Последние новости: PyPI

В Python Package Index обнаружили вредоносный пакет parsimonius, который маскировался под легитимную библиотеку parsimonious. Разница — одна буква. Для разработчика, который быстро ставит зависимость из консоли или копирует название из чужого README, этого достаточно.

TrapDoor атакует разработчиков. В npm, PyPI и Crates.io нашли вредоносные пакеты для кражи данных.

pip install превращается в лотерею: в России жалуются на проблемы с PyPI

Автоматический сканер принял обычные пакеты за вредоносные: OSV отозвала 157 отчётов

Исследователи CrowdStrike, Google и Shadowserver Foundation отключили инфраструктуру GlassWorm — самораспространяющегося вредоносного червя, который атаковал разработчиков через расширения VS Code, OpenVSX, npm- и Python-пакеты, а затем использовал украденные токены для заражения новых репозиториев и пакетов. Операция прошла 26 мая 2026 …

Киберпреступники превратили взлом open source в конкурс: $1 000 за самый крупный supply chain. Риск — массовые атаки на цепочки поставок

GitHub Actions, токены и релизы стали новой поверхностью атаки. Доверять пакетам «потому что они популярные» больше нельзя.

Новая волна Contagious Interview затронула сразу пять экосистем открытого ПО. Вредоносные пакеты маскировались под инструменты для разработчиков и загружали второй этап заражения.

В PyPI обнаружили вредоносные версии официального Python SDK Telnyx — 4.87.1 и 4.87.2. Разбираем, что произошло, какие системы были под угрозой, как работала атака и что делать разработчикам и DevOps-командам.

LiteLLM скомпрометировали через PyPI: вредоносные версии крали ключи и токены

Украденный из Trivy токен дал TeamPCP доступ к публикации LiteLLM на PyPI. Заражённая версия запускалась при каждом старте Python, не только при импорте библиотеки. За три часа зафиксировано 500 000 случаев кражи данных. Jupyter, Ansible, юнит-тесты — всё передавало сведения …