Lundi 19 octobre, cinq versions de l’outil en ligne de commande d’OVHcloud ont été remplacées sur GitHub par un programme conçu pour récupérer les secrets stockés sur les machines. Le code source n’a pas été touché, mais les utilisateurs qui ont installé ou mis à jour l’outil pendant une heure et demie doivent renouveler l’ensemble de leurs identifiants.
Une substitution en vingt-cinq minutes
C’est Octave Klaba qui nous donne l’alerte lundi soir sur X. Le fondateur d’OVHcloud y explique que la CLI publiée à 14h47 a été compromise par un pirate, puis détectée et bloquée à 16h21, et que les versions v0.11.0 à v0.15.0 sont concernées. La v0.10.0 est saine, tout comme la v0.16.0 publiée dans la soirée.
Les chercheurs d’OpenSourceMalware ont reconstitué le déroulé à partir des journaux serveur de GitHub. Selon eux, l’attaquant a passé environ vingt-cinq minutes à substituer les fichiers, qui sont restés téléchargeables pendant quatre-vingt-quatorze minutes. Il a visé les versions les plus utilisées : macOS, Linux x86_64 et arm64, Windows x86_64, en remplaçant aussi le fichier d’empreintes pour que les hashs publiés correspondent aux nouveaux binaires. Aucun tag n’a été poussé, aucune chaîne d’intégration n’a tourné. Les binaires ont été déposés directement sur des releases existantes depuis un compte humain, et ils avaient été compilés sur un poste de travail, pas dans le pipeline officiel.
Un compte compromis depuis des mois ?
Octave Klaba évoque le compte GitHub d’un des développeurs. Selon les chercheurs d’OpenSourceMalware, ce compte n’avait aucun commit dans le dépôt de la CLI, ses contributions portant sur d’autres dépôts d’OVHcloud, dont la documentation. Il disposait vraisemblablement des droits d’écriture, sans lesquels il est impossible de modifier une release. Les chercheurs relèvent aussi, dans ses dépôts personnels, des modifications malveillantes datant de mars 2026, liées à des indicateurs du groupe GlassWorm. Ils soulignent toutefois que rien ne prouve que le même acteur soit à l’origine des deux épisodes. OVHcloud n’a pas précisé comment le compte a été compromis.
Changer tous ses secrets
Pour les utilisateurs touchés, supprimer l’outil ne suffit pas. Octave Klaba demande de « changer tous les secrets sur votre disque ». Sont concernés ceux qui ont utilisé le script d’installation officiel, Homebrew, un téléchargement direct ou un pipeline récupérant l’archive sur GitHub pendant la fenêtre. Les installations via go install, la compilation depuis les sources et l’image Docker officielle sont épargnées, selon OpenSourceMalware.
Côté OVHcloud, l’analyse interne conclut que les chaînes CI/CD, les tests et la détection de CVE n’ont pas été touchés. La faille tenait à l’immutabilité des releases sur GitHub, une option qui n’était pas activée. Elle l’est désormais, et la v0.16.0 a été publiée par un compte de service, sous forme de release immuable accompagnée d’une attestation.
