GitHub durcit les actions / caisse pour arrêter les requêtes pwn et protéger la chaîne d'approvisionnement

GitHub a décidé de durcir l'une des voies d'attaque les plus récurrentes contre la chaîne d'approvisionnement du logiciel : à partir du 18 juin 2026 l'action officielle actions / caisse arrêter d'accepter les "demandes pwn" courants qui explosent le déclencheur par défaut Tirer _requête _ cible pour exécuter un code malveillant avec des privilèges de dépôt de base. La mesure sera appliquée d'abord dans la version la plus récente (v7) et, comme l'a annoncé la société, sera de retour aux principales versions supportées le 16 juillet 2026.

La principale modification technique est que actions / checkout v7 refuse d'apporter le code de la requête quand il vient d'une fourche et certaines conditions sont remplies- par exemple lorsque le paramètre dépôt pointe vers la fourche et que la ref correspond à refs / pull /... / head or refs / pull /... / merge - à moins que l'auteur du flux choisisse explicitement de désactiver la protection en utilisant allow-unsafe-pr-checkout = true. L'action applique également cette restriction dans le workflow _ exécuter des exécutions qui sont liées à pull _ request events.

Comprendre pourquoi cela compte nécessite de se rappeler comment fonctionne la cible pull _ request _: cet événement tourne dans le contexte de la branche par défaut du dépôt de base et, par conception, charge un GITHUB _ TOKEN avec des permis de lecture et d'écriture et peut accéder aux secrets. Si dans ce flux le code envoyé par un contributeur à partir d'une fourche est téléchargé et exécuté, un attaquant peut entrer des scripts qui volent des jetons, des caches empoisonnés ou des privilèges d'abus pour publier des modifications malveillantes. Les attaques récentes qui ont exploité des vecteurs similaires ont affecté des projets et des paquets sensibles, y compris des incidents qui ont compromis des écosystèmes tels que Nx et des paquets populaires d'autres organisations.

L'initiative GitHub réduit considérablement le risque de la configuration la plus courante des demandes de brevet, mais n'est pas une solution complète. La nouvelle protection n'intervient que lorsque la commande est effectuée par des actions / commande: rien n'empêche un flux de courir git, en utilisant la CLI de GitHub ou toute autre action externe pour obtenir un code non fiable, ou bloque d'autres événements qui peuvent être utilisés de manière abusive. Par conséquent, il existe encore des vecteurs de risque qui nécessitent un examen humain et des contrôles supplémentaires.

Pour les équipes et les responsables de la sécurité, cette nouvelle devrait être traduite en actions concrètes et immédiates. La première consiste à mettre à jour les flux qui utilisent des actions / checkout et tester la version v7 ; examiner les flux de travail qui dépendent de la cible pull _ request _ et demander s'ils ont vraiment besoin de courir avec des secrets ou avec des permissions élevées. Dans de nombreux cas, l'alternative sûre est de remplacer la cible de pull _ request _ par Tirer la _demande où les privilèges de dépôt de base ne sont pas requis, ou de limiter strictement les permissions GITHUB _ TOKEN par les permissions clés dans le workflow.

En plus de modifier les déclencheurs et les versions, il convient d'adopter des pratiques opérationnelles : exiger des examens humains avant que les flux de travail ne soient exécutés avec des privilèges par rapport aux PR de fourchettes, éviter la consommation directe de secrets dans des emplois qui traitent des intrants externes et ne pas permettre l'autorisation-insafe-pr-check out sauf dans des circonstances très justifiées et avec des contrôles compensatoires. Il est également recommandé de regrouper les mesures réutilisables qui ne résident que dans le dépôt de base et de mettre en œuvre des politiques de protection et d'examen des succursales pour éviter les exécutions automatiques sans supervision.

Du point de vue de la gouvernance de la chaîne d'approvisionnement, cette amélioration est bienvenue parce qu'elle agit comme une guarraile qui empêche les erreurs de configuration communes. Cependant, les équipes devraient considérer cette approche comme faisant partie d'une approche plus large qui comprend des audits des flux de travail, la réduction du domaine des privilèges et l'utilisation de mécanismes modernes tels que l'OIDC pour les déploiements (qui minimisent la dépendance statique secrète).

Si vous souhaitez examiner l'implémentation ou mettre à jour vos flux, consultez le dépôt d'action officiel de GitHub pour suivre les lancements : actions / caisse dans GitHub. Pour comprendre les implications de l'événement qui suscite les plus grandes préoccupations, la documentation officielle sur le pull _ request _ cible explique pourquoi ce déclencheur a besoin de prudence: copier _ demander _ cible. Il est également utile de lire les guides de durcissement GitHub Actions pour appliquer des contrôles supplémentaires: Harcèlement de sécurité pour les actions de GitHub.

En bref, la mise à jour des actions / checkout est une étape positive qui bloque le vecteur le plus exploité des requêtes pwn, mais ne remplace pas la nécessité de politiques opérationnelles et techniques plus larges: les flux de travail d'audit, minimiser les autorisations, éviter d'exécuter un code non révisé lors d'événements privilégiés et mettre à jour régulièrement les actions doit faire partie de la routine pour protéger la chaîne d'approvisionnement.