acesso a segredos do repositório.

Como conferir seus workflows antes do primeiro teste

Procure pull_request_target nos workflows do repositório. Consulte Policy insights para identificar execuções que a política bloquearia. O GitHub recomenda avaliar um evento mais seguro, como pull_request, para workflows que não precisam de pull_request_target.

Se um workflow depende desse gatilho, confira se a política de eventos aplicável o permite. O GitHub descreve como restringir a permissão aos arquivos de workflow específicos no guia de controle de execução.

Quer aprender mais sobre inteligência artificial e programação na prática? Conheça o canal Hora de Codar no YouTube e acompanhe os próximos vídeos.