OVHcloud confirme la compromission de son outil officiel en ligne de commande. Pendant environ une heure et demie le 19 octobre 2026, plusieurs versions du CLI distribuées depuis le dépôt GitHub officiel ont embarqué un binaire malveillant capable de rechercher des secrets présents sur l’ordinateur de l’utilisateur.
Selon Octave Klaba, fondateur d’OVHcloud, l’incident a débuté à 14h47 et a été détecté puis bloqué à 16h21, après l’alerte d’un client. Les versions v0.11.0, v0.12.0, v0.13.0, v0.14.0 et v0.15.0 sont considérées comme compromises. La v0.10.0 n’est pas concernée et une nouvelle v0.16.0 a depuis été publiée.
Si vous avez téléchargé aujourd’hui la dernière version de CLI d’OVHcloud, merci de la mettre à jour à nouveau très rapidement. Sinon effacer. Il s’agit de repo: https://t.co/mSILpJyTEq La version CLI de 14h47 a été compromise par un hacker. Nous l’avons détecté et bloqué à 16h21. Merci au client qui nous a remonté le souci. La version compromise est v0.11.0 v0.12.0 v0.13.0 v0.14.0 v0.15.0. La version v0.10.0 et la future 0.16.0 est clean. On vient de finit les premières vérifications et aucun autre repo n’est affecté. Nous avons aussi retracé l’incident. Le hacker a utilisé le compte github d’un des développeurs et a ajouté un binaire dont le job est récupérer les secrets sur le disque. La qualité du binaire est médiocre mais il peut aller jusqu’au bout. Si vous êtes concernés, merci de changer tous les secrets sur votre disque. On continue les recherches sur le binaire et on va publier les détails additionnels sous peu.
— Octave Klaba (@olesovhcom) October 19, 2026
Le compte GitHub d’un développeur compromis
OVHcloud affirme avoir retracé l’origine de l’incident : le compte GitHub d’un de ses développeurs aurait été utilisé par l’attaquant.
Le pirate a ensuite pu modifier les fichiers distribués aux utilisateurs en y ajoutant un binaire malveillant. Le code source principal du CLI n’était donc pas nécessairement lui-même compromis : l’attaque a visé la chaîne de distribution des versions officielles, un scénario typique d’attaque de la supply chain logicielle.
Un utilisateur remarque que les fichiers officiels ont changé
L’incident a laissé plusieurs traces publiques sur GitHub. Un utilisateur a ouvert une alerte après avoir constaté que les fichiers associés aux anciennes versions du CLI avaient été remplacés plusieurs semaines après leur publication.
Son système d’intégration vérifiait automatiquement l’empreinte SHA-256 du binaire téléchargé. Celle-ci ayant soudainement changé, l’installation a échoué et déclenché l’enquête.
L’analyse montrait notamment que certains nouveaux exécutables ne correspondaient plus au code associé à leur version officielle et avaient été construits localement avec des modifications non présentes dans le dépôt public.
Le malware cherche des secrets stockés sur le disque
Selon Octave Klaba, le binaire ajouté par le pirate avait pour objectif de récupérer les secrets présents sur le disque de la machine.
OVHcloud ne détaille pas encore précisément tous les fichiers recherchés. Dans un environnement de développeur ou d’administrateur système, ce type de données peut notamment correspondre à des clés API, tokens d’accès, identifiants cloud, clés SSH ou autres secrets techniques enregistrés localement.
Le groupe précise que le malware serait relativement rudimentaire, mais suffisamment fonctionnel pour parvenir à son objectif.
Les utilisateurs concernés doivent changer leurs secrets
OVHcloud recommande aux personnes ayant téléchargé ou exécuté l’une des versions compromises pendant la fenêtre d’incident de considérer les secrets présents sur leur machine comme potentiellement exposés.
La mesure la plus importante consiste donc à révoquer et renouveler les clés API, tokens, mots de passe techniques et autres identifiants sensibles présents sur la machine concernée, plutôt que de se contenter de supprimer l’exécutable compromis.
OVHcloud ne trouve pas d’autre dépôt compromis
Les premières vérifications menées par OVHcloud n’ont identifié aucun autre dépôt GitHub affecté.
Les fichiers compromis ont été supprimés à 16h21. OVHcloud a ensuite publié la version v0.16.0, dont le tag GitHub est signé et dont les fichiers de release sont désormais déclarés immuables, afin d’empêcher leur remplacement après publication.
Une fenêtre courte, mais des utilisateurs particulièrement sensibles
La compromission n’a duré qu’environ 94 minutes, mais la nature même de l’outil augmente le risque. Le CLI d’OVHcloud est principalement utilisé par des développeurs, administrateurs système et équipes techniques, précisément les profils dont les ordinateurs peuvent contenir de nombreux accès privilégiés.
Un seul poste compromis pourrait ainsi donner accès à des services cloud, dépôts de code ou infrastructures sans qu’une nouvelle vulnérabilité soit nécessaire.
OVHcloud indique poursuivre l’analyse du binaire et prévoit de publier un post-mortem détaillé. Il faudra notamment déterminer combien de personnes ont téléchargé les fichiers compromis pendant la fenêtre d’attaque et quels secrets le malware était réellement capable d’exfiltrer.