🔑 ถ้าเครื่องคุณติดตั้ง GitHub CLI บน Linux ผ่าน APT หรือ RPM…

🔑 ถ้าเครื่องคุณติดตั้ง GitHub CLI บน Linux ผ่าน APT หรือ RPM อาจมีงานเล็ก ๆ ที่ห้ามปล่อยผ่านก่อน 5 ก.ย. 2026

GitHub แจ้งว่า PGP key ปัจจุบันของ package repository สำหรับ GitHub CLI จะหมดอายุในวันเสาร์ที่ 5 ก.ย. หลังจากนั้น release ใหม่จะใช้ replacement key ในการ sign repository metadata และ RPM package

ประเด็นนี้ไม่ใช่การบังคับอัปเดตตัว gh โดยตรง แต่คือการตรวจว่าเครื่องของเรารู้จัก key ใหม่แล้วหรือยัง ถ้า keyring เก่าหรือ custom image ยังเชื่อถือเฉพาะ key เดิม การอัปเดต package ในรอบถัดไปอาจตรวจลายเซ็นไม่ผ่าน

สิ่งที่ควรทำ:

• ถ้าติดตั้งจาก official APT/RPM ก่อน 8 เม.ย. 2026 ให้ทำตามขั้นตอน keyring ในประกาศเต็มก่อน deadline
• ถ้าไม่แน่ใจว่าติดตั้งเมื่อไร ให้ตรวจ keyring และ package source ของเครื่อง แทนการเดาจากเวอร์ชัน gh
• ถ้าใช้ custom image หรือ automation ให้ทดสอบการติดตั้ง/อัปเดตใน image ใหม่ด้วย เพราะจุดเสี่ยงอาจอยู่ใน bootstrap script
• หลังเปลี่ยน key อย่าเชื่อเพียงว่า package ติดตั้งได้ ให้ตรวจว่า repository metadata และ package signature ผ่านจริง

ขอบเขตสำคัญ: การเปลี่ยนนี้ไม่กระทบผู้ใช้ Windows หรือ macOS, ผู้ที่ build จาก source, Homebrew, Conda, community package manager, direct .deb หรือ standalone archive จาก GitHub Releases

มุม Code Review คือ package signing key เป็น Dependency ของ Supply Chain เช่นเดียวกับ code และ lockfile ถ้า key rotation ไม่ถูกทดสอบใน CI/CD หรือ golden image การเปลี่ยนที่ปลอดภัยจากต้นทางก็กลายเป็น incident ตอน deploy ได้

เหมาะกับทีมที่ดูแล Linux fleet, CI runner, container image หรือเครื่องมือ DevOps แบบ immutable ส่วนคนที่ใช้ GitHub CLI บน Windows/macOS ไม่ต้องทำตามขั้นตอนนี้

ลิงก์ต้นทางอยู่ในคอมเมนต์แรก คุณมีวิธีทดสอบ Key Rotation ใน CI หรือ Golden Image อย่างไรบ้าง? ติดตาม SynapTech AI เพื่ออ่านมุมเทคโนโลยีที่ต่อยอดเป็น Workflow ได้จริง

#GitHubCLI #Linux #SupplyChainSecurity #DevOps #SynapTechAI

---

📖 อ่านบทความเต็มบน Facebook | 🔔 ติดตาม SynapTech