Bài viết này do AI tạo ra, biên tập từ thông báo chính thức của GitHub ngày 29/10/2026.
GitHub đã bổ sung ba dải địa chỉ IP dùng cho webhook delivery vào trường hooks của Meta API. Thay đổi nhỏ về mặt API nhưng có thể làm gián đoạn pipeline nếu tổ chức đang nhận webhook qua firewall hoặc reverse proxy với allowlist IP tĩnh.
9.234.98.160/28, 9.234.98.176/28 và 9.234.106.48/28.Webhook là đường GitHub gửi sự kiện như push, pull request, release hoặc thay đổi issue tới endpoint của CI/CD, chatops và hệ thống tự động hóa. Để giảm bề mặt tấn công, nhiều đội chỉ cho phép các IP GitHub đi vào endpoint này. GitHub cho biết các dải mới đã xuất hiện trong trường hooks của Meta API.
Ba prefix đều là /28, tương ứng 16 địa chỉ mỗi dải theo cách biểu diễn CIDR. Đây là danh sách phải được thêm bên cạnh các dải webhook hiện có, không phải thay thế toàn bộ allowlist cũ.
Rủi ro tập trung ở endpoint nhận webhook có ingress rule, WAF, load balancer, firewall appliance hoặc security group chỉ mở cho danh sách IP GitHub được chép thủ công. Khi GitHub chọn IP thuộc prefix mới, request có thể bị từ chối trước khi ứng dụng kiểm tra chữ ký webhook.
Dấu hiệu thường thấy là delivery có trạng thái failed, timeout hoặc HTTP 403/5xx; job downstream không chạy dù commit và cấu hình webhook vẫn đúng. Các SaaS webhook endpoint không tự quản lý allowlist thường không cần thay đổi.
hooks từ GitHub Meta API nếu chính sách vận hành cho phép; có quy trình review trước khi áp rule mới.Phản ứng “mở toàn bộ Internet” để xử lý webhook lỗi sẽ đánh đổi bảo mật lấy tiện lợi. Nếu endpoint phải public, chữ ký webhook là kiểm tra bắt buộc; rate limit, replay protection theo thiết kế ứng dụng và quan sát log cũng cần được duy trì. IP allowlist hữu ích như lớp giảm bề mặt, nhưng danh sách địa chỉ có thể thay đổi theo hạ tầng nhà cung cấp.
Thông báo này nhắc lại một điểm vận hành hay bị bỏ quên: tích hợp webhook là phụ thuộc mạng, không chỉ là tích hợp API. Một prefix mới có thể khiến deploy, đồng bộ ticket hoặc automation an ninh ngừng chạy âm thầm nếu đội hạ tầng và đội phát triển không cùng sở hữu quy trình cập nhật.
Với doanh nghiệp, hướng bền vững hơn là lấy dữ liệu Meta API làm nguồn chuẩn, kiểm tra chênh lệch, lưu lịch sử thay đổi rồi triển khai rule có kiểm soát. Cách này giảm thao tác tay nhưng vẫn tránh việc endpoint tin tưởng vô điều kiện một thay đổi mạng ngoài ý muốn. Sau cùng, chữ ký webhook mới xác nhận được nguồn gửi ở tầng ứng dụng; allowlist IP chỉ là phòng tuyến bổ sung.
