headless 曰く、

IEEE Spectrum のプログラミング言語ランキングでは 2017 年以来 Python が 1 位を保っているが、2023年版では 2 位以下との差を大きく広げた (The Top Programming Languages 2023、 DEVCLASS の記事)。

IEEE Spectrum のランキングでは昨年まで 1 位のスコアを 100 点としていたのに対し、今年は 1 位のスコアが 1 点となったためそのままの数字では比較しにくいが、昨年 96.8/100 点で 2 位だった C は 0.4641/1 点と半減して 4 位に後退し、Java が 5 位から 2 位へ上昇している。ただし、Java のスコアも昨年の 70.22/100 点から今年は 0.588/1 点まで大きく減少した。昨年の 2 ～ 4 位が大幅に減少したのに対し、昨年 7 位だった JavaScript は 40.48/100 点から 0.4638/1 点まで増加して 5 位に上昇した。このほか、トップ 10 では Go と TypeScript が増加している。

Python は何にでも使える言語となり、よりシェアの少ない専門的な言語からシェアを奪って増加しただけでなく、強力で幅広いライブラリが利用可能な AI などの分野では主流の言語となった。また、ハイエンドコンピューティングにおけるムーアの法則が終焉に向かう一方でローエンドのマイクロコントローラーはパフォーマンスの向上が続いており、インタープリターのオーバヘッドで不利な Python が組み込み開発の競争にも加わるようになったほか、子供たちが最初のプログラミング言語として Python を学ぶことにより長期的なポジションも確保したとのこと。

一方、求人では SQL が Python を上回っている。ただし、純粋な SQL プログラマーが求められているのではなく、Java や C++ など他の言語と組み合わせたスキルが求められているという。また、Java など C ライク言語の総計は Python を上回っており、特に高パフォーマンスが求められるタスクやリソースに制約のあるタスクなど、インタプリターのオーバーヘッドが問題になる用途では Python が不利 (対策も試みられてはいるが) だ。このほか、Python による置き換えの難しい言語として R や Fortran、COBOL が挙げられている。

すべて読む | デベロッパーセクション | プログラミング | デベロッパー | Python |

関連ストーリー：
Pythonコンパイラ「Codon」誕生 2023年03月14日
GitHubが「2022年に最も使用されたプログラミング言語ランキング」を発表 2022年11月21日
11月のTIOBE Index、JavaとCが僅差で並ぶ 2019年11月10日
IEEE Spectrumによるプログラミング言語ランキング、今年もPythonが1位 2018年08月06日
IEEE Spectrumの人気プログラミング言語ランキングでPythonが1位に 2017年07月23日

Microsoftは22日、「Python in Excel」のパブリックプレビューを発表した。この機能は、「Microsoft 365 Insider」プログラムのメンバーに段階的に提供される。「Python in Excel」は、PythonスクリプトをExcel内で実行できるようにする機能。Pythonは、数値計算、統計分析、機械学習などの領域で広く活用されており、Excelと組み合わせることでビジネスアナリティクス分野での活用が可能（Announcing Python in Excel、窓の杜）。

Excel上でPythonコードを実行するには、新関数「PY」の引数にコードを与えることで可能となる。クラウドサービス上で計算処理が行われ、結果がワークシートに返されるため、ユーザー側でPython環境を整える必要はないとしている。またセキュリティも考慮されているとしている。「Python in Excel」には「Anaconda」ディストリビューションが組み込まれており、主要なPythonライブラリが利用可能としている。

すべて読む | デベロッパーセクション | デベロッパー | Python |

関連ストーリー：
ExcelにPythonの搭載検討、Microsoftがアンケート実施中 2017年12月19日

7月17日にPythonベースのプログラミング言語「Cython 3.0.0」が5年近くの開発期間を経てリリースされたという。Cython 3.0は、Python 3の構文とセマンティクスをデフォルトでサポート。例外処理が改善され、C/C++との互換性も向上した。一方で大きな変更がされたことからCython 2.xとCython 3.0間の互換性では問題が出る模様。この影響でAWS CLI などの一部のアプリケーションがビルドに失敗する可能性があるという（リリース、DEVCLASS）。

