التطبيقات والبرامج

GitHub يحظر أحداث pull_request_target افتراضياً في المستودعات العامة

أعلنت شركة GitHub عن تغيير أمني جذري في خدمة GitHub Actions، حيث سيتم حظر أحداث pull_request_target افتراضياً في جميع المستودعات العامة، مع توفير أدوات للمطورين لتقييم الأثر قبل التنفيذ النهائي.

رضوان عبدالهاديمحرر وكاتب تقني

نُشر: 2 نوفمبر 2026 · آخر تحديث: 2 نوفمبر 2026 · 4 دقائق قراءة

GitHub يحظر أحداث pull_request_target افتراضياً في المستودعات العامة — الصورة: GitHub Changelog

إعلان رسمي عن تغيير سياسة الأمان

أعلنت شركة GitHub رسمياً عن تغيير مهم في طريقة تعاملها مع أحداث pull_request_target ضمن خدمة GitHub Actions. اعتباراً من الثاني من ديسمبر 2026، سيتم حظر هذه الأحداث افتراضياً في جميع المستودعات العامة، إلا إذا سمحت سياسة أحداث GitHub Actions المطبقة صراحةً بتنفيذها. هذا الإعلان يأتي ضمن جهود الشركة المستمرة لتعزيز أمان بيئة التطوير، حيث كان التنفيذ المخطط لهذا الحظر سابقاً في الثاني من نوفمبر 2026، لكن تم تأجيله قليلاً لتوفير وقت كافٍ للمطورين والمؤسسات للتكيف مع التغييرات الجديدة. ويمكن الرجوع إلى GitHub Changelog للاطلاع على التفاصيل الأصلية للمصدر.

الأسباب الأمنية وراء الحظر

تتمثل المشكلة الأساسية في أن أحداث pull_request_target تعمل في سياق المستودع الأساسي (Base Repository) ولديها إمكانية الوصول إلى الأسرار (Secrets) المخزنة فيه. إذا قام سير عمل بتنفيذ كود غير موثوق قادم من فرع (Fork) خارجي، فإن ذلك قد يعرض خط الأنابيب (Pipeline) للخطر أو يؤدي إلى سرقة الأسرار الحساسة. من خلال تطبيق هذا الحظر الافتراضي، تسعى GitHub إلى تقليل هذه المخاطر بشكل كبير، مع السماح للمطورين بالسماح صراحةً فقط لسير العمل التي تعتمد فعلياً على هذا المحفز، مما يخلق توازناً بين الأمان والمرونة. ويمكن الرجوع إلى Back to changelog للاطلاع على التفاصيل الأصلية للمصدر.

نطاق التطبيق والمستودعات المعفاة

من المهم التوضيح أن هذا التغيير لا يؤثر على المستودعات الخاصة (Private) أو الداخلية (Internal)، حيث ستستمر هذه الأحداث بالعمل بشكل طبيعي دون تغيير. كما يوضح الإعلان أن التغيير ينطبق على المستودعات العامة في خطط GitHub Free وGitHub Team وGitHub Enterprise Cloud، بينما لا يشمل المستودعات المستضافة على GitHub Enterprise Server. هذا التمييز يضمن أن الشركات التي تستخدم خوادمها الخاصة لن تتأثر بهذا التحديث الأمني الذي يستهدف البيئة السحابية العامة.

آلية التقييم والفترات التجريبية

قبل بدء التنفيذ الدائم في ديسمبر، ستقوم GitHub بتطبيق الحماية الافتراضية مؤقتاً خلال فترتين مجدولتين تُعرفان باسم (Brownouts). الهدف من هذه الفترات هو مساعدة المطورين على تحديد سير العمل المتأثرة وتحديث سياساتهم قبل أن يصبح الحظر نهائياً. خلال كل فترة، ستؤدي محاولات تشغيل سير عمل pull_request_target المحظورة في المستودعات العامة المتأثرة إلى إنشاء عمليات تشغيل فاشلة مع ملاحظات خطأ، ولن يتم تنفيذ سير العمل فعلياً. بعد انتهاء كل فترة، ستعود القاعدة الافتراضية إلى وضع التقييم (Evaluate Mode)، مما يسمح بسير العمل مع إصدار تحذيرات بدلاً من الحظر الكامل.

خطوات الاستعداد والتحكم في التنفيذ

قبل بدء الفترة التجريبية الأولى في التاسع من نوفمبر، تنصح GitHub المطورين باستخدام أداة Insights لرؤية سير العمل التي ستحظرها القاعدة. بناءً على هذه البيانات، يتوفر خياران رئيسيان: إما الإبقاء على القاعدة الافتراضية لحظر أحداث pull_request_target تماماً، أو السماح صراحةً بهذه الأحداث في سياسة أحداث GitHub Actions المطبقة إذا كانت سير العمل تعتمد عليها. يمكن استخدام استهداف ملفات سير العمل (Workflow file targeting) للسماح بسير عمل محددة فقط. يوفر دليل GitHub الشامل إرشادات مفصلة حول كيفية ضبط هذه السياسات لضمان استمرارية العمليات مع الحفاظ على الأمان.

سياق أوسع لتحديثات GitHub

يأتي هذا التحديث ضمن سلسلة من التحسينات الأمنية والتقنية التي تطرحها GitHub مؤخراً. على سبيل المثال، أعلنت الشركة مؤخراً عن إضافة الحوسبة متعددة السحابة (Multi-cloud compute) إلى GitHub Actions لتحسين الموثوقية، بالإضافة إلى إطلاق تدفقات العمل الوكيلية (Agentic Workflows) بشكل عام. كما تتضمن التحديثات الأخيرة ميزات أمان جديدة مثل تقييمات مخاطر الأمان التي تتضمن حالة حماية المستودعات، مما يعكس التزام الشركة المستمر بتعزيز بنية تحتية آمنة وموثوقة للمطورين حول العالم.