Ab dem 2. Dezember 2026 wird GitHub Actions das Ereignis pull_request_target in allen öffentlichen Repositories standardmäßig blockieren, es sei denn, eine anwendbare Actions-Ereignisrichtlinie erlaubt diesen Auslöser ausdrücklich. Diese Information ist BESTÄTIGT: Sie steht im offiziellen Changelog von GitHub, veröffentlicht am 2. November 2026.
Die Durchsetzung war zuvor für den 2. November vorgesehen und wurde auf den 2. Dezember verschoben. Bis dahin läuft die Standardregel im Evaluierungsmodus: Die Workflows laufen weiter, aber GitHub zeigt an, welche Ausführungen blockiert würden, damit Maintainer ihre Richtlinien vor der endgültigen Blockierung anpassen können.
Vor der dauerhaften Durchsetzung wird GitHub die Regel vorübergehend in zwei Testfenstern, sogenannten Brownouts, am 9. und 16. November 2026 jeweils von 16:00 bis 18:00 Uhr UTC durchsetzen. In diesen Fenstern werden blockierte Versuche zu fehlgeschlagenen Ausführungen mit einer Fehlerannotation, ohne dass der Workflow ausgeführt wird; nach jedem Fenster kehrt die Regel in den Evaluierungsmodus mit Warnungen zurück.
Das Risiko, das den Wechsel motiviert, ist bekannt: pull_request_target läuft im Kontext des Basis-Repositories und kann auf dessen Secrets zugreifen. Führt ein Workflow nicht vertrauenswürdigen Code aus einem Fork aus, könnte dieser Code die Pipeline kompromittieren oder Secrets stehlen — die Angriffsklasse, die als Pwn Request bekannt ist. GitHub empfiehlt daher, vor dem ersten Brownout am 9. November den Insights-Bericht zu prüfen, der zeigt, welche Ausführungen blockiert würden.
Was Maintainer tun sollten
Es gibt laut GitHub zwei Optionen: die Standardregel beibehalten und den Auslöser blockiert lassen, oder pull_request_target in einer anwendbaren Ereignisrichtlinie ausdrücklich erlauben, vorzugsweise nur für die Workflow-Dateien, die wirklich davon abhängen. Es handelt sich nicht um ein absolutes Verbot: Repositories mit einer ausdrücklichen Richtlinie können den Auslöser weiterhin nutzen.
Die Regel betrifft keine privaten und internen Repositories und gilt für öffentliche Repositories auf GitHub Free, GitHub Team und GitHub Enterprise Cloud — nicht für GitHub Enterprise Server. Die automatische Durchsetzung am 2. Dezember gilt für betroffene Repositories, die vor der allgemeinen Verfügbarkeit der Workflow-Ausführungsschutzfunktionen die Standardrichtlinie für pull_request_target verwendet haben.
In der Praxis lautet die Botschaft an Maintainer von Automatisierungen für Fork-Pull-Requests — etwa Labeler, Triage und authentifizierte Prüfungen — einfach: Prüfen Sie jetzt im Evaluierungsmodus und erlauben Sie nur das Notwendige. Wer bis zum 2. Dezember wartet, riskiert stille Ausfälle bei Automatisierungen, die heute noch zu funktionieren scheinen.
Bildnachweis: GitHub, über das offizielle GitHub-Symbol.
Quellen: GitHub Changelog — pull_request_target blocked by default December 2; GitHub Docs — Securely using pull_request_target; GitHub Changelog — Workflow execution protections generally available
Transparenz: Dieser Artikel wurde mit Hilfe künstlicher Intelligenz erstellt, auf der Grundlage des Abgleichs öffentlicher Beiträge auf X und von Quellen im Internet. Prüfen Sie die Originalquellen, um die Details vor dem Teilen zu bestätigen.
Muse
