Les actions actions-cool/issues-helper et maintain-one-comment, compromises le 18 mai 2026 dans la campagne Mini Shai-Hulud, ont été réactivées le 16 septembre avec des tags pointant toujours vers le code malveillant, selon Socket. La leçon est brutale : en CI/CD, un tag mutable est une porte laissée ouverte.

GitHub a durci l’application de la version minimale des runners auto-hébergés : des brownouts ont commencé le 14 septembre et, à partir du 25 septembre 2026, tout runner non mis à jour sous 30 jours ne reçoit plus aucun job. L’échec est silencieux — les jobs restent « Queued » sans erreur : auditez vos runners avant la prochaine fenêtre.

Le 3 septembre 2026, GitHub a livré trois mises à jour de GitHub Actions : une permission vulnérabilités pour GITHUB_TOKEN, le contexte job des workflows réutilisables et une API de dépréciation des runners. Remplacez vos portées larges par la permission vulnérabilités et adoptez job.workflow_ref dans vos workflows réutilisables.

Face aux détournements de tags qui ont frappé tj-actions et 23 000 dépôts, GitHub déploie une feuille de route de sécurité pour Actions : lockfiles de dépendances, secrets scopés et pare-feu d’égression. Deux mesures sont déjà disponibles : l’épinglage par SHA et l’OIDC.

À partir du 1er octobre 2026, GitHub applique à la rétention des checks, des workflow runs et des statuses le même réglage que celui des artefacts et des logs, soit 90 jours par défaut au lieu de plus de 400. Les équipes qui s’appuient sur cet historique doivent vérifier leur réglage et exporter ce qu’elles veulent conserver.

Début août 2026, GitHub a livré une permission « vulnerability-alerts: read » qui autorise le jeton de CI à consulter les alertes Dependabot sans recourir à un PAT surdimensionné. Les workflows qui automatisent la remédiation des vulnérabilités peuvent enfin appliquer le moindre privilège jusqu’au bout.

Docker Hub supporte désormais les connexions OIDC pour GitHub Actions. Les workflows s’authentifient avec des tokens éphémères par exécution au lieu de stocker des PAT ou OAT dans les secrets GitHub. La rotation manuelle des credentials appartient au passé.

Depuis le 1er août 2026, GitHub génère automatiquement des attestations de build SLSA Niveau 3 pour chaque workflow Actions exécuté sur un dépôt public. La supply chain logicielle devient vérifiable sans effort — et la conformité réglementaire suit.

Les images de runner custom passent en disponibilité générale le 26 mars 2026 après six mois de preview publique. Plus rapides et préconfigurées, elles éliminent le setup à chaque job — mais transfèrent la maintenance, la sécurité et le versioning aux équipes.