GitHub: Dvije sigurnosne nadogradnje GitHub Actions štite od pwn request napada

GitHub je 18. lipnja 2026. objavio dvije međusobno komplementarne sigurnosne nadogradnje za GitHub Actions. Obje adresiraju isti temeljni problem: nekontrolirano izvršavanje koda iz nepouzdanih izvora u privilegiranom okruženju repozitorija.

Što je pwn request i zašto je godinama bio problem?

Pwn request je napad u kojemu vanjski suradnik otvori pull request iz forka, a workflow koji se pokreće koristi privilegirani event — najčešće pull_request_target — koji mu daje pristup tajnama matičnog repozitorija. Za razliku od standardnog pull_request eventa koji radi u izoliranom kontekstu forka, pull_request_target izvršava se u kontekstu baze koda i ima pristup GitHub tokenima i pohranim tajnama. Jedan takav napad može kompromitirati cijeli CI/CD lanac organizacije.

actions/checkout@v7: sigurni defaulti na razini akcije

Nova verzija popularnog checkout akcije uvodi zaštitno ponašanje kao zadani default: u privilegiranim eventima poput pull_request_target, akcija odbija dohvatiti kod iz fork PR-a. Umjesto toga, provjerava out baznu granu repozitorija. Time se eliminira najčešći scenarij pwn request napada bez ikakvog ručnog podešavanja. Za timove kojima zatečeno ponašanje treba zbog specifičnih workflowa, dostupna je opt-out zastavica. Backport na starije verzije checkout akcije planiran je za 16. srpnja 2026.

Workflow execution protections: zaštita na razini organizacije

Paralelno, GitHub je u javni pregled uveo Workflow execution protections — administratorski mehanizam koji omogućuje definiranje allow-listi po aktoru i tipu eventa za cijelu GitHub organizaciju. Za razliku od checkout@v7 koji štiti na razini pojedinog koraka unutar workflowa, ova funkcija enforcement provodi prije nego što workflow uopće počne s izvršavanjem. Admini mogu precizno odrediti tko i koji tip eventa smije pokrenuti workflow — vanjski suradnici, bots i nepoznati akteri mogu biti sustavno isključeni ili uvjetno dopušteni, bez potrebe za izmjenom svakog pojedinog workflow fajla.