Am 19. Oktober 2026 wurde das kompromittierte GitHub-Konto eines OVHcloud-Entwicklers genutzt, um die Release-Dateien von ovhcloud-cli v0.11.0 bis v0.15.0 durch eine manipulierte Version zu ersetzen, die SSH-Schlüssel und Cloud-Zugangsdaten stiehlt. Bis zur Entfernung gab es rund 250 Downloads; wer das Tool in diesem Zeitraum installiert hat, muss seine Geheimnisse erneuern.
Was geschah
Am 19. Oktober 2026 wurden zwischen 14:47 und 16:21 Uhr (Pariser Zeit) die offiziellen Binärdateien von ovhcloud-cli, dem Kommandozeilenwerkzeug zur Verwaltung von OVHcloud-Konten und -Diensten, auf GitHub durch bösartige Kopien ersetzt. Laut dem Sicherheitshinweis von OVHcloud wurde dafür das kompromittierte GitHub-Konto eines Entwicklers genutzt, um die Release-Dateien der Versionen v0.11.0 bis v0.15.0 für macOS, Linux und Windows auszutauschen. Ein Kunde bemerkte es, weil seine CI die Prüfsummen der Dateien festschreibt, und meldete es um 15:50 Uhr öffentlich. Um 16:21 Uhr waren die Dateien entfernt, um 19:16 Uhr folgte eine saubere, signierte und unveränderliche v0.16.0. OVHcloud zählt rund 250 Downloads im betroffenen Zeitraum.
Wie die Angreifer eindrangen
Nach Angaben von OVHcloud war der private Laptop des Entwicklers bereits ein Jahr zuvor, am 20. Oktober 2025, über eine bösartige Code-Editor-Erweiterung infiziert worden, die der Gruppe Glassworm zugeordnet wird; damals gestohlene Schlüssel dienten nun zum Hochladen der Dateien. Das Repository erzwang keine unveränderlichen Releases, sodass veröffentlichte Dateien überschrieben werden konnten. Quellcode, Build-Kette und die interne CI von OVHcloud seien nicht betroffen. Die manipulierte CLI funktioniert normal, sammelt aber SSH-Schlüssel, Zugangsdaten für AWS, Google Cloud und Azure, Docker- und Kubernetes-Konfigurationen, npm-, Terraform- und DigitalOcean-Token, .netrc, Git-Einstellungen sowie Daten von Code-Editoren und KI-Assistenten und sendet das Archiv an einen entfernten Server.
Was jetzt zu tun ist
- Prüfen, ob die CLI heruntergeladen wurde: am 19. Oktober zwischen 14:47 und 16:21 Uhr (Pariser Zeit), auf Arbeitsplätzen, CI-Runnern und Servern.
- Die Binärdatei nicht ausführen: den Hash mit
md5sumberechnen und mit den fünf im Hinweis veröffentlichten MD5-Werten vergleichen. - Nach der Spur der Malware suchen: ein Ordner
envchecker-gefolgt von Ziffern im temporären Verzeichnis (ls -d /tmp/envchecker-*, unter macOS in$TMPDIR). - Falls betroffen: alle Geheimnisse auf dem Rechner als kompromittiert betrachten, SSH-Schlüssel, Cloud-Schlüssel, kubeconfig-Dateien sowie Registry- und npm-Token widerrufen und ersetzen, vorsorglich auch die OVHcloud-API-Schlüssel;
45.32.148.174sperren und die Cloud-Protokolle prüfen. - Neu installieren: Version v0.16.0 oder neuer.
Unsere Einschätzung
Ein Administrationswerkzeug auf einem Arbeitsplatz oder CI-Runner hält die Schlüssel zur gesamten Infrastruktur. Prüfsummen heruntergeladener Binärdateien festschreiben und prüfen, wie es der alarmierende Kunde tat, langlebige Geheimnisse in Klartextdateien vermeiden und die auf Entwicklerrechnern installierten Erweiterungen im Blick behalten.
Quellen
- OVHcloud (GitHub security advisory) — ovhcloud-cli security incident - October 19th, 2026
- GitHub ovh/ovhcloud-cli — Release assets of v0.13.0–v0.15.0 replaced on 2026-10-19
- ZDNET France — OVHcloud : une attaque sur son compte GitHub expose ses utilisateurs à un malware
Wie wir unsere Analysen auswählen, prüfen und schreiben →
Der Einstieg erfolgte über einen Dritten. Prüfen Sie, was Ihre Lieferanten öffentlich preisgeben — ohne Eindringen, nur öffentliche Informationen:
Sorgen, dass Ihre Server angreifbar sind? Unser Team prüft, patcht und überwacht Linux- und Cloud-Infrastrukturen rund um die Uhr.
Mit einem Experten sprechen Unsere Managed Server Services →
