OVHcloud CLI : cinq versions piégées sur GitHub pour voler des secrets

Cinq versions de l'outil en ligne de commande d'OVHcloud (v0.11.0 à v0.15.0) ont été publiées piégées sur GitHub le 19 octobre 2026, à partir de 14 h 47, pour voler les secrets stockés sur les machines des développeurs, selon Octave Klaba, fondateur d'OVHcloud.

OVHcloud est un hébergeur cloud français. Son CLI permet de piloter ses services depuis un terminal. Les versions saines connues sont la v0.10.0 et la v0.16.0, d'après Klaba. La version compromise a été détectée et bloquée à 16 h 21 le même jour, après le signalement d'un client, soit environ une heure et demie plus tard.

Comment les versions de l'OVHcloud CLI ont-elles été piégées ?

L'attaquant a pris le contrôle du compte GitHub d'un développeur, ce qui lui a donné accès au dépôt. La fonction d'immutabilité des releases était désactivée : un compte suffisamment privilégié pouvait donc modifier des versions existantes sans passer par les contrôles d'intégration continue. OVHcloud affirme que ses pipelines CI/CD n'ont pas été touchés ; selon OpenSourceMalware, l'attaquant a envoyé des paquets construits localement.

D'après les chercheurs cités par BleepingComputer, le compte était compromis depuis plus de six mois. Un loader caché, preinstall.js, récupère une seconde charge via un « Solana memo dead drop », une technique qui dissimule l'adresse du serveur dans une transaction de la blockchain Solana. Les chercheurs rattachent l'attaque à la campagne GlassWorm, mais la charge finale n'a pas été analysée : le lien reste une attribution, pas une certitude.

Qui est concerné ?

• Les binaires pour macOS (Intel et ARM), Linux (x86_64 et ARM64) et Windows x86-64.

• Les builds compilés à partir des sources et les images Docker ne sont pas concernés.

Le logiciel malveillant sert à récupérer les secrets présents sur le disque. Klaba juge le binaire de mauvaise qualité, ce qui n'empêche pas le vol.

Que faire si l'on a installé l'une de ces versions ?

• Mettre à jour vers la v0.16.0 ou désinstaller le CLI.

• Si un binaire concerné a été exécuté, considérer tous les secrets présents sur la machine comme compromis : clés d'API, jetons, clés SSH, identifiants cloud.

• Nettoyer le système puis révoquer et renouveler ces secrets. Klaba écrit : « If you are affected, please change all the secrets on your disk. »

Ce que l'incident rappelle

Cette attaque de la chaîne d'approvisionnement logicielle vise la confiance accordée à un outil officiel : le binaire venait bien du dépôt du fournisseur. OVHcloud a depuis activé l'immutabilité des releases sur GitHub et considère l'incident résolu. Les équipes qui téléchargent des exécutables depuis des dépôts publics peuvent vérifier les signatures ou les empreintes publiées, et limiter la durée de vie des jetons stockés sur les postes de travail.

Source

BleepingComputer et The Hacker News, d'après les déclarations d'Octave Klaba, d'OVHcloud et d'OpenSourceMalware.