في 19 أكتوبر 2026، استُخدم حساب GitHub مخترق لأحد مطوري OVHcloud لاستبدال ملفات الإصدارات من v0.11.0 إلى v0.15.0 من أداة ovhcloud-cli بنسخة ملغومة تسرق مفاتيح SSH وبيانات الاعتماد السحابية. جرى نحو 250 تنزيلًا قبل الإزالة، وعلى كل من ثبّت الأداة خلال تلك الفترة تجديد أسراره.
ماذا حدث
في 19 أكتوبر 2026، بين الساعة 14:47 و16:21 (بتوقيت باريس)، استُبدلت على GitHub الملفات التنفيذية الرسمية لأداة ovhcloud-cli، وهي أداة سطر الأوامر لإدارة حسابات OVHcloud وخدماتها، بنسخ خبيثة. وبحسب نشرة الأمان التي أصدرتها OVHcloud، استُخدم حساب GitHub مخترق لأحد مطوريها لاستبدال ملفات الإصدارات من v0.11.0 إلى v0.15.0 لأنظمة macOS وLinux وWindows. لاحظ أحد العملاء ذلك لأن نظام التكامل المستمر لديه يثبّت بصمات الملفات، فأبلغ عنه علنًا عند 15:50. أُزيلت الملفات عند 16:21، ثم نُشر الإصدار v0.16.0 نظيفًا وموقّعًا وغير قابل للتعديل عند 19:16. وتحصي OVHcloud نحو 250 تنزيلًا خلال تلك الفترة.
كيف دخل المهاجمون
تقول OVHcloud إن الحاسوب المحمول الشخصي للمطور أُصيب قبل عام، في 20 أكتوبر 2025، عبر إضافة خبيثة لمحرر الشيفرة مرتبطة بمجموعة Glassworm، وإن المفاتيح المسروقة آنذاك استُخدمت لرفع الملفات. لم يكن المستودع يفرض إصدارات غير قابلة للتعديل، ما سمح بالكتابة فوق ملفات منشورة. وتؤكد الشركة أن الشيفرة المصدرية وسلسلة البناء ونظام التكامل المستمر الداخلي لم تتأثر. تعمل الأداة الملغومة بشكل طبيعي، لكنها تجمع مفاتيح SSH وبيانات اعتماد AWS وGoogle Cloud وAzure وإعدادات Docker وKubernetes ورموز npm وTerraform وDigitalOcean وملف .netrc وإعدادات Git وبيانات محررات الشيفرة ومساعدي الذكاء الاصطناعي، ثم ترسل الأرشيف إلى خادم بعيد.
ماذا تفعل الآن
- تحقّق مما إذا نُزّلت الأداة في 19 أكتوبر بين 14:47 و16:21 (بتوقيت باريس)، على محطات العمل وخوادم التكامل المستمر والخوادم.
- لا تشغّل الملف: احسب بصمته بالأمر
md5sumوقارنها بقيم MD5 الخمس المنشورة في النشرة. - ابحث عن أثر البرمجية: مجلد باسم
envchecker-متبوعًا بأرقام في المجلد المؤقت (ls -d /tmp/envchecker-*، أو ضمن$TMPDIRعلى macOS). - إذا كنت متأثرًا: اعتبر كل الأسرار على الجهاز مخترقة، وألغِ واستبدل مفاتيح SSH والمفاتيح السحابية وملفات kubeconfig ورموز السجلات وnpm، ومن باب الاحتياط مفاتيح واجهة برمجة OVHcloud؛ احجب العنوان
45.32.148.174وراجع سجلات حساباتك السحابية. - أعد التثبيت بالإصدار v0.16.0 أو أحدث.
رأينا
أداة الإدارة المثبّتة على محطة عمل أو خادم تكامل مستمر تحمل مفاتيح البنية التحتية كلها. ثبّت بصمات الملفات التنفيذية التي تنزّلها وتحقق منها كما فعل العميل الذي أطلق الإنذار، وتجنّب الأسرار طويلة الأمد في ملفات غير مشفّرة، وراقب الإضافات المثبّتة على أجهزة المطورين.
المصادر
- OVHcloud (GitHub security advisory) — ovhcloud-cli security incident - October 19th, 2026
- GitHub ovh/ovhcloud-cli — Release assets of v0.13.0–v0.15.0 replaced on 2026-10-19
- ZDNET France — OVHcloud : une attaque sur son compte GitHub expose ses utilisateurs à un malware
كيف نختار تحليلاتنا ونتحقق منها ونكتبها ←
كان المدخل عبر طرف ثالث. تحقّق مما يكشفه مورّدوك علنًا — دون اختراق، معلومات عامة فقط:
هل تخشون أن تكون خوادمكم مكشوفة؟ يقوم فريقنا بتدقيق البنى التحتية Linux والسحابية وتحديثها ومراقبتها على مدار الساعة.
تحدّث إلى خبير خدماتنا لإدارة الخوادم ←
