OVHcloud CLI: los binarios oficiales, sustituidos en GitHub por un ladrón de secretos durante 1 h 33

El 19 de octubre de 2026, la cuenta de GitHub comprometida de un desarrollador de OVHcloud sirvió para sustituir los archivos de las versiones v0.11.0 a v0.15.0 de ovhcloud-cli por una compilación troyanizada que roba claves SSH y credenciales de nube. Hubo unas 250 descargas antes de la retirada; quien instalara la herramienta en ese intervalo debe renovar sus secretos.

Qué ha pasado

El 19 de octubre de 2026, entre las 14:47 y las 16:21 (hora de París), los binarios oficiales de ovhcloud-cli, la herramienta de línea de comandos para gestionar cuentas y servicios de OVHcloud, fueron sustituidos en GitHub por copias maliciosas. Según el aviso de seguridad de OVHcloud, se utilizó la cuenta de GitHub comprometida de uno de sus desarrolladores para reemplazar los archivos de las versiones v0.11.0 a v0.15.0 para macOS, Linux y Windows. Un cliente lo detectó porque su CI fija las sumas de comprobación de los archivos y lo comunicó públicamente a las 15:50. Los archivos se retiraron a las 16:21 y a las 19:16 se publicó una v0.16.0 limpia, firmada e inmutable. OVHcloud contabiliza unas 250 descargas en ese periodo.

Cómo entraron los atacantes

OVHcloud explica que el portátil personal del desarrollador se había infectado un año antes, el 20 de octubre de 2025, con una extensión maliciosa de editor de código vinculada al grupo Glassworm; las claves robadas entonces sirvieron para subir los archivos. El repositorio no imponía publicaciones inmutables, de modo que los archivos ya publicados podían sobrescribirse. El código fuente, la cadena de compilación y la CI interna de OVHcloud no se vieron afectados, según la empresa. La CLI troyanizada funciona con normalidad, pero recopila claves SSH, credenciales de AWS, Google Cloud y Azure, configuraciones de Docker y Kubernetes, tokens de npm, Terraform y DigitalOcean, .netrc, la configuración de Git y datos de editores de código y asistentes de IA, y envía el archivo a un servidor remoto.

Qué hacer ahora

1. Compruebe si descargó la CLI el 19 de octubre entre las 14:47 y las 16:21 (hora de París), tanto en puestos de trabajo como en runners de CI y servidores.
2. No ejecute el binario: calcule su hash con md5sum y compárelo con los cinco hashes MD5 publicados en el aviso.
3. Busque el rastro del malware: una carpeta envchecker- seguida de cifras en el directorio temporal (ls -d /tmp/envchecker-*, o en $TMPDIR en macOS).
4. Si está afectado: considere comprometidos todos los secretos del equipo, revoque y sustituya claves SSH, claves de nube, archivos kubeconfig y tokens de registro o npm, y por precaución sus claves de API de OVHcloud; bloquee 45.32.148.174 y revise los registros de la nube.
5. Reinstale la versión v0.16.0 o posterior.

Nuestra opinión

Una herramienta de administración instalada en un puesto o un runner de CI tiene las llaves de toda la infraestructura. Fije y verifique las sumas de comprobación de los binarios que descarga, como hizo el cliente que dio la alarma, evite secretos de larga duración en archivos sin cifrar y controle las extensiones instaladas en los equipos de sus desarrolladores.

Fuentes

• OVHcloud (GitHub security advisory) — ovhcloud-cli security incident - October 19th, 2026
• GitHub ovh/ovhcloud-cli — Release assets of v0.13.0–v0.15.0 replaced on 2026-10-19
• ZDNET France — OVHcloud : une attaque sur son compte GitHub expose ses utilisateurs à un malware

Cómo elegimos, verificamos y redactamos nuestros análisis →