対象日：2026-11-08／公式Advisory確認：2026-11-10 JST／初回公開：2026-11-10（欠号の遅延復旧）
本号はGitHub Advisory Databaseに登録されたPyPIの悪性パッケージ2件を扱います。優先度は一般読者の確認順で、P1は導入状況を優先照合、P2は条件付き情報露出の点検です。該当する実行・不審な防御設定を確認した端末は、見出しの優先度とは別に即時の隔離・調査が必要です。
PyPI rainbowcolors 0.1.0：Windowsで実行ファイルを取得・起動（P1）
GitHub Advisory Databaseの解析によると、WindowsでrainbowcolorsのColorメソッド（print/paint/__call__など）を初めて呼ぶと、外部の匿名共有先から実行ファイルを取得・起動します。その前後にMicrosoft Defenderの除外設定を追加しようとする挙動も報告されています。これは個別端末で実行が成功した証拠ではありません。一次情報：GHSA-fh9h-99qg-6xm4（公開：2026-11-08 12:33:47 UTC＝21:33:47 JST、更新：15:32:34 UTC）。Advisoryの影響版：= 0.1.0。 他の版まで影響すると断定しません。
該当条件： rainbowcolors==0.1.0を導入したWindows環境を確認してください。実行に関してAdvisoryが示すのは最初のColorメソッド呼び出しであり、単なる名称の類似では対象になりません。
安全な確認： ①依存・ロックファイルに該当版がなければ、このAdvisoryに基づく対応は不要です。②導入済みでも実行の有無が不明な場合、対象コードを起動せずに隔離環境から導入証跡、EDR・Defenderの検出履歴と除外パス・除外プロセス設定を読み取り専用で点検してください。③実行や不審な除外が確認できた場合は侵害を疑う段階です。
対処と復旧： 導入済みで実行不明なら悪性版を除外して安全な依存へ置換し、設定・防御ログを確認します。実行または防御除外の不審な変更が確認されたらネットワークから分離して証拠を保全し、到達可能だった秘密を清浄な別端末から失効・再発行して、クリーンなイメージで再構築します。除外設定は証拠を確認したうえで適切に修正します。
留保： 侵害の成立、取得先バイナリの最終動作、被害端末数はこのAdvisoryだけでは確定できません。修正版は示されていません。
PyPI infra-libs 99.99.99：install/import時のホスト名DNS送信（P2）
GitHub Advisory Database（OpenSSFなどの悪性パッケージ観測データを含む）によれば、infra-libsのセットアップ時とimport時にホスト名をDNSサブドメインへ埋め込み、外部の権威DNSへ送信する実装が見つかっています。一次情報：GHSA-cj88-j9xh-9cwj（公開：2026-11-08 12:33:47 UTC＝21:33:47 JST、更新：15:32:34 UTC）。Advisoryの影響版：= 99.99.99。
該当条件： 正確な配布名と99.99.99版をインストールした環境が対象です。セットアップでも実行され得るため、importの有無だけで除外できません。infra-libsという社内依存名が公開PyPIのパッケージ名と重なり、extra-index-urlなどで外部indexも参照する構成では、依存関係混同による意図しない取り込みの可能性も点検してください。ただし、この個別配布の攻撃意図までは断定しません。
安全な確認： requirements／lockfileの名称・版を完全一致で照合し、依存indexの設定（index-url／extra-index-url）とハッシュ固定の有無を読み取ります。保存済みビルド記録と許可されたDNS監査ログを調べます。悪性パッケージを再インストール・importしないでください。
対処と復旧： 該当版を依存から除去し、正しい取得先と版を固定して清浄な環境で再ビルドします。DNSによるホスト識別子の流出可能性を評価し、配布物とCIキャッシュを再利用しないでください。
留保： Advisoryが裏づける送信対象はホスト名です。秘密鍵やファイルの流出、個々の環境での受信成功までは断定できません。修正版・実被害の規模も未確認です。
調査範囲と非該当
2026-11-10に上記GitHub Advisoryの影響版・Published・Updated・挙動記述を個別確認しました。この2件に限る選択的な調査であり、同日のCISA KEVや全GHSA、主要ベンダーのすべての更新は網羅していません。「調査して問題なし」とは判定していません。特定の利用者の端末・CI環境への導入状況も未確認です。
初回公開と更新履歴
2026-11-10 JST：11月8日対象号として遅延初回公開。2026-11-10 JST：公開後の独立Claude Opusレビューを受け、影響版の原文表記、導入のみ・実行不明の条件、優先度、安全な確認、依存関係混同の留保、確認範囲と更新履歴を一次情報に基づいて訂正しました。初回公開の分単位時刻は検収原本に確定記録がないため記載していません。