OVHcloud CLI: הקבצים הבינאריים הרשמיים הוחלפו ב-GitHub בנוזקה לגניבת סודות למשך שעה ו-33 דקות

ב-19 באוקטובר 2026 נוצל חשבון GitHub פרוץ של מפתח ב-OVHcloud כדי להחליף את קובצי הגרסאות v0.11.0 עד v0.15.0 של ovhcloud-cli בגרסה נגועה הגונבת מפתחות SSH ופרטי גישה לענן. לפני ההסרה בוצעו כ-250 הורדות; מי שהתקין את הכלי בחלון זה חייב להחליף את הסודות שלו.

מה קרה

ב-19 באוקטובר 2026, בין 14:47 ל-16:21 (שעון פריז), הוחלפו ב-GitHub הקבצים הבינאריים הרשמיים של ovhcloud-cli, כלי שורת הפקודה לניהול חשבונות ושירותים של OVHcloud, בעותקים זדוניים. לפי הודעת האבטחה של OVHcloud, נעשה שימוש בחשבון GitHub פרוץ של אחד המפתחים שלה כדי להחליף את קובצי הגרסאות v0.11.0 עד v0.15.0 עבור macOS, ‏Linux ו-Windows. לקוח הבחין בכך משום שמערכת ה-CI שלו מקבעת את סיכומי הביקורת של הקבצים, ודיווח על כך בפומבי ב-15:50. הקבצים הוסרו ב-16:21, וב-19:16 פורסמה גרסה v0.16.0 נקייה, חתומה ובלתי ניתנת לשינוי. ‏OVHcloud מונה כ-250 הורדות בפרק הזמן הזה.

כיצד חדרו התוקפים

לדברי OVHcloud, המחשב הנייד הפרטי של המפתח הודבק שנה קודם לכן, ב-20 באוקטובר 2025, באמצעות תוסף זדוני לעורך קוד המקושר לקבוצת Glassworm; מפתחות שנגנבו אז שימשו להעלאת הקבצים. המאגר לא אכף גרסאות בלתי ניתנות לשינוי, ולכן ניתן היה לדרוס קבצים שכבר פורסמו. קוד המקור, שרשרת הבנייה וה-CI הפנימי של OVHcloud לא נפגעו, לדברי החברה. ה-CLI הנגוע פועל כרגיל אך אוסף מפתחות SSH, פרטי גישה ל-AWS, ‏Google Cloud ו-Azure, תצורות Docker ו-Kubernetes, אסימוני npm, ‏Terraform ו-DigitalOcean, את .netrc, הגדרות Git ונתונים של עורכי קוד ועוזרי בינה מלאכותית, ושולח את הארכיון לשרת מרוחק.

מה לעשות עכשיו

1. בדקו אם הורדתם את הכלי ב-19 באוקטובר בין 14:47 ל-16:21 (שעון פריז), בתחנות עבודה, ב-runners של CI ובשרתים.
2. אל תריצו את הקובץ: חשבו את ה-hash שלו עם md5sum והשוו לחמשת ערכי ה-MD5 שפורסמו בהודעה.
3. חפשו את העקבות של הנוזקה: תיקייה בשם envchecker- ואחריה ספרות בתיקייה הזמנית (ls -d /tmp/envchecker-*, או תחת $TMPDIR ב-macOS).
4. אם נפגעתם: התייחסו לכל הסודות במכונה כפרוצים, בטלו והחליפו מפתחות SSH, מפתחות ענן, קובצי kubeconfig ואסימוני registry או npm, ולמען הזהירות גם את מפתחות ה-API של OVHcloud; חסמו את 45.32.148.174 ובדקו את יומני הענן.
5. התקינו מחדש גרסה v0.16.0 ומעלה.

הדעה שלנו

כלי ניהול המותקן בתחנת עבודה או ב-runner של CI מחזיק במפתחות לכל התשתית. קבעו ואמתו את סיכומי הביקורת של קבצים בינאריים שאתם מורידים, כפי שעשה הלקוח שהתריע, הימנעו מסודות ארוכי טווח בקבצים גלויים ועקבו אחר התוספים המותקנים במחשבי המפתחים.

מקורות

• OVHcloud (GitHub security advisory) — ovhcloud-cli security incident - October 19th, 2026
• GitHub ovh/ovhcloud-cli — Release assets of v0.13.0–v0.15.0 replaced on 2026-10-19
• ZDNET France — OVHcloud : une attaque sur son compte GitHub expose ses utilisateurs à un malware

איך אנחנו בוחרים, מאמתים וכותבים את הניתוחים שלנו ←