# GitHub تمنع pull_request_target افتراضيًا في المستودعات العامة بدءًا من 2 ديسمبر 2026

> **المغزى:** المغزى: أقدم طرق سرقة المفاتيح من الـ CI لم يتغير، الذي تغيّر هو الافتراضي: صار التشغيل ممنوعًا حتى يسمح به صاحب المستودع صراحة.

- المصدر: المغزى (https://almaghza.com/a/2026-11-03-github-blocks-pull-request-target-default/)
- التاريخ: 23 جمادى الأولى - 3 نوفمبر 2026 (2026-11-03)
- القسم: أمن سيبراني
- الوسوم: GitHub Actions، CI/CD، هجمات سلسلة التوريد، الأمن السيبراني

أعلنت GitHub في سجل تغييراتها بتاريخ 2 نوفمبر 2026 أنها ستمنع افتراضيًا الـ trigger المسمّى `pull_request_target` في GitHub Actions، في كل المستودعات العامة. ويبدأ التنفيذ الدائم في 2 ديسمبر 2026.

وتسبق ذلك فترتان تجريبيتان، أي brownouts، في 9 نوفمبر و16 نوفمبر، من 16:00 إلى 18:00 بتوقيت UTC، وهو ما يوافق 18:00 إلى 20:00 بتوقيت القاهرة. وخلال الفترتين لن يعمل أي workflow يعتمد على هذا الـ trigger، وسيظهر بدلًا منه run فاشل مع رسالة خطأ.

وسبب استهداف هذا الـ trigger تحديدًا أنه يعمل في سياق المستودع الأصلي لا في سياق الـ fork الذي جاء منه طلب الدمج. ومعنى ذلك أنه يرى الـ secrets الخاصة بالمستودع. فإذا نفّذ الـ workflow كودًا قادمًا من fork غير موثوق، صار ذلك الكود يعمل داخل بيئة فيها مفاتيح المستودع.

وهذه من أقدم الطرق المعروفة لسرقة المفاتيح من أنظمة الـ CI. والجديد ليس الثغرة، بل قلب الافتراضي: كان التشغيل مسموحًا ما لم يمنعه صاحب المستودع، وسيصبح ممنوعًا ما لم يسمح به صراحة عبر سياسة.

وتعمل القاعدة حاليًا في evaluate mode، أي أن GitHub تسجّل كل run كانت ستمنعه وتتركه يكتمل، ويمكن الاطلاع على هذه القائمة من صفحة Insights قبل 9 نوفمبر.

ولا يشمل التغيير المستودعات الخاصة والداخلية. وهو يخص خطط Free وTeam وEnterprise Cloud، ولا يشمل Enterprise Server.

وبالنسبة للفرق والمطورين في المنطقة الذين يديرون مشاريع مفتوحة المصدر على GitHub، فإن الفترة التجريبية الأولى تقع في مساء يوم عمل. وأي workflow ما زال يعتمد على هذا الـ trigger سيفشل خلالها، ثم يتوقف نهائيًا في ديسمبر ما لم يُسمح به في سياسة صريحة.

## المصادر

- [إعلان GitHub في سجل التغييرات ومنه كل التواريخ](https://github.blog/changelog/2026-11-02-pull_request_target-blocked-by-default-december-2)
- [توثيق الأحداث التي تشغّل الـ workflows](https://docs.github.com/en/actions/reference/workflows-and-actions/events-that-trigger-workflows)
- [توثيق التحكم في تنفيذ الـ workflows والسياسات](https://docs.github.com/en/actions/how-tos/manage-workflow-runs/control-workflow-execution)