{"id":1277,"date":"2026-06-23T15:43:00","date_gmt":"2026-06-23T15:43:00","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/23\/github-actualiza-acciones-compra-para-bloquear-patrones-comunes-de-ataque-de-solicitud-de-pwn-cyberdefensa-mx\/"},"modified":"2026-06-23T15:43:00","modified_gmt":"2026-06-23T15:43:00","slug":"github-actualiza-acciones-compra-para-bloquear-patrones-comunes-de-ataque-de-solicitud-de-pwn-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/23\/github-actualiza-acciones-compra-para-bloquear-patrones-comunes-de-ataque-de-solicitud-de-pwn-cyberdefensa-mx\/","title":{"rendered":"GitHub actualiza acciones\/compra para bloquear patrones comunes de ataque de solicitud de Pwn \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>GitHub est\u00e1 tomando medidas para fortalecer la seguridad de la cadena de suministro de software actualizando \u00ab<a href=\"https:\/\/github.com\/actions\/checkout\">acciones\/pago<\/a>\u00abbloquear <b>ataques de solicitud pwn<\/b> que explotan el uso riesgoso del activador \u00abpull_request_target flowflow\u00bb para ejecutar c\u00f3digo malicioso con todos los privilegios del flujo de trabajo.<\/p>\n<p>A partir del 18 de junio de 2026, la \u00faltima versi\u00f3n de \u00abactions\/checkout\u00bb, la acci\u00f3n oficial de GitHub para registrar un repositorio en el ejecutor del flujo de trabajo, rechaza los patrones de solicitud pwn comunes de forma predeterminada. Se espera que el cambio se respalde en todas las versiones principales actualmente compatibles el 16 de julio de 2026.<\/p>\n<p>\u00abAcciones\/compra v7 se niega a recuperar el c\u00f3digo de solicitud de extracci\u00f3n de bifurcaci\u00f3n en <a href=\"https:\/\/docs.github.com\/en\/actions\/reference\/workflows-and-actions\/events-that-trigger-workflows#pull_request_target\">pull_request_target<\/a> y <a href=\"https:\/\/docs.github.com\/en\/actions\/reference\/workflows-and-actions\/events-that-trigger-workflows#workflow_run\">flujo de trabajo_ejecutar<\/a> flujos de trabajo (este \u00faltimo solo cuando flujo de trabajo_run.event es un evento pull_request*)\u00bb, <a href=\"https:\/\/github.blog\/changelog\/2026-06-18-safer-pull_request_target-defaults-for-github-actions-checkout\/\">agregado<\/a>.<\/p>\n<p>El rechazo se produce cuando la solicitud de extracci\u00f3n proviene de una bifurcaci\u00f3n y se cumple cualquiera de los siguientes criterios, a menos que los autores del flujo de trabajo opten expl\u00edcitamente por no participar estableciendo la opci\u00f3n \u00ab<a href=\"https:\/\/docs.github.com\/en\/actions\/reference\/security\/securely-using-pull_request_target\">permitir-pr-pago-inseguro<\/a>\u00abmarcar a \u00abverdadero\u00bb en \u00abacciones\/pago\u00bb \u2013<\/p>\n<ul>\n<li>repositorio: se resuelve en el repositorio de la solicitud de extracci\u00f3n de bifurcaci\u00f3n<\/li>\n<li>ref: coincide con refs\/pull\/number\/head o refs\/pull\/number\/merge<\/li>\n<li>ref: se resuelve en el encabezado de una solicitud de extracci\u00f3n de bifurcaci\u00f3n o en el compromiso de fusi\u00f3n SHA<\/li>\n<\/ul>\n<p>El cambio tiene como objetivo prevenir la forma m\u00e1s com\u00fan de solicitudes pwn en el ecosistema de Acciones. Como resultado, las \u00abacciones\/compra\u00bb fallar\u00e1n para los \u00abeventos pull_request_target\u00bb de bifurcaciones con entradas inseguras.