すべて読む | デベロッパーセクション | プログラミング | デベロッパー | Python |

関連ストーリー：
Visual Studio 2022が発表。64bit化され4GB制限がなくなる 2021年04月28日

あるAnonymous Coward 曰く、

5月20日に公開された「自社開発メガベンチャーをわずか半年で鬱退職した雑魚エンジニアの話」という記事が、Twitterなどのプログラマ界隈で盛り上がっているので共有したい（はてなブックマーク）。

記事を要約すると、氏はメガベンチャーと呼ばれる自社開発企業の機械学習エンジニアに転職、そこは待遇もよくプロジェクトも選べるなど自由主義な社風であったが、一方で放任主義であったという。入ったプロジェクトは前職（データサイエンティスト）の経験に近そうなPythonのプロジェクトであったが、ソースコードの品質が低く理解できず、またこのままでは問題があると思い、リファクタリングを提案するもチームメンバーには受け入れらず、結果として人事評価も低くなり、最終的にマネージャーからの「あ、そういうコードを保守した経験ないんですね」というコメントに耐えられなくなり、鬱になってしまったという。

これに対して、SNS上では「この人は悪くない。環境がダメだっただけ」「相性が合わなかったのでは」「コードの品質より短期的な売り上げを優先する職場だったのでは」「既存メンバーはリファクタリングする動機が無いのでこういうのは良いリファクタリングタイミングだ」といった擁護の声がある一方、「チームに入って初手リファクタリング提案は絶対ダメ」「入ったばかりの人は信頼ポイントを貯めてから提案すべき」「本番運用中のコードを変えようとしたら挙動が変わらないことだけを願いますと言われるのは当たり前」「品質が低いコードを保守するという仕事は普通にあるので元の品質が低くて直せないというのは普通にスキル不足」といった厳しい声、また「そもそもPythonで書いたコードに保守性なんてない」というどうしようもないツッコミも上がっている。スラド諸氏はどう考えるだろうか？

すべて読む | ITセクション | プログラミング | IT | SNS | Python |

関連ストーリー：
フリーランスITエンジニアの3割がChatGPTを仕事に使った経験。Hajimari調査 2023年05月22日
Microsoft のエンジニアが愛する Linux カーネルのフィーチャー 2023年05月17日
プロンプトエンジニアはプログラマーを駆逐するか？ 2023年05月09日
リモートから出社に回帰した企業ではITエンジニアの4割超が転職活動を実施との調査結果 2023年04月30日

2日、ModularはAIソフトウェア開発向けに最適化されたプログラミング言語「Mojo」を開発中だと発表した（gihyo.jp、k0kubun's blog）。

Mojoは、Pythonの部分と、C、C++、およびCUDAを必要とするようなシステムプログラミング機能が組み合わされ、Pythonの使いやすさとCのパフォーマンスを持ち、AIアクセラレーター向けの新しい機能が追加された言語になるそうだ。なおローンチ動画では全く同じコードがCPythonとMojoの両方で動くことが強調されているが、Why Mojoには現状の互換性には課題があることも記載されている。

すべて読む | デベロッパーセクション | デベロッパー | Python |

関連ストーリー：
Coconut v2.0.0リリース 2022年10月13日
PyPIに悪意のあるパッケージがアップロードされていた 2017年09月18日
Python 2.7系のサポートが2020年まで延長される 2014年04月17日
Python 3系の機能を2系に導入する「Python 2.8」が議論される 2011年12月16日

Pythonは可読性や広範なエコシステムなどから、最も人気のあるプログラミング言語だが、速度面での評価は高くない。そんな中、MITの研究者たちは高級言語の親しみやすさと低水準言語の高速性を両立させる方法を発見したという（The Register）。

彼らは「Codon」と呼ばれるPythonコンパイラを開発し、Pythonコードをネイティブなマシン語に変換することで、実行時のパフォーマンスを低下させないようにすることに成功したそうだ。レポートによれば、Codon使用時のパフォーマンスは、シングルスレッド性能で従来の10-100倍以上の高速化を達成している。C／C++と同等もしくはそれ以上の性能があるとしている。

もっとも課題も残っているという。CodonはPythonのほとんどの機能を実装しているが未実装の部分も残っていたり、Pythonのモジュールの中にはCodonに組み込まれていないものもある。このほか、コードの解析や最適化を難しくする機能も省かれているという。

すべて読む | デベロッパーセクション | プログラミング | Python |

関連ストーリー：
Numba開発の内情 2023年02月08日
TIOBE IndexのProgramming Language of the Year 2019はC言語 2020年01月13日
2014年現在、C言語の意義はどれぐらいある？ 2014年12月10日

