調査確認：2026年11月2日朝JST。 11月1日にGitHub Advisory Databaseで公表されたPyPI悪性パッケージ2件と、10月31日公表のSkills関連PyPI依存混入・npm悪性版を扱う。公表日と本号の日付は異なり、個々の端末への導入・感染を示す情報ではない。 既刊の脆弱性と再録しない。
本日の優先対応
P1（該当環境限定）： pystr-codec 0.1.0〜0.1.2、privacypass-py 0.1.99〜0.1.101、skills-analyzer 0.1.0〜0.1.2、md-to-slides 0.1.0〜0.1.3、is-it-ai 0.1.0/0.1.1/0.1.3、npm local-commander-agent 0.3.52の正確な名前と版を、lockfile・依存台帳・CIインストール記録で照合する。直接導入だけでなく間接依存を含め、未導入ならこれらの既知の導入経路には該当しない。
該当すると判明した場合： その環境でPython、pip、対象パッケージを試しに実行しない。適切にネットワーク分離し、信頼できる別端末から秘密の失効・再発行と調査を開始する。既知のpystr-codecはPython起動だけで悪性.pthの処理が走ると報告されるため、単純なpython -m pip showの実行も安全な確認ではない。削除のみで完全復旧を主張しない。
1. pystr-codec：Python起動で処理される悪性.pth（P1）
公表・対象。 GitHub Advisory Databaseが2026年11月1日にpystr-codec（PyPI）の0.1.0、0.1.1、0.1.2を悪性版として掲載。修正版は掲示されていない。OpenSSF由来の技術説明では、配布物の.pthによりPython起動ごとに難読化されたJavaScriptをBunで実行させ、認証情報の外部送信、遠隔命令待機、別の秘密への横展開、破壊動作を試みる。攻撃の実際の成功件数・対象環境は記載内容だけでは確定できない。
該当・非該当、対処。 上記3版を導入したPython仮想環境、開発ホスト、CIランナーが対象。未導入、あるいは名前が似る別パッケージはこの特定版の警告に自動では該当しない。利用中の環境で検査コマンドを起動せず、隔離した別の信頼できる環境から依存宣言、lockfile、wheel記録、パッケージ台帳を確認し、該当環境は証拠保全後にクリーン再構築する。秘密が接触した疑いがあれば別端末から鍵やトークンを失効・再発行し、CI・公開リポジトリへの不正書込みを点検する。復旧は新規クリーン環境と秘密交換後に起動動作・外部通信・再発を検証し、既存環境の上書きだけで済ませない。
一次出典・時点。 GitHub Advisory GHSA-f93h-mc69-274w（2026-11-01公表、11-02朝JST確認）。
2. privacypass-py：build/installとimport時の情報送信（P1）
公表・対象。 GitHub Advisoryが2026年11月1日に、PyPI privacypass-py 0.1.99、0.1.100、0.1.101を悪性版として報告。修正版なし。原典によるとsetup.pyのbuild/install段階でホスト情報や認証情報らしい環境変数（AWS_、GITHUB_、PIP_等）を外部送信し、privacypass_pyをimportすると追加の変数名・値が送られる。本件はこのパッケージの配布物の問題であり、同名の標準的なPrivacy Pass技術全般の侵害ではない。
該当条件・対処。 この版をbuild、installまたはimportしたホスト、CI runner、コンテナイメージを点検。まず別のクリーンな端末から依存宣言、lockfile、CI履歴を読む。該当があれば影響する環境変数・ログ・認証情報の範囲を確認し、鍵を失効・再発行、クリーン環境で再構築する。importしていない場合でもbuild/install段階で送信処理があり得るため「importしていないから非該当」と結論しない。復旧後に悪性package・永続化・不審通信が残っていないか確認し、戻す場合は安全な依存版・ロックファイルを検証する。
一次出典・時点。 GitHub Advisory GHSA-45w4-c62g-5g5v（2026-11-01公表、11-02朝JST確認）。
3. Skills／資料変換パッケージに紛れたis-it-ai依存（P1）
公表・仕組み。 2026年10月31日公表のGitHub Advisoryは、skills-analyzer（PyPI、0.1.0/0.1.1/0.1.2）、md-to-slides（PyPI、0.1.0/0.1.1/0.1.2/0.1.3）、依存のis-it-ai（PyPI、0.1.0/0.1.1/0.1.3）を同一キャンペーンの悪性配布物として掲示した。特定の0.1.1リリース経由で隠れた依存が環境識別・遠隔URL受信・ダウンロード実行につながり得る。各パッケージの影響版一覧と、悪性処理が起動する正確な実行経路は同一ではない。記載されていないis-it-ai 0.1.2を確認なしに安全と断定しない。
対処・確認。 上記名・版の直接／間接依存を信頼できる隔離済みの別環境で調べ、該当ホストは利用停止・証拠保全・秘密ローテーション・クリーン再構築。悪性依存がインストール／実行されていないことを新規構築された環境で確認する。単にskillsやMarkdown資料作成ツールを使っているだけで該当とはしない。復旧時にはpin先と正規配布元、ハッシュ固定、CIランナーのキャッシュを確認し、必要ならロールバック可能な既知の安全な依存セットに切り替える。
一次出典・時点。 skills-analyzer GHSA-r92r-m9r8-78vj、md-to-slides GHSA-7p4v-mm6f-8g5c、is-it-ai GHSA-76h8-w3px-47hx（いずれも2026-10-31公表、11-02朝JST確認）。
4. npm local-commander-agent 0.3.52（P1：正確な製品照合が必要）
公表・対象。 GitHub Advisoryは2026年10月31日に、npmパッケージlocal-commander-agentの0.3.52のみをMalwareに分類。公式修正版の掲示はない。原典は導入済みのホストを侵害可能性があるものとして扱い、秘密の再発行と環境再構築を推奨する。名前が似ているだけの別製品や、一般的なリモート操作ソフトに同じ影響を推定しない。
確認・復旧。 package-lock.json、pnpm-lock.yaml、yarn.lock、SBOMやCIのインストール履歴から名前と正確な版を確認する。該当するインストールがあれば、そのホストはネットワーク分離・証拠保全後にクリーン再構築し、別端末から資格情報を更新する。アンインストールだけで後続の不正コード消去を保証しない。新規環境で依存と秘密交換・通信・CI再実行の正常性を検証する。
一次出典・時点。 GitHub Advisory GHSA-7j62-5j84-72fv（2026-10-31公表、11-02朝JST確認）。
確認できた範囲と未確認事項
今回のGitHub Advisory Databaseを中心とする照合では、これら配布物の悪性分類は確認したが、全ユーザー環境での実悪用・侵害件数、特定端末への導入、すべてのベンダーの新たなP0の有無は確認していない。CISA KEV公式JSONの直接取得はアクセス拒否があり、全カタログの確認とは言えない。10月末のGitHub/OpenAI障害は既に解消済みの過去事象で、新規障害と扱わない。
この日報の更新履歴
本号の調査対象日：2026-11-02。GitHub Advisoryの一次公表日は10月31日・11月1日。初回公開前に調査、初回公開実日と独立LIVE検収時刻は公開後に確認してPrivate証跡へ保存する。重大な訂正のみ同じURLへ追記する。