法国云计算和网络托管公司 OVHcloud 遭遇了软件供应链攻击。一名黑客利用该公司一名开发者的 GitHub 账户，在其官方命令行工具（CLI）中植入了一个用于窃取机密数据的恶意软件。
该事件发生于 10 月 19 日。OVHcloud 澄清称，v0.11.0 至 v0.15.0 版本受到了此次攻击的影响，而旧版本 v0.10.0 以及新版本 v0.16.0 则保持安全，未受到任何恶意修改。
入侵细节与攻击窗口
OVHcloud 创始人奥克塔夫·克拉巴（Octave Klaba）解释说，攻击者添加了一个关键的可执行文件，其功能是从硬盘中提取机密和数据。尽管他形容该恶意软件的代码质量较差，但它确实能够完成任务。被篡改的版本于巴黎时间 14:47 出现，并在收到客户警报后的 16:21 被封锁，当时有一名用户在自动哈希检查（Hash Check）失败后公开举报了这一篡改行为。
克拉巴指出，持续集成与持续交付（CI/CD）流水线并未受到攻击，并表明核心问题在于 GitHub 上未启用版本不可变性（Release Immutability）标准，这允许拥有适当权限的用户直接修改已发布的版本，而无需通过公司系统的检查。
监测关联与恶意软件
OpenSourceMalware 平台的安全研究人员报告称，攻击者替换了先前发布版本的原始文件，且替换操作仅限于针对最常见平台的软件包，这表明其目标可能是开发者和运维人员工作站上的凭据。
受攻击的账户属于该公司的一名合法贡献者。调查显示，该账户至少从 2026 年 3 月起就遭到了入侵，当时个人代码库遭到修改，并被嵌入了一个依赖于 Solana 区块链网络的隐蔽加载程序，以便通过与名为 GlassWorm 的恶意软件指标相关的钱包来定位额外的代码负载，尽管研究人员无法确认 3 月份的入侵与 10 月份的攻击是否为同一名攻击者所为。
对用户的实际影响是什么？
在不超过 94 分钟的时间窗口内，通过官方安装脚本、Homebrew 包管理器或直接从 GitHub 下载，在 macOS、Linux 64-bit 或 Windows x86_64 系统上安装或更新了命令行工具的用户受到了该事件的影响。而那些从源码构建、使用 Go 语言专属安装命令或获取官方 Docker 镜像的用户则未受影响。