セキュリティ企業のPhylumは、PyPI (Python Package Index)リポジトリに大量の不正なPyPIパッケージが登録されているとの報告を行った。それによると、マルウェアをPython開発者のシステムに感染させる450以上の悪意のあるPyPIパッケージが公開されているという。内容は過去に見つかったものや2022年11月に同社が発見したものと同種の攻撃と分析されているが、今回はそのときの約20倍のPyPIパッケージが公開されているという（Phylum、TECH+）。

このパッケージ群は、ユーザーがWebブラウザにURLを入力する際に犯す打ち間違いを悪用する「タイポスクワッティング」を意図したサイバー攻撃とされる。例えばvyperの場合、一文字削除(yper/vper)や一文字重複(vvyper/vyyper)、二文字の転置(yvper/vpyer)など複数パターンで合計13個のPyPIパッケージが登録されていたことが分かっているとのこと。

すべて読む | デベロッパーセクション | 犯罪 | セキュリティ | ソフトウェア | デベロッパー | Python |

関連ストーリー：
Microsoft、Visual Studio Codeにプロファイル機能の追加などのアップデート 2023年02月10日
ドメイン名のミスタイプを狙った大規模なタイポスクワッティングキャンペーンが確認される 2022年10月31日
PyPI で暗号通貨採掘マルウェアを含む悪意あるパッケージが見つかる 2021年06月26日
海賊版サイトへのアクセスをブロックするだけのマルウェア 2021年06月20日
名前のタイプミスを狙った悪質なパッケージがRubyGemsで多数公開される 2020年04月19日

Python向けのJITコンパイラ「Numba」に関して、そのGithub上でその開発における内情が紹介されている。Python 3.11をサポートしたいわゆる新バージョンの「進捗どうですか？」の質問に回答する形でおこなわれている。曰く、NumbaはPythonのバイトコードで動作しており、Pythonのマイナーリリースごとに、Numbaを新しいバイトコードのバージョンに追従させる必要があり、その作業には3～6か月の期間、作業が必要であるとしている（GitHub）。

すべて読む | デベロッパーセクション | デベロッパー | Python |

関連ストーリー：
「PHP 8」ではJITを導入へ。パフォーマンスの大幅な向上が期待される 2019年04月16日
PHP 7リリース、言語仕様の大幅拡張と当社比2倍の性能アップを実現 2015年12月07日
Microsoft、LLVMベースの.NET向けコンパイラをリリース 2015年04月15日
WebKitのJavaScriptエンジンを改良、スピードが従来の2倍に 2008年09月21日

Python Software Foundationは25日、メジャー安定版リリース「Python 3.11.0」をリリースした（Pythonリリース、GIGAZINE、The Register）。Python 3.11の最大の特徴は高速化された点にある。Python 3.10から10％~60％の高速化が図られ、平均で1.25倍という高速化に成功したとしている。そのほかの一般的な変更改善点としては、

PEP-657:Tracebackでエラー位置の詳細が追加される
PEP-654:例外グループとexcept*
PEP-680:標準ライブラリでのTOML解析のサポート
gh-90908:「asyncio」にタスクグループを導入
gh-34627:アトミックグループと量指定子の正規表現が追加

が上げられる。開発者向けとしては特定のPythonエラーメッセージをより明確に通知するPEP-657が注目点であるようだ。このほかタイピング周りの変更等もおこなわれている。

すべて読む | デベロッパーセクション | プログラミング | デベロッパー | Python |

関連ストーリー：
Pythonに4件の脆弱性。修正版のv3.10.8が登場 2022年10月14日
Coconut v2.0.0リリース 2022年10月13日
日本語で指示を入力すると、コードを生成するAIが登場 2022年10月05日
RMS、GNU C 言語リファレンスマニュアルをアナウンス 2022年09月08日
Python Software Foundation、商標登録の不使用取消審判に成功 2022年05月06日

スクリプト言語「Python」のセキュリティアップデートが、10月11日に公開された（Python Insider、窓の杜）。「Python 3.10.8」は定例のリリース扱いだが、他のバージョンでもいくつかの修正があったため、v3.10.8、v3.9.15、v3.8.15、v3.7.15の4バージョン同時のリリースとなった。なおタレコミがされた時点ではx64用は公開されていなかったが、現時点では利用可能となっている。今回修正された脆弱性は次の通りとなっている。

