OVHcloud CLI piraté : êtes-vous concerné et que faire ?
Le 19 octobre 2026, des fichiers d’installation de l’outil en ligne de commande d’OVHcloud ont été remplacés par des programmes malveillants sur GitHub. L’incident a duré moins de deux heures, mais ses conséquences peuvent persister : un ordinateur ayant exécuté l’un de ces fichiers pourrait avoir exposé ses clés d’accès. Voici comment déterminer si vous êtes concerné et quelles mesures prendre, sans confondre cette attaque avec un piratage général des services OVHcloud.
Ce qui s’est passé le 19 octobre
Entre 14 h 47 et 16 h 21, heure de Paris, un attaquant a modifié les fichiers téléchargeables de cinq anciennes versions d’ovhcloud-cli, l’utilitaire utilisé notamment par les administrateurs pour piloter leurs ressources cloud depuis un terminal. Les versions 0.11.0 à 0.15.0 étaient concernées.
Selon l’avis de sécurité publié par OVHcloud le 20 octobre, un compte GitHub de développeur compromis a permis de substituer des exécutables contenant un logiciel voleur d’informations. Un client a donné l’alerte. Les fichiers ont été retirés à 16 h 21, puis la version 0.16.0, présentée comme saine, a été publiée le soir même.
OVHcloud recense environ 250 téléchargements pendant cette fenêtre. Ce chiffre ne correspond pas à 250 machines infectées. Le fournisseur n’a pas établi publiquement un nombre équivalent de victimes ayant exécuté le programme.
Pourquoi le code source n’avait pas besoin d’être modifié
Cette opération relève d’une attaque de la chaîne d’approvisionnement logicielle. L’attaquant n’a pas eu à introduire son code dans le dépôt principal. En effet, il a remplacé les fichiers exécutables déjà proposés au téléchargement dans les publications GitHub.
Les recherches d’OpenSourceMalware montrent que le code source et les procédures habituelles de compilation n’ont pas été altérés. Le point faible était ailleurs : les fichiers attachés aux anciennes versions pouvaient encore être remplacés. OVHcloud a depuis activé le verrouillage des versions publiées, appelé release immutability.
Le fournisseur précise aussi que ses infrastructures internes de production n’ont pas été compromises dans cet incident. Rien ne permet donc d’en déduire une intrusion généralisée dans les serveurs ou les comptes de tous ses clients.
Quels ordinateurs et installations sont concernés ?
Le critère déterminant n’est pas seulement le numéro de version. Il faut avoir téléchargé ou mis à jour un exécutable affecté pendant la plage horaire précise du 19 octobre. Les fichiers remplacés visaient macOS sur processeurs Intel et Apple, Linux x86-64 et ARM64, ainsi que Windows x86-64.
Les téléchargements directs depuis les publications GitHub, le script d’installation officiel et le paquet Homebrew pouvaient exposer leurs utilisateurs. En revanche, une version téléchargée avant 14 h 47 et restée inchangée n’est pas concernée. Les installations compilées depuis le code source et l’image Docker n’étaient pas touchées, selon l’enquête technique. Les versions 0.10.0 et antérieures, comme 0.16.0 et ultérieures, sont hors du périmètre indiqué par OVHcloud.
En cas de doute, n’exécutez pas le fichier suspect pour vérifier sa version. L’avis officiel publie des empreintes MD5 permettant de comparer hors exécution un fichier installé avec les cinq binaires malveillants connus. Une équipe informatique peut aussi examiner les journaux de téléchargement et d’installation.
Pourquoi remplacer le programme ne suffit pas
Le logiciel espion cherchait notamment des clés SSH, des identifiants de services cloud, des configurations Kubernetes et Docker, ainsi que des fichiers liés à certains outils de développement. OVHcloud décrit également un mécanisme destiné à copier ces données et à les transmettre à l’extérieur.
Si vous avez exécuté un binaire téléchargé pendant la période à risque, considérez les secrets présents sur cet ordinateur comme potentiellement compromis. Un simple antivirus ou la suppression du programme ne rend pas inutilisables des identifiants qui auraient déjà été copiés.
La réponse recommandée est de révoquer ou renouveler rapidement les clés et jetons concernés depuis un appareil de confiance, puis de supprimer le binaire suspect et d’installer la version 0.16.0 officielle. Pour une entreprise, il faut également vérifier les accès associés, les automatisations et les traces d’utilisation anormale.
Ce que cette attaque rappelle aux entreprises françaises
Un programme provenant d’un dépôt officiel n’est pas automatiquement sûr si son canal de distribution peut être détourné. Cette affaire montre pourquoi une vérification d’intégrité indépendante, la limitation des permissions de publication et la rotation des secrets restent indispensables.
Elle prolonge une autre question abordée sur Geekinfos : la souveraineté numérique ne se résume pas au chiffrement. La sécurité dépend également des outils et des chaînes logicielles qui donnent accès au cloud. Pour réduire les risques liés aux comptes ordinaires, notre guide sur les passkeys explique les avantages de cette authentification. Elle ne remplace toutefois pas la révocation d’une clé API volée.
À retenir : l’incident OVHcloud CLI est circonscrit dans le temps et dans son périmètre technique. Si votre téléchargement et son exécution coïncident avec la fenêtre du 19 octobre, l’urgence consiste à sécuriser vos accès, pas simplement à mettre à jour le logiciel.