Vulnérabilité dans pytorch-lightning (CVE-2026-44484)
Résumé
Vulnérabilité dans pytorch-lightning (CVE-2026-44484). L'exploitation peut entraîner la prise de contrôle totale du système.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Security Advisory: Compromise of PyTorch Lightning PyPI Package Versions
Published: 2026-04-30
Last Updated: 2026-05-12
Github Advisory: CVE-2026-44484
We have identified a security incident affecting certain versions of one of our PyPI packages.
What happened
We have determined that one or more released versions of this package have been compromised and include malicious code.
Our current investigation indicates that the affected versions have introduced functionality consistent with a credential harvesting mechanism. We are still actively analysing the scope and behaviour of the code.
At this stage, the root cause of the compromise is still under investigation.
What versions are affected
We are currently working to confirm the exact set of impacted versions.
We have determined the following versions as affected and ask that you delete them from your systems:
2.6.22.6.3
We will update this advisory if the versions impacted by this vulnerability change.
What you should do immediately
If you have installed or are running any potentially affected versions:
- Assume the environment may be compromised
- Immediately rotate all credentials and secrets that may have been exposed, including:
- API keys
- Access tokens
- SSH keys
- Service account credentials
- Rebuild affected systems from a known clean state
- Pin PyTorch Lightning to version
2.6.1 - Re…
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-44484 a été découverte dans pytorch-lightning.
L'exploitation peut entraîner la prise de contrôle totale du système. Score CVSS : 9.8/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « pytorch-lightning CVE-2026-44484 » sur le site de l'éditeur.
CVE-2026-44484 (pytorch-lightning) — CWE-506 / CVSS v3 9.8
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-506) affecte pytorch-lightning.
Consultez l'avis de l'éditeur pour les versions affectées de pytorch-lightning.
Gravité : Critique (CVSS 9.8/10). L'exploitation peut entraîner la prise de contrôle totale du système.
Mettre à jour vers la version corrigée selon l'avis éditeur.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'pytorch-lightning' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
pytorch-lightningを grep し、稼働しているサービス・バージョンを把握する。 -
2Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- advisory github.com
- advisory nvd.nist.gov
- package github.com
- package pypi.org
- web github.com
- web access.redhat.com
- web bugzilla.redhat.com
- web security.access.redhat.com