PyPI、14日以上前のリリースへのファイル更新を制限

Python Package Index (PyPI) は2026年7月22日(現地時間)、14日以上前の既存リリースに対し、新たなファイルのアップロードを拒否する運用を開始した。この制限は、PyPIプロジェクトの発行トークンやワークフローが侵害された場合に、長期にわたり安定している古いリリースが意図せず改ざんされる事態を防ぐ目的で導入された。現時点ではこの仕組みが悪用された事例は確認されていないものの、技術的な観点から攻撃者がその可能性を認識していなかったという以上の理由は存在しない、とPyPIブログのセス・ラーソン (Seth Larson) 氏が述べている。

PyPIの新たな制限は、ソフトウェアサプライチェーンセキュリティの強化策の一環として導入された。この措置により、攻撃者が発行トークンなどを不正に入手した場合でも、過去の安定版リリースに悪意のあるコードを混入させるリスクが低減される。

PyPIブログで言及された内容によると、セス・ラーソン氏は現在のところ悪用は確認されていないとしながらも、攻撃者が過去のリリースを標的とする可能性について警告している。これはPythonコミュニティにおけるパッケージ管理の安全性向上に向けた継続的な取り組みの一環である。

参考: Simon Willison’s Weblog (アーカイブ) — 2026年7月23日 13:50 (JST)