あるAnonymous Coward 曰く、

CVE-2022-40674：同梱の「libexpat」ライブラリにヒープ解放後メモリ利用（use-after-free）。「libexpat」v2.4.7からv2.4.9への更新で解決。
gh-97616：「list *= int」で発生する可能性のあるバッファーオーバーフローを修正。
gh-97612：サンプルスクリプト「get-remote-certificate.py」におけるシェルインジェクション（CVE番号が割り当てられていたが撤回）。
gh-96577：「msilib」におけるバッファーオーバーラン。

すべて読む | デベロッパーセクション | セキュリティ | デベロッパー | Python |

関連ストーリー：
Coconut v2.0.0リリース 2022年10月13日
日本語で指示を入力すると、コードを生成するAIが登場 2022年10月05日
Python Software Foundation、商標登録の不使用取消審判に成功 2022年05月06日
ブルームバーグ・ターミナルのオープンソース版を作るプロジェクト 2022年04月07日

Pythonと互換性のある言語として知られている関数型言語「Coconut」がバージョンアップを果たし「v2.0.0」となった。Coconut初のメジャーバージョンリリースとなり、多くの部分が変更されている。変更点としては、Python 3.10のアップデートがおこなわれたことで、Coconut側のパターンマッチングのルールと衝突するようになったことから、Python 3.10に合わせた形に変更、互換性を確保した。またv2.0.0では、多次元配列のリテラル/連結構文などの新機能が導入された（GitHubのリリース）。

すべて読む | デベロッパーセクション | Python |

関連ストーリー：
Python 3.10リリース 2021年10月07日

プログラミング言語「Python」は、米Python Software Foundationがその管理を行っている。栗原潔氏の記事によると、Pythonの商標登録は、9類（ソフトウェア関連）と42類（コンピューター関連）については、同団体が取得している。しかし、9類（電気通信機器等）、16類（紙類）、41類（経営セミナー開催等）、42類（デザインの考案）に関しては、同団体に先駆けてアークという日本の研修サービス企業が商標登録（登録6042638号）を行っていた。このため、国内のIT関係者の間で無効申請すべきかなどの議論がされていた（Yahoo!ニュース個人）。

先の記事によると、Python Software Foundationは2021年の5月に不使用取消審判を請求、4月20日に、アークの商標登録をすべての指定商品・役務について取り消す旨の審決が行われたとしている。その結果、ほぼ確実に問題が解消し、Python Software Foundationが9類（電気通信機器等）、16類、41類、42類についてもPythonの商標権を獲得できる方向で進んでいる模様。

すべて読む | デベロッパーセクション | パテント | Python |

関連ストーリー：
オープンソースプロジェクトの商標問題に対応する「オープンソース商標イニシアティブ」が誕生 2020年12月02日
日本のPython商標問題、米国本家が「適切な方法で対処」と表明 2019年09月19日
第三者によりPythonの商標が取られる 2019年07月23日
Pythonの商標出願を行った英企業CEO、「Python」についてはよく知らなかった 2013年02月20日
英企業が「Python」の商標をEUで出願 2013年02月16日

Python Software Foundationが、「PyPI」の新機能を構築するための人員二人を募集中だそうだ。業務内容としては組織アカウント機能のコーディングやテスト、レビュー、文書化と配布などを行う。これには1人のバックエンド開発者と1人のフロントエンド開発者が含まれるとしている。どちらの業務もリモートで行える年、それぞれの1週間の稼働時間は35時間としている。給与に関しては最大で9万8000ドルだとしている。履歴書的な意味合いを持つ提案依頼書（RFP）の受付が2月16日から開始、3月4日に締め切られる。その後は審査諸々を経て実際の業務開始は4月1日からになる模様（Python Software Foundation、PyPI 2022 Request for Proposals）。

すべて読む | デベロッパーセクション | ビジネス | アナウンス | デベロッパー | Python |

関連ストーリー：
Python、2 年連続 TIOBE Index で最もレーティングを伸ばしたプログラミング言語に 2022年01月08日
トップエンジニア学生の約半数が「Python」を使っていると回答。就活支援サービス調査 2021年12月16日
2021年10月版のTIOBE IndexでPythonが1位に 2021年10月13日
HackerRank調査、最も開発者に知られているプログラミング言語はJavaScript 2019年02月03日
情報処理学会 人工知能ゲームプログラミングコンテスト「SamurAI Coding 2016-17」予選募集中 2016年12月18日
ゲームAIプログラミングコンテストSamurAI Coding「侍3ｘ3 軍団バトル」予選受付中 2016年01月07日
ソフトウェアテストシンポジウム「JaSST」 '15 Tokyo、2月21～22日に開催 2015年02月03日

