Reference same-repository actions with self-repository syntax - GitHub Changelog
Reference same-repository actions with self-repository syntax You can now reference an action or reusable workflow that lives in the same repository using the new self-repository syntax. A uses: value that starts with $/ resolves to your workflow’s own repository at the exact commit that is running, with no checkout required. It works everywhere the workspace-relative ./ syntax works, including wo
Cloudflare Containersを使ってGitHub Self-hosted runnersを立ててみた
Cloudflare Containers 上に GitHub Actions のエフェメラル self-hosted runner を webhook 駆動で立てて、実測とともに GitHub-hosted runner との料金比較をしてみた。
Dependabot version updates introduce default package cooldown - GitHub Changelog
Dependabot version updates introduce default package cooldown Dependabot now waits until a new release has been available on its registry for at least three days before opening a version update pull request. This cooldown is now the default and requires no configuration. New releases are a common entry point for supply chain attacks where a compromised or broken version can reach your dependency u
GitHub Actions の parallel でデプロイは8分→3分、CI はコスト3割減になった
こんにちは、hatsu です。 先日、GitHub Actions で同じ job の中にある複数のステップを並列に実行できる parallel / background が 2026-06-25 に GA になりましたね。 これまで job の並列化はできましたが、step の並列化はできませんでした。 今回この parallel を実際のワークフローに入れてみて、ちゃんと速くなった例と、そこまででもなかった例があったので、そのあたりを書いていきます。 TL;DR 2026-06-25 に steps 並列（parallel: / background: + wait:）が GA。同じ job、同じランナーの中で独立したステップを並列化できる 効き方は大きく2種類あった 直列だった処理を並列にして、終わるまでの時間を縮める（本番デプロイが8分→3分） 別ランナーに分かれていた job を
Actions steps can now be run in parallel - GitHub Changelog
GitHub Actions now supports running steps concurrently using background. Previously, all steps in a workflow ran in sequence, with each step starting only after the previous step completed. Previously, you could run steps in a non-blocking way using shell backgrounding (&), but that often interleaved logs from multiple steps. This new capability enables steps to run in parallel while retaining sep
「OSS開発者は今何をするべきか？ソフトウェアサプライチェーン侵害対策を考える」で「Hardening npm Publishing」という発表をしました
2026年6月23日に、GMO Flatt Security主催の「OSS開発者は今何をするべきか？ソフトウェアサプライチェーン侵害対策を考える」で「Hardening npm Publishing」というタイトルで、npmパッケージの公開フローをどう守るかについて話しました。 スライド: Hardening npm Publishing ローカルのトークン管理やnpm Trusted Publishingについては、以前の記事で書きました。 1Passwordを使って、ローカルにファイル(~/.configや.env)として置かれてる生のパスワードなどを削除した | Web Scratch パスワード管理/MFA管理の戦略 | Web Scratch npm Trusted PublishingでOIDCを使ってトークンレスでCIからnpmパッケージを公開する この記事ではそれらを前提に
Polygraph — Cross-repo visibility & persistent memory for AI agents
The meta-harness that gives agents what they're missing: visibility across every repo boundary, and memory that survives every session. The meta-harness that gives agents what they’re missing: visibility across every repo boundary, and memory that survives every session. The meta-harness that gives agents what they’re missing: visibility across every repo boundary, and memory that survives every s
Safer pull_request_target defaults for GitHub Actions checkout - GitHub Changelog
Safer pull_request_target defaults for GitHub Actions checkout The pull_request_target event is one of the most commonly misused triggers in GitHub Actions, leading to vulnerabilities in workflows. Workflows triggered by pull_request_target run with the base repository’s GITHUB_TOKEN, secrets, and default-branch cache access. Checking out the head of an unreviewed pull request from a fork inside o
Control who and what triggers GitHub Actions workflows - GitHub Changelog
Menu. Currently selected: One policy, every repository Workflow execution protections are now in public preview for GitHub Enterprise, organizations, and repositories. This new capability lets enterprise administrators define an allow list that controls who can trigger GitHub Actions workflows and which events are permitted to run them, giving you predictable, secure workflow execution. Previously
Bot-created pull requests can run workflows if approved - GitHub Changelog
Pull requests created by the github-actions[bot] are now able to run your CI/CD workflows with user approval. Requiring approval is a security measure to ensure generated code does not automatically run workflows which may have access to sensitive information. This matches the behavior of Copilot-generated pull requests. Previously, pull requests generated by github-actions[bot] were not able to r
GitHub - cicd-sensor/cicd-sensor: Open-source eBPF runtime security sensor for GitHub Actions and GitLab CI/CD.
