GitHub Actions pull_request_target Olayı Aralık 2'den İtibaren Bloke Edilecek

GitHub, Aralık 2026'dan itibaren önemli bir güvenlik değişikliğini hayata geçiriyor: pull_request_target olayları varsayılan olarak tüm genel depolarda bloke edilecek. Bu, bir Actions event politikası açıkça izin vermediği sürece bu tür iş akışları çalışmayacak anlamına geliyor.

pull_request_target, GitHub Actions iş akışlarında özel bir tetikleyicidir. Pull request'ler açıldığında veya güncellendiğinde çalışan pull_request olayından farklı olarak, pull_request_target temel dal (genellikle main) kontekstinde çalışır ve depo gizli anahtarlarına erişim sağlar. Bu durum, kötü niyetli bir pull request'in depo sırlarını çalması için ideal bir fırsat oluşturabilir.

Güvenlik açısından bakılırsa, bu değişiklik mantıklı. Dış katkıda bulunanlardan gelen PR'ler potansiyel bir tehdit vektörü; özellikle de PR'ı açan kişi depo içinde herhangi bir kod incelemesinden geçmemişse. pull_request_target kullanıyorsan ve bu iş akışlarını çalıştırmaya devam etmek istiyorsan, depo ayarlarında bir Actions event politikası oluşturarak açıkça izin vermen gerekecek.

Eğer açık kaynak projen varsa ve CI/CD iş akışlarında pull_request_target'a bağlı isen, şimdiden hazırlık yapmanı öneriyorum. Politika oluşturmak basit ama biraz zaman alabilir. Alternatif olarak, pull_request_target yerine pull_request olayını kullanmayı düşünebilirsin; bu durumda gizli anahtarlara erişim kısıtlanır ama çoğu durum için yeterli olur. Değişikliğin tam etkisini anlamak için depo ayarlarında Actions bölümünü kontrol etmeye başla.