Des téléchargements du CLI d’OVHcloud ont été remplacés par un voleur de secrets

Le 19 octobre 2026, OVHcloud dit qu’un compte de développeur compromis a remplacé les binaires publiés de son outil en ligne de commande sur GitHub. Les mauvais fichiers ont été disponibles pendant une heure et 33 minutes. Le décompte d’OVHcloud des téléchargements dans cette fenêtre est d’environ 250. Si vous avez installé le CLI un autre jour, l’entreprise dit que vous n’avez pas obtenu cette copie.

Ce qui a été remplacé

L’avis d’OVHcloud (en anglais) dit que les binaires malveillants ont été téléversés entre 14 h 47 et 16 h 21 en France (12 h 47 à 14 h 21 UTC) le 19 octobre. Les versions touchées sont v0.11.0 à v0.15.0. Le code source et le pipeline de construction n’ont pas été changés, et l’entreprise dit qu’aucun autre dépôt OVHcloud ne l’a été. La version v0.10.0 et tout ce qui est plus ancien ne sont pas touchés. La v0.16.0, publiée plus tard dans la soirée avec une étiquette signée, est la version saine.

La raison pour laquelle un fichier remplacé a pu être téléversé sur une version déjà publiée est que le réglage GitHub des versions immuables était éteint. OVHcloud dit l’avoir allumé, y compris sur ses autres dépôts.

L’entreprise fait remonter le compte du développeur à une extension de navigateur malveillante, color-picker-universal 2.8.91, installée sur le Mac personnel de cette personne en octobre 2025 et liée à l’activité Glassworm. Elle dit que les fichiers du CLI ont été remplacés avec des clés volées, pas depuis l’ordinateur portable OVHcloud, qu’elle n’a pas trouvé compromis. Le chef de la direction, Octave Klaba, a décrit le binaire comme de mauvaise qualité et quand même capable de lire des secrets sur le disque, et a dit à toute personne touchée de changer les secrets qui étaient sur ce disque.

Un signalement de client est arrivé à 15 h 50, heure de France. Les binaires ont été retirés à 16 h 21.

Comment le savoir, sans exécuter le fichier

1. N’exécutez pas le binaire pour voir s’il est mauvais. OVHcloud dit de comparer son MD5 aux empreintes de l’avis, ou de chercher dans le dossier temporaire un dossier nommé envchecker- suivi de chiffres. Les empreintes et la vérification du dossier sont dans l’avis. Une correspondance veut dire que cette copie était celle qui a été remplacée.
2. Seule la fenêtre de téléchargement compte. Une copie de v0.11.0 à v0.15.0 que vous avez téléchargée avant le 19 octobre, et que vous n’avez pas mise à jour pendant ces 94 minutes, est la construction d’origine. Un téléchargement pendant la fenêtre, sur les plateformes que l’avis énumère, est celui qu’il faut traiter comme malveillant.
3. S’il a tourné, faites tourner les secrets depuis une autre machine. L’instruction de Klaba est de changer les secrets qui étaient sur le disque où le binaire a tourné. Cela comprend les clés infonuagiques, les clés SSH, et tout ce que l’utilisateur du CLI pouvait lire. Faites la rotation depuis une machine qui n’a pas exécuté le fichier. Installez ensuite la v0.16.0 ou plus récente, plutôt que de retélécharger un ancien fichier de version.
4. La plupart des clients d’OVHcloud n’ont jamais installé ce CLI. Le panneau de contrôle dans un navigateur n’est pas cet incident. L’incident est le programme en ligne de commande ovhcloud pris dans ces versions GitHub cet après-midi-là.

Sources

• OVHcloud, ovhcloud-cli security incident - October 19th, 2026, 20 octobre 2026
• BleepingComputer, OVHcloud CLI releases backdoored on GitHub to steal developer secrets, octobre 2026