La CLI d’OVHcloud a été compromise pour diffuser un malware
Alerte pour les clients d’OVHcloud. Après la compromission du compte GitHub, cinq versions de son outil open source en ligne de commande (CLI) ont été modifiées pour y inclure un malware. L’incident de cybersécurité a été rapidement détecté grâce à la vigilance d’un client.
Quel a été le mode opératoire de l’attaquant ?
Le 19 octobre, un attaquant a utilisé les accès d’un contributeur pour remplacer les archives de téléchargement des versions 0.11.0 à 0.15.0 de la CLI d’OVHcloud directement sur GitHub.
Patron d’OVHcloud, Octave Klaba a précisé que » la version CLI de 14h47 a été compromise par un hacker. Nous l’avons détecté et bloqué à 16h21 « . La fenêtre d’exposition a donc été précisément de 94 minutes.
La faille exploitée n’était pas dans le code source ou les pipelines d’intégration continue, mais dans une configuration de GitHub. » Le problème vient de l’option l’immutabilité des releases sur Github qui n’a pas été activée. » Son absence a permis à l’attaquant de mettre en ligne ses binaires malveillants compilés localement sans passer par les habituels contrôles de sécurité.
Nous avons terminé l’analyse. L’ensemble de pipelines CI/CD avec de tests unitaires, les tests fonctionnaires, la detection de CVE etc n’ont pas été impactés. Le problème vient de l’option l’immutabilité des releases sur Github qui n’a pas été activée. Donc un user avec les bons droits pouvait modifier les releases existantes directement sur Github sans qu’aucun contrôle sur notre CI/CD. L’option a été activée. Fin de l’incident. Désolé pour les impacts que cela a pu provoquer.
— Octave Klaba (@olesovhcom) October 19, 2026
Quels sont les risques pour les utilisateurs ?
Le binaire malveillant avait un objectif de » récupérer les secrets sur le disque « . Cela inclut les identifiants, les clés API, les tokens et toute autre information sensible accessible sur la machine d’un développeur ou d’un adminstrateur.
La recommandation d’OVHcloud est sans équivoque. Pour toute personne ayant téléchargé ou mis à jour l’outil durant la fenêtre critique, il est impératif de » changer tous les secrets sur votre disque « .
Il est conseillé de réaliser cette opération depuis une machine saine, de supprimer le binaire corrompu et d’installer la nouvelle version sécurisée 0.16.0 (ou 0.10.0), désormais publiée en tant que release immuable.
Qui pourrait être derrière cette attaque ?
Les investigations menées par la plateforme de renseignement sur les menaces OpenSourceMalware suggèrent un lien avec Glassworm.
Avec des activités suspectes depuis plusieurs mois, le compte compromis aurait utilisé des techniques associées à Glassworm, notamment un loader preinstall.js caché et une association avec la blockchain Solana. Le binaire malveillant n’a toutefois pas été publiquement analysé.
Un projet web ou mobile en tête ?
Démarrer un projet