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/ai-cant-stop-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjPEV6-530TOlxG6PjrmdlY623wpBwduZ7t1HV6flcmO5R4q4AmfixDUzW0CrhlvMVNWbhvOIso-UDNTka4W_W9Chrdj_dglwBZwi7DuePM2IMIl-hfUYVIqBXgfpr_2619K8Gptb4LzwJ6gUbi7lWl2M8AFQJsHEaw63Q7tZ6708YGruiHrr0Y2W9YYxLQ\/s728-e100\/ThreatLocker-d.png\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>\u00abPull_request_target\u00bb es un activador de flujo de trabajo que se ejecuta autom\u00e1ticamente sin requerir aprobaci\u00f3n manual cuando se abre o se vuelve a abrir una solicitud de extracci\u00f3n, o cuando se actualiza la rama principal de la solicitud de extracci\u00f3n. Es importante tener en cuenta que el evento se ejecuta en el contexto de la rama predeterminada del repositorio base, lo que potencialmente expone secretos y un GITHUB_TOKEN privilegiado con permisos de lectura y escritura.<\/p>\n<p>\u00abEjecutar c\u00f3digo que no es de confianza en el disparador pull_request_target puede provocar vulnerabilidades de seguridad\u00bb, se\u00f1ala GitHub en su documentaci\u00f3n. \u00abEstas vulnerabilidades incluyen <a href=\"https:\/\/adnanthekhan.com\/2024\/05\/06\/the-monsters-in-your-build-cache-github-actions-cache-poisoning\/\">envenenamiento de cach\u00e9<\/a> y otorgar acceso no deseado para escribir privilegios o secretos\u00bb.<\/p>\n<p>El peligro surge cuando un \u00abpull_request_target\u00bb se combina con \u00abactions\/checkout\u00bb para descargar y ejecutar c\u00f3digo enviado por una bifurcaci\u00f3n que no es de confianza. Si un mal actor env\u00eda una solicitud de extracci\u00f3n que contiene scripts maliciosos y el flujo de trabajo verifica y ejecuta el c\u00f3digo, puede permitir que el atacante robe el GITHUB_TOKEN y otros secretos, lo que lleva a lo que <a href=\"https:\/\/www.endorlabs.com\/learn\/pwn-request-threat-a-hidden-danger-in-github-actions\">llamado<\/a> a <a href=\"https:\/\/securitylab.github.com\/resources\/github-actions-preventing-pwn-requests\/\">ataque de solicitud pwn<\/a>.<\/p>\n<p>\u00abLos flujos de trabajo activados por pull_request_target se ejecutan con el GITHUB_TOKEN, los secretos y el acceso a la cach\u00e9 de la rama predeterminada del repositorio base\u00bb, dijo GitHub. \u00abVerificar el encabezado de una solicitud de extracci\u00f3n no revisada desde una bifurcaci\u00f3n dentro de uno de estos flujos de trabajo generalmente permite que el c\u00f3digo controlado por el atacante se ejecute con todos los privilegios del flujo de trabajo\u00bb.<\/p>\n<p>En los \u00faltimos meses, una serie de ataques en cadena de software han convertido este comportamiento en un arma. El m\u00e1s grave de ellos fue el compromiso de m\u00faltiples paquetes asociados con el sistema de compilaci\u00f3n Nx como parte de una campa\u00f1a con nombre en c\u00f3digo s1ngularity, as\u00ed como la violaci\u00f3n de PostHog, TanStack y el popular paquete Emacs, \u00abkubernetes-el\/kubernetes-el\u00bb.<\/p>\n<p>\u00abPull_request_target fue dise\u00f1ado para una automatizaci\u00f3n confiable en torno a solicitudes de extracci\u00f3n, como etiquetar, comentar o aplicar metadatos de proyectos\u00bb, dijo Socket. \u00abPero el paso de pago controla qu\u00e9 c\u00f3digo realmente llega al espacio de trabajo del corredor. Si extrae el c\u00f3digo de una solicitud de extracci\u00f3n bifurcada, el flujo de trabajo puede terminar ejecutando c\u00f3digo controlado por el atacante con los privilegios del repositorio base\u00bb.