A empresa francesa de computação em nuvem OVHcloud alertou seus usuários sobre o comprometimento de sua ferramenta de interface de linha de comando (CLI) de código aberto, onde a conta de um desenvolvedor foi explorada para acessar o repositório de software no GitHub e modificar versões específicas da ferramenta para instalar malware.
Detalhes da violação e versões afetadas
O CEO da empresa, Octave Klaba, explicou que o ataque visou as versões de v0.11.0 a v0.15.0. A atividade suspeita foi detectada em 19 de outubro de 2026, com os atacantes conseguindo contornar os processos habituais de verificação (CI/CD) ao explorar a desativação do recurso de "imutabilidade de lançamento" (Release Immutability) no repositório do GitHub, permitindo o envio de pacotes adulterados compilados localmente.
A empresa confirmou que as versões mais antigas (v0.10.0) e a versão mais recente (v0.16.0) estão totalmente intactas e não foram afetadas pelo ataque. As investigações também indicam que o ataque pode estar associado à operação GlassWorm, uma campanha de ameaças ativa desde o final de 2025 que visava múltiplos ambientes de desenvolvimento de software.
O que isso significa para os usuários?
O objetivo principal do malware é extrair "segredos" (Secrets) armazenados nos discos dos dispositivos de desenvolvedores e administradores de sistemas. Como a ferramenta é utilizada para gerenciar serviços de nuvem e hospedagem, qualquer dispositivo que tenha executado as versões infectadas é considerado totalmente comprometido.
- Sistemas afetados: macOS (Intel e ARM), Linux (x86_64 e ARM64) e Windows x86-64.
- Sistemas seguros: As imagens Docker e as compilações a partir do código-fonte (Source builds) não foram afetadas.
Etapas de mitigação necessárias
A OVHcloud recomenda fortemente que todos os usuários que baixaram as versões afetadas tomem as seguintes medidas imediatamente:
- Remover completamente a ferramenta infectada do sistema.
- Realizar uma limpeza completa do dispositivo.
- Alterar e revogar todos os segredos e chaves de código que estavam armazenados no dispositivo, pois presume-se que agora estejam em posse dos atacantes.
A empresa ativou o recurso de "imutabilidade" no GitHub para evitar a repetição de tais modificações não autorizadas no futuro, considerando que o incidente foi contido.