GitHub Blokir pull_request_target di Repo Publik Mulai 2 Desember, Brownout Digelar November

Satu baris trigger di berkas workflow bisa membuka akses ke rahasia sebuah repositori bagi kode yang ditulis orang asing. GitHub kini memutuskan pintu itu tertutup secara bawaan, dengan satu syarat: pemilik repositori yang membutuhkannya harus membukanya sendiri.

GitHub Actions akan memblokir event pull_request_target secara bawaan di semua repositori publik mulai 2 Desember 2026, menurut catatan changelog GitHub yang terbit Senin (2/11/2026). Jadwal penegakan aturan ini sebelumnya ditetapkan pada 2 November, sehingga tenggatnya mundur satu bulan.

Mengapa Trigger Ini Dianggap Berisiko

Menurut GitHub, pull_request_target berjalan dalam konteks repositori dasar dan dapat mengakses rahasia (secrets) milik repositori itu. Risikonya muncul ketika sebuah workflow menjalankan kode yang tidak tepercaya dari fork: kode tersebut berpotensi membahayakan pipeline atau mencuri secret.

Tujuan aturan baru ini adalah mengurangi risiko tersebut tanpa menutup kemungkinan bagi workflow yang memang membutuhkan trigger ini. Pemblokiran tidak berlaku jika kebijakan event Actions secara eksplisit mengizinkannya.

Dua Brownout Sebelum Penegakan Penuh

Aturan ini awalnya berjalan dalam mode evaluasi, sehingga pengguna dapat melihat workflow mana yang akan terblokir. GitHub kini menjadwalkan dua brownout, yaitu penegakan sementara untuk menguji kesiapan, pada 9 November dan 16 November 2026, masing-masing pukul 16.00 sampai 18.00 UTC atau pukul 23.00 sampai 01.00 WIB.

Selama brownout, run pull_request_target yang diblokir akan gagal dengan anotasi error dan workflow tidak dijalankan. Setelah jendela berakhir, aturan kembali ke mode evaluasi dan workflow berjalan dengan peringatan. Penegakan permanen baru berlaku pada 2 Desember.

Kalender Penegakan: Senin, Senin, lalu Rabu

Jika disusun berurutan, ada tiga tanggal yang perlu dicatat. Brownout pertama jatuh pada Senin (9/11/2026), brownout kedua pada Senin (16/11/2026), dan penegakan permanen pada Rabu (2/12/2026). Karena jendela 16.00 sampai 18.00 UTC setara pukul 23.00 sampai 01.00 WIB, pengelola di Indonesia akan melihat workflow gagal menjelang tengah malam hingga dini hari berikutnya, yaitu 10 dan 17 November.

Mundurnya tenggat dari 2 November ke 2 Desember memberi tambahan sebulan, tetapi catatan GitHub tidak menjelaskan alasan penundaan.

Cakupan: Hanya Repositori Publik

Repositori privat dan internal tidak terdampak. Aturan ini berlaku untuk GitHub Free, GitHub Team, dan GitHub Enterprise Cloud, tetapi tidak untuk GitHub Enterprise Server. Catatan GitHub tidak menyebut cakupan berdasarkan branch.

Dua Pilihan bagi Pengelola Repositori

GitHub menyarankan pengelola memakai Insights sebelum brownout pertama untuk melihat run workflow mana yang akan terblokir. Setelah itu ada dua jalan. Pilihan pertama, membiarkan aturan bawaan tetap memblokir pull_request_target. Pilihan kedua, mengizinkannya secara eksplisit lewat kebijakan event Actions bila workflow memang bergantung padanya. Untuk membatasi izin pada workflow tertentu saja, GitHub menyediakan workflow file targeting. Panduan konfigurasi tersedia di dokumentasi GitHub tentang kontrol eksekusi workflow.

Catatan GitHub tidak memakai istilah opt-out. Cara setara untuk tidak memblokir adalah mengizinkan trigger itu secara eksplisit, seperti dijelaskan di atas.

Konteks: Keamanan Alur Kerja Terus Diperketat

Langkah ini muncul di tengah rangkaian insiden yang menyasar rantai pasok perangkat lunak di GitHub. CompileDaily sebelumnya melaporkan kampanye GhostAction yang menyusupi 345 repositori dengan workflow pencuri kredensial, serta celah SlugFest yang mengancam 1.500 paket npm. Catatan changelog yang dirujuk di sini tidak mengaitkan pemblokiran pull_request_target dengan insiden tertentu.

Pada hari yang sama, changelog GitHub juga memuat pembaruan GitHub Desktop berupa token autentikasi berumur pendek dan penambahan status perlindungan repositori pada penilaian risiko keamanan. Sehari kemudian, Selasa (3/11/2026), GitHub mencatat Dependabot kini mendukung Python 3.15 dan CodeQL 2.27.3 menambahkan fitur Python 3.15, menurut daftar changelog GitHub.

Yang perlu diperhatikan pengelola repositori publik adalah dua tanggal pertama: 9 dan 16 November. Workflow yang gagal pada jendela itu akan gagal juga pada 2 Desember, kecuali kebijakannya sudah diubah sebelum itu.