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/vpn-threat-report-m\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhFlTC7RrRZGiFAgASS0noWSL0qsQGFVp8-Hvuw9yp3X3VKRuTcb5SsPX09wJzrdIM6pu1_5lS4EeZp7Sx4iYBpNJkrGnpr08yyaS1HQ5_5TxaCsP6O0OtHNuOkesn6CbNjao1GPulCJk-uljYMSfMZfBYNrngpe669t7jlRn1FqiEnXhsFD1WVkpaYIVgh\/s728-e100\/ai-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Dicho esto, la subsidiaria propiedad de Microsoft enfatiz\u00f3 que las solicitudes pwn activadas a trav\u00e9s de otros tipos de eventos adem\u00e1s de pull_request_target (por ejemplo, issues_comment) o mediante otros medios, como git o GitHub CLI, est\u00e1n fuera del alcance de este cambio.<\/p>\n<p>\u00abEste cambio solo bloquea las comprobaciones del encabezado de solicitud de extracci\u00f3n de bifurcaci\u00f3n y las confirmaciones de fusi\u00f3n\u00bb, agreg\u00f3. \u00abNo bloquea la extracci\u00f3n de otros repositorios que no son de confianza. Por ejemplo, configurar el repositorio: en un repositorio de terceros no relacionado no est\u00e1 bloqueado. La extracci\u00f3n y ejecuci\u00f3n de cualquier c\u00f3digo que no sea de confianza en un evento privilegiado sigue siendo un riesgo de solicitud de pwn que debe revisarse\u00bb.<\/p>\n<p>Para contrarrestar el riesgo que representa \u00abpull_request_target\u00bb, los desarrolladores est\u00e1n <a href=\"https:\/\/github.blog\/changelog\/2025-11-07-actions-pull_request_target-and-environment-branch-protections-changes\/\">aconsejado<\/a> Para evaluarlo y utilizarlo s\u00f3lo cuando sea necesario, cambie a \u00ab<a href=\"https:\/\/docs.github.com\/en\/actions\/reference\/workflows-and-actions\/events-that-trigger-workflows#pull_request\">solicitud_pull<\/a>\u00abSi el flujo de trabajo no requiere permisos elevados o acceso a secretos, restrinja los permisos otorgados a los flujos de trabajo y aseg\u00farese de que la entrada controlada por el usuario no d\u00e9 como resultado la ejecuci\u00f3n de c\u00f3digo que no sea de confianza.<\/p>\n<p>\u00abLa protecci\u00f3n en esta actualizaci\u00f3n solo cubre los pagos realizados a trav\u00e9s de acciones\/pago\u00bb, dijo Socket. \u00abEso hace que esto sea una barrera de seguridad, no una soluci\u00f3n completa para la seguridad de las Acciones. Los flujos de trabajo que se ejecutan con secretos, permisos de escritura, permisos de implementaci\u00f3n o acceso de publicaci\u00f3n OIDC a\u00fan necesitan una revisi\u00f3n cuidadosa\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>GitHub est\u00e1 tomando medidas para fortalecer la seguridad de la cadena de suministro de software actualizando \u00abacciones\/pago\u00abbloquear ataques de solicitud pwn que explotan el uso riesgoso del activador \u00abpull_request_target flowflow\u00bb para ejecutar c\u00f3digo malicioso con todos los privilegios del flujo de trabajo. A partir del 18 de junio de 2026, la \u00faltima versi\u00f3n de \u00abactions\/checkout\u00bb, [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":752,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[3266,516,181,1487,3268,24,931,36,3267,3270,3269],"class_list":["post-1277","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-accionescompra","tag-actualiza","tag-ataque","tag-bloquear","tag-comunes","tag-cyberdefensa-mx","tag-github","tag-para","tag-patrones","tag-pwn","tag-solicitud"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1277","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1277"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1277\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/752"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1277"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1277"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1277"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}