
2026/03/27 17:57
**タイトル:** PyPIで発覚したTelnyxパッケージのセキュリティ違反 (Note: If you prefer a more concise version, you could use “PyPIにおけるTelnyxパッケージの侵害”.)
RSS: https://news.ycombinator.com/rss
要約▶
Japanese Translation:
概要:
2026年3月27日03:51:28 UTCに、悪意のあるコードを含む2つの不正なTelnyx Python SDKリリース(4.87.1および4.87.2)がPyPIに公開されました。同日の10:13 UTCまでに、PyPIのセキュリティチームによって両バージョンが隔離され、その後リポジトリから削除されました。
本件は、Trivy(2026年3月19日)、Checkmarx、およびLiteLLM(2026年3月24日)を対象としたより広範なサプライチェーン攻撃の一部です。PyPI配布チャネルのみが侵害され、Telnyxのコアプラットフォーム、API、音声サービス、メッセージングインフラストラクチャ、ネットワーキング、SIP、AI推論、および本番APIは安全に保たれました。
2026年3月27日03:51 UTCから10:13 UTCの間にパッケージをインストールまたはアップグレードしたユーザー(またはアンピン付きのトランジティブ依存関係経由で受け取った場合)はリスクがあります。影響を受けていないユーザーには、telnyx≤ 4.87.0 を実行している者やSDKなしでREST APIを直接使用している者が含まれます。telnyx
検出はを実行することで可能です。バージョンが 4.87.1 または 4.87.2 の場合、環境は侵害されているとみなしてください。即時の修復手順は次の通りです:pip show telnyx
- バージョンを 4.87.0 にダウングレード(
)pip install telnyx==4.87.0- すべてのシークレット(APIキー、データベース資格情報、クラウドトークン、SSHキー、環境変数)のローテーション
- C2サーバー(83.142.209.203:8080)へのアウトバウンド接続を監査
- CI/CDパイプラインとDockerビルドをレビューし、侵害されたバージョンが取得されていないか確認
TelnyxはPyPIから悪意のあるリリースを削除し、公開資格情報がどのように侵害されたか調査中であり、さらなる妥協指標(IOCs)を公開予定です。影響を受けた関係者は支援を得るために [email protected] まで連絡することが推奨されます。本件はサプライチェーンの脆弱性を浮き彫りにしましたが、データ漏洩やインフラストラクチャへの侵害には至っていません。
本文
概要
2026年3月27日 03:51:28 UTC に、Telnyx Python SDK の無許可バージョン(4.87.1 と 4.87.2)が PyPI に公開されました。両方とも悪意あるコードを含み、同日の10:13 UTC で隔離処置が実施されました。
本件は Trivy、Checkmarx、LiteLLM も被害にあったより大きなサプライチェーン攻撃の一部です。
Telnyx プラットフォーム・API・インフラは侵害されておらず、攻撃は Python SDK の PyPI 配布チャネルに限定されます。
被害バージョン
| バージョン | 公開日時 |
|---|---|
| 2026年3月27日 03:51:28 UTC |
| 同日、少し後 |
両バージョンは PyPI から削除済みです。
対象者
以下の条件に該当する場合、影響を受けている可能性があります。
- 2026年3月27日 03:51 UTC ~10:13 UTC の間に telnyx パッケージをインストールまたはアップグレードした場合
をバージョン固定せず実行し、4.87.1 または 4.87.2 が取得された場合pip install telnyx- プロジェクトの依存関係で telnyx がアンピン付きトランジティブ依存として含まれた場合
非対象者
以下の場合、影響を受けていません。
- バージョン 4.87.0 以前を使用している
- 上記時間帯に telnyx パッケージのインストール・アップグレードを行っていない
- Python SDK を介さず Telnyx REST API を直接利用している
確認方法
pip show telnyx
表示されるバージョンが 4.87.1 または 4.87.2 の場合、環境は侵害されているとみなしてください。
影響を受けた際の対策
-
直ちにダウングレード
pip install telnyx==4.87.0 -
該当環境からアクセス可能な全シークレットをローテーション
- API キー
- データベース認証情報
- クラウドプロバイダーのトークン
- SSH 鍵
- 環境変数や設定ファイルに保存されている任意のシークレット
-
攻撃者インフラへのアウトバウンド接続を監査(以下の IOC を参照)
-
CI/CD パイプラインおよび Docker ビルドを見直し
- 悪意あるバージョンが取得された可能性がある箇所
侵害インジケーター (IOC)
| 種類 | 値 |
|---|---|
| C2 サーバ | |
| 情報漏洩手法 | WAV ステガノグラフィによるペイロード配信 |
追加の IOC は調査進展に応じて公開予定です。
侵害されなかった項目
- Telnyx プラットフォーム、音声サービス、メッセージングインフラ、ネットワーク、SIP、AI 推論、および全プロダクション API
- 顧客データは本件でアクセスされていません。SDK は公開 API をラップするクライアントライブラリにすぎません。
現在の対応
- 悪意あるバージョンを PyPI から削除
- 公開認証情報取得経路の調査中
関連インシデント
この攻撃は数週間にわたるサプライチェーンキャンペーンの一環です。
- Trivy 侵害(2026年3月19日)
- LiteLLM 侵害(2026年3月24日)
ご質問は?
本件について、または環境が影響を受けているか確認したい場合は [email protected] までお問い合わせください。