TIOBE Index で 1 年間に最もレーティングを伸ばした TIOBE Programming Language of the Year のタイトルを 2 年連続で Python が獲得した (The Next Web の記事)。

TIOBE Index では開始以来 Java と C が不動のトップ 2 だったが、2020 年に入って Java が急速にレーティングを落とし、2020 年 11 月には Python が Java を抜いて Java と C 以外の言語で初めて 2 位となった。Python はその後 Java と横並びの状態が続いており、2021 年は 3 位でスタートしたが、10 月に C を抜いて初めて 1 位となって以来トップを維持。11 月以降は C に 1 ポイント以上の差をつけている。Python は Language of the Year のタイトルを最も多く獲得しており、今回が 5 回目だ。最近 5 年間では 3 回獲得している。後の 2 回は C が獲得しており、累計獲得数は 3 回で Python に続く。

1 月の TIOBE Index では 1 位の Python が前年同月比 1.86 ポイント増の 13.58 % となる一方、2 位の C は 4.94 ポイント減 (12.44 %)、3 位の Java は 1.30 ポイント減 (10.66 %) と大きくレーティングを減らしている。このほかの言語でレーティングが 1 ポイント以上変動したのは 5 位の C# (5.68 %、+1.73) のみ。C# は 12 月までタイトルを獲得する勢いだったが、Python が 1 月に逆転した。

4 位の C++ (8.29 %、+0.73) や 6 位の Visual Basic (4.74 %、+0.90) が 0.5 ポイント以上増加し、11 位の PHP (1.40 %、-0.60)や 12 位の R (1.25 %、-0.65)、17 位の Groovy (0.94 %、-0.90) が 0.5 ポイント以上減少している。Groovy はランキングも前年の 10 位から大きく下げており、19 位の Fortran (0.77 %、+0.31) が前年の 30 位から大きく上昇している。

すべて読む | デベロッパーセクション | 統計 | プログラミング | デベロッパー | Python |

関連ストーリー：
2021年10月版のTIOBE IndexでPythonが1位に 2021年10月13日
4月のTIOBE IndexでObjective-Cがトップ20落ち、Fortranがトップ20入り 2021年04月08日
Python 30周年 2021年02月21日
11月のTIOBE Index、Pythonが初の2位 2020年11月07日

Ijon 曰く、

TIOBE Index for October 2021でPythonが１位になった。 Pythonが増えたというより、C(とJava)のレートが下がった結果なので、使われているプログラミング言語が多様化しているというべきか。
Pythonにもpattern matchが入って、特定の言語でないとできないことも少なくなっているので、CやJavaのようにPython variantもいろいろ出てきてほしい。

2021年10月版のTIOBE IndexでPythonが1位を獲得した。2001年6月に集計が始まって以来初めてのことだという。TIOBEのポール・ヤンセンCEOは「Perlに代わるスクリプト言語としてスタートしたPythonが成熟してきた。学習のしやすさ、膨大な量のライブラリ、あらゆる領域で普及したことにより、現在最も人気のあるプログラミング言語となった。おめでとう」とするコメントを出している（TIOBE Index for October 2021、INTERNET Watch、GIGAZINE）。

すべて読む | デベロッパーセクション | プログラミング | デベロッパー | Python |

関連ストーリー：
Python 開発者に最も適した欧州 4 都市 2021年10月09日
Python 3.10リリース 2021年10月07日
Windows Subsystem for Linuxをターゲットにしたマルウェア 2021年09月20日
PyPI で公開されているパッケージの半数近くが何らかのセキュリティ上の問題を含むとの調査結果 2021年08月01日
プログラミング言語を一つ学んだら別の言語も簡単に習得できるという考えは正しいのか？ 2021年06月29日
IronPython、Python3に対応したバージョン「IronPython 3」を公開 2021年04月27日

