フランスのクラウド・Webホスティング企業であるOVHcloudがソフトウェアサプライチェーン攻撃を受けました。攻撃者が同社の開発者の1人のGitHubアカウントを使用して、公式のコマンドラインツール（CLI）内に機密データを盗み出すマルウェアを仕込んだものです。
このインシデントは10月19日に発生しました。OVHcloudによると、v0.11.0からv0.15.0までのバージョンがこの侵害の影響を受けましたが、古いバージョンのv0.10.0および新しいバージョンのv0.16.0は安全であり、悪意のある改変はないとのことです。
侵害の詳細と攻撃のウィンドウ
OVHcloudの創業者であるオクタヴ・클라바（Octave Klaba）氏によると、攻撃者はハードディスクから機密情報やデータを抽出する機能を持つ重要な実行可能ファイルを追加しました。プログラムの品質は低いと評されたものの、任務を遂行することは可能でした。侵害されたバージョンはパリ時間の14時47分に現れ、顧客からの警告を受けて16時21分にブロックされました。ハッシュチェック（値の検証）の自動検証に失敗した後、あるユーザーが公開フォーラムで改ざんを報告したためです。
クラーバ氏は、CI/CD（継続的インテグレーションおよび継続的デリバリー）パイプラインはこの攻撃の影響を受けなかったと指摘し、主な原因はGitHub上のリリース不変性（Release Immutability）機能が有効になっていなかったことであると説明しました。これにより、適切な権限を持つユーザーが、社内システムのチェックを通すことなく、公開されたリリースを直接変更することが可能になっていました。
関連性とマルウェアの検知
OpenSourceMalwareプラットフォームのセキュリティ研究者によると、攻撃者は以前に公開されたリリースのオリジナルファイルを置き換えました。置き換えは最も一般的なプラットフォーム向けのパッケージに限定されており、開発者やオペレーターのワークステーション上の資格情報を標的にしている可能性が示唆されています。
標的となったアカウントは同社の正当なコントリビューターのものであり、調査によると少なくとも2026年3月から侵害を受けていたことが示唆されています。その際、個人リポジトリが変更され、GlassWormとして知られるマルウェア指標に関連付けられたウォレットを介して追加のペイロードの場所を特定するために、Solanaブロックチェーンネットワークに依存する隠しローダーが組み込まれていました。ただし、3月の侵害と10月の攻撃の背後に同じ攻撃者がいるかどうかは、研究者も確認できていません。
ユーザーにとって実質的に何が変わるのか？
このインシデントの影響を受けたのは、公式のインストールスクリプト、Homebrewパッケージマネージャー、またはGitHubからの直接ダウンロードを通じて、94分未満の時間枠内にmacOS、Linux 64-bit、またはWindows x86_64システム上でコマンドラインツールのインストールまたはアップデートを行ったユーザーです。一方、ソースからビルドを行ったユーザー、Go言語用のインストールコマンドを使用したユーザー、あるいは公式のDockerイメージを取得したユーザーは影響を受けませんでした。