Veille sécuritéBackend & données
P3Critique
L’avis GitHub signale du code malveillant dans le paquet PyPI qzc690382, version 1.0.0 : son script d’installation démarre un serveur réseau permettant l’exécution de commandes. Le paquet ne présente pas de fonctionnalité légitime cohérente avec ce comportement; retirer le paquet et examiner les systèmes où il a été installé.
Python
IdentifiantAvis de sécurité
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Analyse technique
Le script setup.py installe et lance un serveur HTTP détaché exposé sur plusieurs ports et capable d’exécuter des commandes shell.
Impact, versions et correctif
Événement datéL’avis GitHub indique une publication à 2026-11-07T12:31:46Z, soit 2026-11-07T14:31:46+02:00, dans la période retenue.
ImpactExécution de commandes à distance sur l’hôte ayant installé le paquet.
Versions affectées1.0.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-11-07T14:31:46+02:00
Mise à jour2026-11-07T17:30:27+02:00
Détection / vérification
Rechercher le paquet qzc690382 version 1.0.0 dans les environnements et journaux d’installation.
Action recommandée
Ne pas installer ce paquet; s’il est présent, le retirer et traiter l’hôte comme potentiellement compromis.
Sources
Priorisation DFS : P3 · 1 source(s).