GitHub меняет pull_request_target: 269 из 1000 топ-репозиториев затронуты

GitHub с 20 июля 2026 года запрещает actions/checkout выгружать код форков в pull_request_target без явного согласия, а с 2 ноября блокирует триггер в публичных репозиториях без разрешающей политики Actions. Проверка 1000 самых звёздных репозиториев показала: 269 (26,9%) используют pull_request_target в 540 workflow-файлах, 9 выгружают код форков в привилегированных workflow.

• 269 из 1000 репозиториев (26,9%) запускают хотя бы один workflow на pull_request_target
• 9 репозиториев выгружают код форков в привилегированных workflow и сломаются после 2 ноября
• 3 репозитория закреплены на старых версиях actions/checkout и обходят новый запрет
• С 20 июля 2026 года actions/checkout отказывается выгружать код форков без opt-in