「PyTorch Lightning」に不正コード - 認証情報窃取のおそれ

機械学習ライブラリ「PyTorch」向け開発フレームワーク「PyTorch Lightning」において、悪意あるコードが含まれるパッケージが「PyPI」経由で一時公開された。認証情報が窃取されるおそれがあり、関連システムの再構築や認証情報の変更が呼びかけられている。

同ソフトを開発、保守しているLightning AIは、現地時間2026年4月30日にセキュリティアドバイザリを公開し、一部リリースが侵害されていたことを明らかにした。同問題には「CVE-2026-44484」が割り当てられている。

アドバイザリの公開時点で判明している範囲では、「PyPI」経由で配布された「PyTorch Lightning 2.6.3」「同2.6.2」において悪意あるコードが含まれていたことが判明しており、開発チームは「PyPI」から削除した。

影響を受けるバージョンの詳細、攻撃経路、不正コードの動作および影響など、詳細について調査を進めている。

共通脆弱性評価システム「CVSSv4.0」のベーススコアは「9.3」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

（Security NEXT - 2026/05/07 ）ツイート