La empresa francesa de computación en la nube OVHcloud advirtió a sus usuarios que su herramienta de interfaz de línea de comandos (CLI) de código abierto fue vulnerada, después de que se utilizara la cuenta de un desarrollador para acceder al repositorio de código en la plataforma GitHub y modificar versiones específicas de la herramienta para plantar software malicioso.
Detalles de la brecha y versiones afectadas
El director ejecutivo de la compañía, Octave Klaba, explicó que el ataque afectó a las versiones desde la v0.11.0 hasta la v0.15.0. La actividad sospechosa fue detectada el 19 de octubre de 2026, cuando los atacantes lograron eludir los controles de integración y entrega continuas (CI/CD) habituales aprovechando la desactivación de la función de "inmutabilidad de lanzamientos" (Release Immutability) en el repositorio de GitHub, lo que permitió cargar paquetes de software maliciosos compilados localmente.
La empresa confirmó que las versiones anteriores (v0.10.0) y la versión más reciente (v0.16.0) están completamente limpias y no se vieron afectadas por el ataque. Asimismo, las investigaciones indicaron que el ataque podría estar relacionado con la operación GlassWorm, una campaña de amenazas activa desde finales de 2025 que ha tenido como blanco múltiples entornos de desarrollo de software.
¿Qué significa esto para los usuarios?
El objetivo principal del software malicioso es extraer los "secretos" almacenados en los discos de los dispositivos de los desarrolladores y administradores de sistemas. Dado que la herramienta se utiliza para gestionar servicios de nube y alojamiento, cualquier dispositivo que haya ejecutado las versiones infectadas se considera totalmente comprometido.
- Sistemas afectados: macOS (Intel y ARM), Linux (x86_64 y ARM64), y Windows x86-64.
- Sistemas seguros: Las imágenes de Docker o las compilaciones a partir del código fuente (Source builds) no se vieron afectadas.
Pasos de remediación requeridos
OVHcloud recomienda encarecidamente a todos los usuarios que hayan descargado las versiones afectadas que tomen las siguientes medidas de manera inmediata:
- Desinstalar por completo la herramienta infectada del sistema.
- Llevar a cabo un proceso de limpieza exhaustivo del dispositivo.
- Cambiar y revocar todos los secretos y claves de programación que estuvieran almacenados en el equipo, ya que se debe asumir que han caído en manos de los atacantes.
La compañía ha habilitado la función de inmutabilidad en GitHub para evitar futuras modificaciones no autorizadas de este tipo, y considera que el incidente ya ha sido contenido.