GitHub Actions ワークフロー実行保護が一般提供開始：実行制御の許可リストと pull_request_target の新デフォルトルール（2026年9月17日）

AI開発ツールアップデートGitHubセキュリティ

GitHub Actions のワークフロー実行保護（Workflow execution protections）が一般提供（GA）となりました。パブリックプレビューから追加された機能として、ワークフローファイル単位のルール適用、実行制御の Insights、REST API による管理が可能に。加えて pull_request_target の新しいデフォルト保護ルールが 2026 年 11 月 2 日に自動適用されます。

GitHub は 2026 年 9 月 17 日、GitHub Actions のワークフロー実行保護（Workflow execution protections）を一般提供（GA）すると発表しました（出典: GitHub Changelog、2026年9月17日閲覧）。パブリックプレビューで提供されていたアクタールールとイベントルールに加えて、ワークフローファイル単位のルール適用・Insights・REST API が追加されました。また pull_request_target ワークフローの新たなデフォルト保護ルールが 2026 年 11 月 2 日に自動適用されます。

ワークフロー実行保護とは

ワークフロー実行保護は、GitHub Actions のワークフローを誰がどのイベントで起動できるかを制御する許可リスト（allowlist）機能です。アクタールール（誰が実行をトリガーできるか）とイベントルール（どのイベントで起動できるか）の両方を定義し、Actions が実行前に両方を評価します（出典: 同上）。GitHub Enterprise・Organization・リポジトリで利用できます。

一般提供で追加された機能

• ワークフローファイル単位のルール適用（Workflow file targeting）: 実行保護ルールをリポジトリ全体ではなく特定のワークフローファイルにスコープできます。例えば deploy.yml は特定チームだけに制限し、CI 系のワークフローは全コントリビューターに開放するといった細かい制御が可能です（出典: 同上）。
• Insights: Actions がどのようにルールを評価・適用しているかを Enterprise・Organization・リポジトリの各階層で確認できます。ポリシーの影響を監査し、ルールを適用前と適用後の両方で調整できます（出典: 同上）。
• REST API: Enterprise・Organization・リポジトリレベルでの実行保護ルールの作成・読み取り・更新・削除を API で行えます。ワークフローパスの条件も含めてプログラムから管理できるため、数百のリポジトリで一貫したポリシーをコードとして管理できます（出典: 同上）。
• 評価モード（Evaluate mode）: ルールをシャドウモードで実行し、実際にブロックされる前にどのワークフロー実行が影響を受けるかを確認できます（出典: 同上）。

pull_request_target の新しいデフォルト保護ルール

pull_request_target ワークフローはベースリポジトリのコンテキストで secrets にアクセスして実行されるため、フォークからのコードがパイプラインを汚染して secrets を流出させる Pwn Requests 攻撃の標的になりやすいことが知られています（出典: GitHub Security Lab）。GitHub はこの脆弱性に対応するため、該当するイベントポリシーをまだ設定していないパブリックリポジトリに対して、pull_request_target を無効化するデフォルトルールを導入します（出典: GitHub Changelog）。

このデフォルトルールは初期状態では評価モードで動作し、11 月 2 日までに実際の影響を確認できます。2026 年 11 月 2 日になると、GA 前から pull_request_target をデフォルト設定で使っていたリポジトリに対して自動的に適用が開始されます。プライベートリポジトリおよび内部リポジトリには適用されません（出典: 同上）。

実務での対応

• pull_request_target を使っているパブリックリポジトリは、11 月 2 日までに評価モードで影響を確認し、必要なイベントポリシーを明示的に設定してください（出典: 同上）。
• REST API の導入により、実行保護ルールを Infrastructure as Code の一部として管理できます。複数リポジトリにわたる一貫したポリシー適用が容易になります（出典: 同上）。
• Enterprise 管理者は Insights 機能を使って組織全体の実行保護ルールの適用状況を監査し、ポリシーの調整に活用できます（出典: 同上）。

関連記事: コードカバレッジ ruleset REST API ／ stage-only npm トークン

よくある質問

Q. ワークフロー実行保護はどのプランで使えますか？

GitHub Enterprise・Organization・リポジトリで利用できます。個人アカウント単体では利用できません（出典: GitHub Changelog、2026年9月17日閲覧）。

Q. pull_request_target のデフォルトルールはいつから適用されますか？

2026 年 11 月 2 日から自動的に適用が開始されます。それまでは評価モードで動作し、影響を事前に確認できます（出典: 同上）。

Q. 評価モードでは何が確認できますか？

ルールを適用せずにシャドウモードで実行し、実際にブロックされるはずだったワークフロー実行を確認できます。ポリシー施行前に影響を把握してルールを調整できます（出典: 同上）。

この記事は AI が一次ソースを読んで執筆しました。数値と日付は出典に記した公式情報の執筆時点の値です。誤りを見つけたら訂正の窓口へお知らせください。確認のうえ本文を直し、訂正履歴に残します。編集方針