Популярность имеет свои минусы. Чем популярней язык программирования, тем выше его распространённость, а значит найдутся те кто поспешит воспользоваться этим.
С ростом популярности Python всё больше на PyPi появляется вредоносных пакетов. Трояны, стиллеры и доставщики более опасных вредоносов.
Команда PyPi постоянно мониторит подобные случаи но и их возможности достигли предела. В результате сервис временно закрывает возможность заливки новых пакетов и регистрации юзеров.
PyPI new user and new project registrations temporarily suspended
Возможно одной из причин большого наплыва вредоносов является резко возросшая доступность их создания. Сегодня любой, даже не программист, может попросить у ChatGPT написать необходимый код и все инструкции для атаки.
Основной тип атаки - рассчёт на опечатку в названии пакета. Если невнимательный программист случайно установит pilow или djangoo, считай что вредонос уже в системе.
Чтобы избежать подобных факапов я рекомендую:
▫️ Всегда работайте в виртуальном окружении, неизвестные проекты устанавливайте внутри контейнеров.
▫️ Используйте файл requirements.txt вместо ручной установки пакетов
▫️ Очень внимательно пишите названия пакетов, а после написания проверьте еще раз. Сверьте с названием из документации.
▫️ После успешных тестов всегда фиксируйте версию пакета. Бывали случаи когда опасный код добавляли в новые версии. К тому же и без этой опасности не рекомендуется ставить по умолчанию последнюю версию.
▫️ Используйте вспомогательные инструменты для проверки безопасности, например https://pyup.io/safety или https://github.com/PyCQA/bandit. Они помогут не только найти опасный код в чужих пакетах, но и ваш код проверит на уязвимости.
Будем надеяться что PyPi переосмыслит методы борьбы с вредоносами, например внедрит ИИ для проверки как симметричный шаг.
#offtop
News: #Tigray denies reports of #federal salary budget release, calls claims “misleading”
Tigray Communication Affairs Bureau has dismissed circulating reports that the federal government has released #budget allocations for the #salaries of public servants in Tigray, describing the claims as “baseless” and “intended to mislead the public.”
In a statement issued on 29 March, the Bureau said no such funds have been received to date, citing information from the regional Bureau of Finance and Resource Mobilization.
“The information being disseminated is completely false,” the statement said, warning that the reports are designed to create mistrust between the regional administration and civil servants.
The Bureau’s statement comes amid continued uncertainty over the restoration of federal budgetary support to Tigray which was blocked since October 2025.
Read more: https://addisstandard.com/?p=56184
News: Teachers, students in #Tigray protest federal #salary suspension, call for international pressure
Senior officials of the Tigray Interim Administration, alongside educators and students, staged large-scale protests across several towns in Tigray, including the capital #Mekelle, on 24 March 2026, condemning the federal government’s decision to “suspend civil servant #salaries” and calling for international intervention, regional broadcaster, Tigrai Television televised.
The demonstrations, which drew thousands of teachers and students, underscored a deepening humanitarian and education crisis in the regional. Regional authorities say the federal government has halted salary payments for teachers since October 2025, a move they argue violates constitutional provisions and international legal obligations.
#Amanuel_Assefa, Vice President of the Tigrai Interim Administration, told protesters that the suspension of budgets and salaries is a deliberate effort
Read more: https://addisstandard.com/?p=56054