L'entreprise française de cloud computing OVHcloud a averti ses utilisateurs que son outil d'interface en ligne de commande (CLI) open source avait été compromis, le compte d'un développeur ayant été exploité pour accéder au dépôt de code sur la plateforme GitHub et modifier des versions spécifiques de l'outil afin d'y insérer des logiciels malveillants.
Détails du piratage et versions concernées
Le PDG de l'entreprise, Octave Klaba, a expliqué que l'attaque a ciblé les versions v0.11.0 à v0.15.0. Une activité suspecte a été détectée le 19 octobre 2026, date à laquelle les attaquants ont réussi à contourner les vérifications habituelles (CI/CD) en exploitant la désactivation de la fonctionnalité d'immuabilité des versions (Release Immutability) dans le dépôt GitHub, ce qui leur a permis de téléverser des paquets logiciels piégés construits localement.
L'entreprise a confirmé que les versions plus anciennes (v0.10.0) et la version plus récente (v0.16.0) sont totalement saines et n'ont pas été touchées par l'attaque. Les enquêtes ont également indiqué que cette attaque pourrait être liée à GlassWorm, une campagne de menaces active depuis fin 2025 qui cible de multiples environnements de développement de logiciels.
Qu'est-ce que cela implique pour les utilisateurs ?
L'objectif principal du logiciel malveillant est d'extraire les « secrets » stockés sur les disques des appareils des développeurs et des administrateurs système. Étant donné que l'outil est utilisé pour gérer les services cloud et d'hébergement, tout appareil ayant exécuté les versions compromises est considéré comme totalement compromis.
- Systèmes affectés : macOS (Intel et ARM), Linux (x86_64 et ARM64), et Windows x86-64.
- Systèmes sécurisés : Les images Docker ou les compilations à partir du code source (source builds) n'ont pas été affectées.
Mesures de remédiation requises
OVHcloud recommande vivement à tous les utilisateurs ayant téléchargé les versions concernées de prendre immédiatement les mesures suivantes :
- Supprimer complètement l'outil compromis du système.
- Effectuer un nettoyage approfondi de l'appareil.
- Modifier et révoquer tous les secrets et clés de programmation qui étaient stockés sur l'appareil, car ils sont supposés être entre les mains des attaquants.
L'entreprise a activé la fonctionnalité d'immuabilité sur GitHub afin d'empêcher de futures modifications non autorisées de ce type, considérant que l'incident a été maîtrisé.