概要
PyPI上で配布されている pytorch-lightning パッケージの複数バージョンが侵害され、悪意あるコードが混入していることが確認されました。これはサプライチェーン攻撃であり、侵害されたバージョンをインストールまたはアップデートしたユーザーの環境において、任意のコードが実行される可能性があります。
PyTorch Lightningは深層学習フレームワークPyTorchのラッパーライブラリとして広く利用されており、影響範囲は広大です。侵害されたパッケージは正規のリリースに見せかけて配布されていたため、通常のインストール手順で悪意あるコードが導入される危険性がありました。
本脆弱性はGitHub Security Advisory（GHSA-w37p-236h-pfx3）として2026年5月7日に公開されました。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 9.8 |
| 深刻度 | Critical |
| CWE | CWE-506 (埋め込み悪意あるコード) |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| pytorch-lightning (PyPI) | Lightning AI | 侵害された複数バージョン |
修正バージョンと回避策
- 修正バージョン: Lightning AI が公開する正規の修正済みバージョンを確認し、アップデートを実施してください
- 暫定回避策:
- インストール済みの
pytorch-lightningパッケージのバージョンとハッシュを確認し、侵害されたバージョンでないか検証する - 侵害が疑われる場合は、パッケージのアンインストール後にクリーンな環境で再インストールする
- 依存パッケージのピン留め（バージョン固定）とハッシュ検証を導入する
- CI/CD パイプラインで利用している場合は、ビルド環境の再構築を検討する
- インストール済みの
関連リンク
データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。