94 minutes pour piéger l'outil d'OVHcloud

Un compte GitHub de développeur compromis a suffi à remplacer les binaires de cinq versions du CLI OVHcloud. La cause n'est pas le pipeline de build : l'option d'immuabilité des releases n'était pas activée.

Actualité du 19 octobre 2026 · 1 min 48 · 5 sources · 16 affirmations sourcées

En 30 secondes

La faille n'était pas dans le code : un réglage de publication absent a suffi à transformer un outil officiel en vecteur d'infection.
Quatre-vingt-quatorze minutes et environ 250 téléchargements : la fenêtre est courte, mais un poste de développeur ouvre ensuite beaucoup de portes.
Une extension installée un an plus tôt peut rester la vraie porte d'entrée, bien après l'incident qui la révèle.

Les faits

Ce qui est établi, et ce qui ne l'est pas

Chaque affirmation de l'épisode, son statut et ses sources.

ÉtabliLe 19 octobre 2026, un compte GitHub de développeur OVHcloud compromis a servi à remplacer les binaires de releases déjà publiées du CLI ovhcloud-cli[1][4][5]
ÉtabliFenêtre d'exposition : 19 octobre 2026, de 14h47 à 16h21 heure de Paris, soit 94 minutes[1][5][4]
ÉtabliVersions compromises : v0.11.0 à v0.15.0 ; v0.10.0 et v0.16.0 sont saines[1][4]
ÉtabliEnviron 250 téléchargements pendant la fenêtre, selon le rapport d'OVHcloud[1]
ÉtabliLe code source et la chaîne de build ne sont pas touchés : seuls les fichiers publiés dans les releases ont été remplacés[1][4]
ÉtabliCause racine : l'option d'immuabilité des releases GitHub n'était pas activée, ce qui permettait de modifier un fichier déjà publié sans contrôle[1][4][5]
ÉtabliLe binaire est le CLI recompilé avec du code Go ajouté, qui lit des secrets sur le disque[1]
ÉtabliSecrets visés : identifiants AWS, Google Cloud, Azure, Docker, Kubernetes, Terraform, clés SSH et historiques locaux d'assistants de code[1]
ÉtabliUn client a signalé les faits dans une issue GitHub le 19 octobre à 15h50 heure de Paris, après l'échec du contrôle SHA-256 de sa chaîne d'intégration[1][2]
ÉtabliCinq des dix-huit releases publiées du dépôt ont été réécrites (v0.11.0 à v0.15.0)[3][1]
ÉtabliLes binaires remplacés couvrent macOS Intel et Apple Silicon, Linux 64 bits et Windows x86_64[1]
ÉtabliLe compte compromis l'était depuis des mois : une extension de l'éditeur installée le 20 octobre 2025 sur un MacBook personnel est à l'origine de la compromission, selon l'enquête d'OVHcloud[1]
RapportéL'exfiltration passait par des appels RPC à la blockchain Solana, selon le rapport d'OVHcloud, qui rattache le portefeuille utilisé à Glassworm ; le lien entre mars et octobre reste une inférence des chercheurs[1][4]
ÉtabliLa version 0.16.0 a été publiée le 19 octobre à 19h16 heure de Paris avec un tag signé, pour déclencher les notifications de mise à jour[1][3]
InconnuIdentité de l'attaquant, nombre de postes réellement compromis et secrets effectivement sortis restent inconnus[1][4]
ÉtabliConsigne d'OVHcloud : considérer les secrets de la machine comme compromis, les révoquer, supprimer le binaire et réinstaller la version 0.16.0[1]

Transcription

Le 19 octobre, un client d'OVHcloud voit le contrôle d'empreinte de sa chaîne d'intégration échouer : le binaire de l'outil en ligne de commande n'est plus celui publié des semaines plus tôt. Pendant 94 minutes, environ 250 téléchargements de binaires piégés ont été comptés.

CyberFlash, c'est l'émission cybersécurité de DecodeVox. Ici, on ne s'arrête pas aux gros titres : on décrypte les attaques, on révèle leurs mécanismes et on explique ce qu'elles changent concrètement.

Cinq des dix-huit versions publiées du projet ont été réécrites, de la 0.11 à la 0.15. Les binaires visés couvrent macOS, Linux 64 bits et Windows, pour environ 250 téléchargements.

Mais comment on remplace un binaire déjà publié ?

Tout part d'un compte GitHub de développeur, compromis depuis des mois. Avec ses droits, l'attaquant remplace les fichiers de versions déjà publiées. Ni le code source ni la chaîne de build ne sont touchés : l'immuabilité des releases n'était pas activée. Le binaire, lui, est recompilé avec un module qui lit les secrets sur le disque.

Ce qu'on sait : 94 minutes d'exposition, environ 250 téléchargements, et un signalement public sur GitHub à 15h50. Ce qu'on ignore : qui est derrière, combien de postes ont été compromis, et quels secrets sont sortis.

Trois réflexes. Révoquer les secrets de toute machine qui a installé ces versions : clés cloud, jetons, clés SSH. Traiter une version publiée comme immuable, et vérifier les empreintes avant d'exécuter un binaire. Enfin, se souvenir que la porte d'entrée était une extension installée un an plus tôt.

Un binaire publié n'est pas un binaire de confiance. Cette fois, c'est un outil officiel qui a livré le malware.

Pour aller plus loin, retrouvez l'édition complète du jour sur notre plateforme en ligne, le lien en description. Abonnez-vous à DecodeVox pour ne rien manquer de nos prochains décryptages. Et dites-nous en commentaire : vous vérifiez l'origine d'un outil avant de l'installer ?

Les mots de l'épisode

CLI: Interface en ligne de commande : un programme qui se pilote en tapant des commandes dans un terminal, sans fenêtre ni boutons.
Release: Publication d'une version d'un logiciel, avec ses fichiers prêts à télécharger. Une release devrait être figée une fois publiée.
Immuabilité: Réglage qui interdit de modifier ou de remplacer un fichier déjà attaché à une release. Sans lui, un compte disposant des bons droits peut réécrire l'historique.
Secret: Identifiant qui donne accès à un service : clé d'API, jeton, mot de passe de base de données, clé SSH. Un secret volé vaut souvent plus que la machine où il se trouvait.

Sources