Python Package Index (PyPI) は、セキュリティ強化のため、14日以上経過したリリースへの新規ファイルアップロードを拒否する措置を実施しました。
PyPI の公式ブログによると、この制限は、プロジェクトの公開トークンや自動化ワークフローが漏洩した場合に、古く安定したリリースに悪意のあるコードが仕込まれるのを防ぐためのものです。PyPI チームは、まだこの脆弱性が悪用された事例は確認されていないものの、攻撃者がその可能性に気付いていなかっただけだろうと指摘しています。
この変更により、メンテナーが既存のリリースに修正を追加する必要がある場合は、新しいリリースを作成することが求められます。この措置は、パッケージのサプライチェーンセキュリティを大きく向上させると期待されています。
Python 開発者やコミュニティからは、この前向きな対策を評価する声が上がっています。