Python 開発者に最も適した欧州の都市を The Next Web (TNW) が 4 都市選定している (TNW の記事)。

選定基準は TNW と提携する Jobbio の求職情報でスキルとして Python を要求する数の多さだ。具体的な求職件数は記載がなく、順位もつけられていないが、選定された 4 都市はダブリン・ロンドン・ベルリン・アムステルダムとなっている。

ダブリンには 1,200 社以上のスタートアップ企業があり、世界的なテクノロジー企業の 80 % が拠点を置く。グランドカナルドック周辺の地域には Google や Facebook、Amazon、eBay、Microsoft のオフィスがあり、シリコンドックスとも呼ばれている。

ロンドンは出し惜しみしない投資家と裕福な消費者、巨大企業により欧州有数のテクノロジーハブとなっている。フィンテックからファッシュテックまであらゆる分野をカバーするテクノロジー企業が推計 4 万社あり、スタートアップから多国籍大企業まで希望の職場が見つけられるとのこと。

ベルリンでは市内で 20 分に 1 社の割合で設立されるというスタートアップ企業が 2020 年までに 10 万件の雇用を創出しており、鈍化する兆しはないそうだ。スタートアップ企業の多いトールシュトラッセ付近はシリコンアレイとしても知られる。

TNW の本拠地でもあるアムステルダムには Netflix や Apple、LinkedIn、Google など国際的なテクノロジー企業およそ 578 社がオフィスを置くほか、数多くのアクセラレーター/インキュベータープログラムにより欧州各地から新しいブランドを引き付けている。ロンドンやベルリンといった大都市の喧騒を好まないならアムステルダムが最適とのことだ。

すべて読む | デベロッパーセクション | ビジネス | 英国 | EU | デベロッパー | Python |

関連ストーリー：
4月のTIOBE IndexでObjective-Cがトップ20落ち、Fortranがトップ20入り 2021年04月08日
Python 30周年 2021年02月21日
11月のTIOBE Index、Pythonが初の2位 2020年11月07日
Stack Overflow調べ、Rustが5年連続で最も愛されているプログラミング言語に 2020年05月30日
ITエンジニアの採用担当者にプログラミングの知識がないという問題 2020年04月03日
日本国内でのプログラミング言語別年収ランキング、トップはGo 2018年08月10日
Stack Overflow調べ、最も嫌われているプログラミング言語はPerl 2017年11月03日
夜遅くまで使われているプログラミング言語は 2017年05月17日
現在の職場でどんな兆候が現れたら転職を考える？ 2016年12月18日
自分の知識があまりない分野での仕事をしている開発者、どれぐらいいる？ 2015年02月15日
"プログラミング言語別"の求人年俸額の順位、1位は「Python」で平均382万円 2014年11月05日

Python Software Foundationは4日、Python言語の最新バージョンとなる3.10.0をリリースした。公式ブログによると主要な新機能と変更点は以下の通りとなっている（Python Insider、TECH+）。

• PEP 623 – Deprecate and prepare for the removal of the wstr member in PyUnicodeObject.
• PEP 604 – Allow writing union types as X | Y
• PEP 612 – Parameter Specification Variables
• PEP 626– Precise line numbers for debugging and other tools.
• PEP 618 – Add Optional Length-Checking To zip.
• bpo-12782: Parenthesized context managers are now officially allowed.
• PEP 632 – Deprecate distutils module.
• PEP 613 – Explicit Type Aliases
• PEP 634 – Structural Pattern Matching: Specification
• PEP 635 – Structural Pattern Matching: Motivation and Rationale
• PEP 636 – Structural Pattern Matching: Tutorial
• PEP 644 – Require OpenSSL 1.1.1 or newer
• PEP 624 – Remove Py_UNICODE encoder APIs
• PEP 597 – Add optional EncodingWarning

あるAnonymous Coward 曰く、

でもcoconutがうまく入らないから3.9.7に戻す予定

情報元へのリンク

すべて読む | デベロッパーセクション | デベロッパー | Python |

関連ストーリー：
Windows Subsystem for Linuxをターゲットにしたマルウェア 2021年09月20日
PyPI で公開されているパッケージの半数近くが何らかのセキュリティ上の問題を含むとの調査結果 2021年08月01日
プログラミング言語を一つ学んだら別の言語も簡単に習得できるという考えは正しいのか？ 2021年06月29日
PyPI で暗号通貨採掘マルウェアを含む悪意あるパッケージが見つかる 2021年06月26日
IronPython、Python3に対応したバージョン「IronPython 3」を公開 2021年04月27日
Python 30周年 2021年02月21日