When a compromised dependency in a CI/CD job steals your cloud credentials and leaks them, would you catch it? Would you have the logs to investigate afterward? cicd-sensor is an open-source sensor that lets every team answer both. Detection: Detects supply-chain attacks at runtime using process ancestry (e.g. credential access from a process descended from npm install) and correlation across sign
Dependabot version updates now support the Deno ecosystem - GitHub Changelog
Dependabot now supports Deno. This applies to version updates, not security updates. Get started Add a Deno entry to your .github/dependabot.yml file, and Dependabot will start opening pull requests on the next scheduled run. Learn more Configuring Dependabot version updates Introduction to Deno Community discussion on Deno support
Renovateをメモリ不足なクラウド版から、GitHub ActionsのSelf-host版へ移行した - newmo 技術ブログ
newmo では依存パッケージの更新に Renovate を使っています。これまでは Mend が提供するクラウド版（Mend-hosted の GitHub App）を利用していました。しかし Kernel out-of-memory エラーで Renovate がまともに動かなくなりました。 この記事では、なぜ動かなくなったのか、そしてクラウド版から GitHub Actions 上で動かす Self-host 版へどう移行したのかを紹介します。 過去に書いた Renovate と pnpm catalog で依存を管理する話 の続編にあたる内容です。 先に結論 クラウド版 Renovate がメモリ制約（3GB）で Kernel out-of-memory を起こし、PR を作れなくなった メモリ・実行時間・環境変数の制約を回避するため、GitHub Actions 上で動かす Se
不正アクセス事案にかかる調査結果について
2026年4月3日以降にお知らせしております「GitHubアカウントへの不正アクセス発生に関するお知らせとお詫び」に関連し、外部専門機関による調査結果を踏まえ、事案の詳細についてご報告いたします。 はじめにこのたびは、弊社のシステム環境にかかる不正アクセスの発生によりお客様の個人情報が漏えいするリスクを生じさせてしまいましたこと、深くお詫び申し上げます。 お客様からお預かりした個人情報を守ることは、私たちの最も基本的かつ重要な責務であるところ、今回、お客様に重大なご心配をおかけする事態となりましたことを、重く受け止めております。信頼回復に向け、今回の対処及び外部専門機関と連携した原因の徹底究明を完了し、加えてセキュリティ体制の抜本的な見直しと強化に着手しました。詳細について、以下にご報告いたします。引き続き本件を重要な経営課題として、安心してご利用いただけるサービスの実現に全力を尽くしてま
Investigation update: GitHub Enterprise Server signing key rotation
May 26, 2026: GitHub recently detected a cyber-attack and immediately activated our response process to investigate, disrupt malicious activity, mitigate the attack, and deny the threat actor further access. It’s important to note that this investigation is still ongoing, and we will continue to provide details as appropriate. Given the reality of threat actors and the advent of AI technologies, w
Pullfrog
Pullfrog is an integration layer between GitHub and your favorite CLI-based coding agents. Based on incoming webhook events, it triggers agent runs inside your repo's GitHub Actions. Your agent—armed with a set of MCP tools from Pullfrog—can write code, review PRs, make plans, create issues, answer questions, and more. Works with any CLI-based agent: Claude Code, Cursor, Codex, Gemini CLI, OpenCod
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Announcing Mastra Factory | Mastra Blog
Release GitHub CLI 2.96.0 · cli/cli
Abusing Misconfigured OIDC Authentication In Cloud Environments - Christophe Tafani-Dereeper
DiffsHub, from Pierre
