PyPI blockt neue Dateien für Releases, die älter als 14 Tage sind
PyPI Blog: Releases now reject new files after 14 days
PyPI akzeptiert ab sofort keine neuen Dateien mehr für Releases, die älter als 14 Tage sind. Diese Maßnahme soll verhindern, dass langjährig stabile Releases durch kompromittierte Tokens oder Workflows mit Schadcode verseucht werden. Der Schritt folgt auf die Kompromittierung der Pakete LiteLLM und Telnyx im März 2026. Eine Analyse der Top-15.000-Pakete zeigte, dass nur 56 Projekte mehr als 14 Tage nach einem Release neue Wheels für Python 3.14 veröffentlichten. Die endgültigen Regeln für geschlossene Releases werden mit der Upload-2.0-API und PEP 694 definiert.
Es gibt keinen technischen Grund, warum dies nicht bereits ausgenutzt wurde – außer, dass Angreifer nicht wussten, dass es möglich ist.