OVHcloud CLI: i binari ufficiali sostituiti su GitHub da un ladro di segreti per 1 ora e 33 minuti

Il 19 ottobre 2026 l’account GitHub compromesso di uno sviluppatore di OVHcloud è stato usato per sostituire i file delle versioni da v0.11.0 a v0.15.0 di ovhcloud-cli con una build manomessa che ruba chiavi SSH e credenziali cloud. Prima della rimozione ci sono stati circa 250 download; chi ha installato lo strumento in quella finestra deve rinnovare i propri segreti.

Cosa è successo

Il 19 ottobre 2026, tra le 14:47 e le 16:21 (ora di Parigi), i binari ufficiali di ovhcloud-cli, lo strumento a riga di comando per gestire account e servizi OVHcloud, sono stati sostituiti su GitHub con copie malevole. Secondo l’avviso di sicurezza di OVHcloud, l’account GitHub compromesso di uno dei suoi sviluppatori è stato usato per rimpiazzare i file delle versioni da v0.11.0 a v0.15.0 per macOS, Linux e Windows. Un cliente se n’è accorto perché la sua CI fissa i checksum dei file e lo ha segnalato pubblicamente alle 15:50. I file sono stati rimossi alle 16:21 e alle 19:16 è stata pubblicata una v0.16.0 pulita, firmata e immutabile. OVHcloud conta circa 250 download nel periodo.

Come sono entrati gli attaccanti

Secondo OVHcloud, il portatile personale dello sviluppatore era stato infettato un anno prima, il 20 ottobre 2025, da un’estensione malevola per editor di codice legata al gruppo Glassworm; le chiavi rubate allora sono servite a caricare i file. Il repository non imponeva release immutabili, quindi i file già pubblicati potevano essere sovrascritti. Codice sorgente, catena di build e CI interna di OVHcloud non sono stati toccati, afferma l’azienda. La CLI manomessa funziona normalmente ma raccoglie chiavi SSH, credenziali AWS, Google Cloud e Azure, configurazioni Docker e Kubernetes, token npm, Terraform e DigitalOcean, .netrc, impostazioni Git e dati di editor di codice e assistenti IA, poi invia l’archivio a un server remoto.

Cosa fare ora

1. Verificate se avete scaricato la CLI il 19 ottobre tra le 14:47 e le 16:21 (ora di Parigi), su postazioni, runner di CI e server.
2. Non eseguite il binario: calcolatene l’hash con md5sum e confrontatelo con i cinque hash MD5 pubblicati nell’avviso.
3. Cercate la traccia del malware: una cartella envchecker- seguita da cifre nella directory temporanea (ls -d /tmp/envchecker-*, oppure in $TMPDIR su macOS).
4. Se siete coinvolti: considerate compromessi tutti i segreti presenti sulla macchina, revocate e sostituite chiavi SSH, chiavi cloud, file kubeconfig e token di registry o npm, e per precauzione le chiavi API OVHcloud; bloccate 45.32.148.174 ed esaminate i log cloud.
5. Reinstallate la versione v0.16.0 o successiva.

Il nostro parere

Uno strumento di amministrazione installato su una postazione o su un runner di CI custodisce le chiavi dell’intera infrastruttura. Fissate e verificate i checksum dei binari che scaricate, come ha fatto il cliente che ha dato l’allarme, evitate segreti di lunga durata in file in chiaro e tenete sotto controllo le estensioni installate sulle macchine degli sviluppatori.

Fonti

• OVHcloud (GitHub security advisory) — ovhcloud-cli security incident - October 19th, 2026
• GitHub ovh/ovhcloud-cli — Release assets of v0.13.0–v0.15.0 replaced on 2026-10-19
• ZDNET France — OVHcloud : une attaque sur son compte GitHub expose ses utilisateurs à un malware

Come scegliamo, verifichiamo e scriviamo le nostre analisi →