Le client en ligne de commande d’OVHcloud compromis par un pirate sur GitHub
Un pirate a réussi à compromettre le client officiel en ligne de commande d’OVHcloud distribué via GitHub. Pendant quelques heures, le dépôt de l’hébergeur a distribué cette version piégée, dotée d’un code malveillant capable d’extraire les secrets stockés sur l’ordinateur de l’utilisateur.
Le 19 octobre 2026 à 14h47, un pirate a compromis le compte GitHub d’un développeur d’OVHcloud, une entreprise française spécialisée dans les services cloud. Le pirate a modifié le code du client en ligne de commande (CLI) d’OVHcloud, un outil permettant de gérer ses comptes et services via des commandes textuelles. Les versions v0.11.0 à v0.15.0 du client ont été remplacées par des versions piégées contenant un binaire malveillant. Ce dernier est conçu pour voler les secrets stockés sur l’ordinateur de l’utilisateur, comme les mots de passe ou les identifiants. L’attaque a duré jusqu’à 16h21, soit une fenêtre de près de deux heures pendant laquelle les utilisateurs ont pu télécharger et installer ces versions infectées.
Le pirate a exploité une faille de sécurité liée à la gestion des releases (versions publiées) sur GitHub. OVHcloud n’avait pas activé l’option d’immutabilité des releases, ce qui permettait de modifier ou de remplacer manuellement les fichiers déjà publiés. Sans cette protection, le pirate a pu remplacer les binaires légitimes par des versions infectées. Les contrôles de sécurité d’OVHcloud, comme les tests unitaires ou la détection de failles (CVE), ne s’exécutent que lorsque du code est poussé via leur pipeline CI/CD (Continuous Integration/Continuous Deployment). Comme le pirate a modifié directement les releases sur GitHub, ces contrôles n’ont pas détecté l’infection.
L’attaque a été signalée par un utilisateur qui a remarqué une erreur dans sa chaîne d’intégration continue (CI). Ce dernier a ouvert un ticket sur GitHub pour signaler que l’empreinte numérique (hash) de l’archive Linux pour processeur ARM ne correspondait pas à celle attendue. Octave Klaba, le PDG d’OVHcloud, a confirmé l’incident en expliquant que le pirate avait utilisé le compte GitHub d’un développeur pour ajouter un binaire malveillant. À 19h, il a précisé que seuls les releases étaient affectés et a recommandé de changer tous les secrets stockés sur les machines concernées.
OVHcloud a activé l’option d’immutabilité des releases sur GitHub pour empêcher toute modification future des versions publiées. Une nouvelle version sûre, v0.16.0, a été mise en ligne le 19 octobre au soir. OVHcloud insiste sur l’importance de renouveler tous les secrets (mots de passe, clés API, clés SSH, etc.) si l’utilisateur a téléchargé une version compromise entre 14h47 et 16h21. L’entreprise a également confirmé qu’aucun autre dépôt n’a été affecté et que les contrôles de sécurité n’ont pas été contournés.
Si vous avez utilisé le client OVHcloud CLI entre le 19 octobre 2026 à 14h47 et 16h21, votre machine pourrait être infectée. Le binaire malveillant est conçu pour extraire les secrets stockés sur votre disque, ce qui expose vos identifiants et données sensibles. OVHcloud recommande de révoquer et de renouveler immédiatement tous les secrets liés à vos services cloud, notamment les clés API, les mots de passe et les clés SSH. Une vérification des fichiers système et une analyse antivirus sont également conseillées pour s’assurer qu’aucune trace de l’infection ne persiste.
