#supply-chain

ディープダイブ

脅威アクターは漏えいしたまま失効されていないマスターキーでLiteLLMのリリースパイプラインを乗っ取り、2026年10月21日に悪意ある1.107.0をPyPIとDockerへ公開しました。wheelはPythonの起動ファイルを設置し、LiteLLMを一度もインポートしなくても認証情報を盗み、1時間ごとに動くバックドアを開きます。PyPIは1時間44分後に隔離しました。インストールした環境は再構築し、到達可能な全シークレットをローテーションする必要があります。

セキュリティ

E.V.A Information SecurityがCocoaPodsに重大な脆弱性を発見し、ただちにパッチが適用されました。開発者は今後、所有者のいないパッケージを削除し、依存関係を検証し、アプリをスキャンしてセキュリティを確保する必要があります。

セキュリティ

依存関係の混乱（Dependency Confusion）の脆弱性を掘り下げ、新たな検出・悪用手法を紹介したうえで、この脆弱性に伴うリスクを緩和するための具体的な手順を示します。