GitHub Actions bloccherà pull_request_target nei repository pubblici: cosa fare prima del 9 novembre

2026-11-06

Un trigger di GitHub Actions usato per automatizzare etichette, commenti o controlli sulle pull request potrebbe smettere di funzionare nei repository pubblici. GitHub ha annunciato che dal 2 dicembre 2026 l’evento pull_request_target sarà bloccato per impostazione predefinita, a meno che una policy applicabile non lo autorizzi esplicitamente. La prima finestra temporanea di enforcement è fissata per lunedì 9 novembre, dalle 16:00 alle 18:00 UTC ; la seconda è il 16 novembre, negli stessi orari. In quelle fasce i workflow interessati potranno fallire anziché eseguire. La modifica riguarda i repository pubblici sui piani GitHub Free, Team ed Enterprise Cloud; GitHub precisa che repository privati e interni non sono coinvolti. Non è un semplice cambiamento di sintassi: mira a ridurre un rischio concreto nelle pipeline, dove un workflow privilegiato può entrare in contatto con codice inviato da contributori esterni. Per team piccoli e grandi il momento utile per intervenire è prima del test del 9 novembre: censire i workflow, distinguere quelli che devono davvero mantenere questo trigger e correggere gli altri. Le informazioni complete sono nell’annuncio GitHub e nella guida ufficiale