Python パッケージの公式リポジトリ PyPI で公開されているパッケージの半数近くに何らかのセキュリティ上の問題が含まれるとの調査結果が発表された(The Register の記事、 論文)。

対象は PyPI に保存されている全パッケージ 19 万 7 千件以上のスナップショットで、静的コード解析ツール Bandit を用いて調査している。セキュリティ上の問題は exec 関数の使用やパスワードのハードコードといったものから、セキュアでない例外処理やハッシュ関数の使用、SQL インジェクションや XSS が可能といったものまで幅広い。調査の結果、約 75 万件の問題が見つかり、46 % のパッケージが少なくとも 1 つの問題を含んでいたとのこと。

ただし、見つかった問題の半数以上を占める約 44 万件は深刻度の低いものであり、約 23 万件が深刻度中、約 8 万件が深刻度高に分類される。深刻度低の問題を含むパッケージは全体の 35.8 %、深刻度中は 25.3 %、深刻度高は 11.4 % にとどまる。また、今回の調査では誤検出・検出漏れや実際の使用では実行されないコードが検出されている可能性のほか、調査時に展開されなかったファイルが含む問題や Python 以外の言語で書かれたコードに含まれる問題は検出できないといった制約もあるとのことだ。

すべて読む | セキュリティセクション | セキュリティ | デベロッパー | Python |

関連ストーリー：
PyPI で暗号通貨採掘マルウェアを含む悪意あるパッケージが見つかる 2021年06月26日
名前のタイプミスを狙った悪質なパッケージがRubyGemsで多数公開される 2020年04月19日
PyPIに悪意のあるパッケージがアップロードされていた 2017年09月18日

Python パッケージの公式リポジトリ PyPI で見つかった暗号通貨採掘マルウェアを含む6つのパッケージについて、発見した Sonatype が解説している(Sonatypeのブログ記事、 Ars Technicaの記事)。

暗号通貨採掘マルウェアは Sonatype のマルウェア検出ツール Release Integrity により発見されたもので、「maratlib」「maratlib1」「matplatlib-plus」「mllearnlib」「mplatlib」「learninglib」の6本。いずれも同じ作者により早ければ4月に PyPI で公開されており、PePyによればSonatypeのブログ記事公開時点で合計5,000回近くダウンロードされている。

うち5本は「maratlib」との依存関係が設定されており、「maratlib」のダウンロード回数が2,371回と最も多い。また、「matplatlib-plus」と「mplatlib」は「matplotlib」の誤入力によりダウンロードさせるタイポスクワッティングを狙ったものとみられ、「matplatlib-plus」のダウンロード回数は913回で「maratlib」に次ぐ多さとなっている。

「maratlib」は激しく難読化されているが、最終的には作者の GitHub リポジトリから暗号通貨採掘 Bash スクリプトをダウンロードして実行する仕組みになっていたとのこと。

PyPIでは2017年にもタイポスクワッティングを狙った悪意ある偽パッケージが発見されているが、その後も悪意あるパッケージの新規公開が続いているようだ。Release Integrity は元々 npm に注力してきたが、この数週間 PyPI パッケージを対象に試験運用したところ、3,157本以上の悪意あるパッケージが見つかったとのことだ。

すべて読む | デベロッパーセクション | セキュリティ | Python |

関連ストーリー：
名前のタイプミスを狙った悪質なパッケージがRubyGemsで多数公開される 2020年04月19日
RubyGemパッケージrest-client、バックドアを含むバージョンが立て続けに公開される 2019年08月25日
バックドアを含むバージョンのbootstrap-sassパッケージがRubyGemsで見つかる 2019年04月07日
npmリポジトリで公開されているパッケージに仮想通貨を盗むマルウェアが混入 2018年11月29日
「.com」のミスタイプを狙う「.cm」サイト、今年だけで1,200万回近くアクセスされていた 2018年04月08日
PyPIに悪意のあるパッケージがアップロードされていた 2017年09月18日
OSSのホスティングを行っているFossHubが攻撃を受ける、AudacityやClassic Shellにマルウェアが混入 2016年08月04日
オープンソースのSSHクライアントPuTTY、トロイの木馬が仕込まれたバージョンが配布される 2015年05月30日